בקרה 5.21 – ניהול אבטחת מידע בשרשרת אספקת ה-ICT

הנחיות כלליות בנושא בקרה 5.21

ISO קובע 13 נקודות הדרכה הקשורות לתקשוב שיש לקחת בחשבון בַּצַד כל בקרות אחרות המכתיבות את מערכת היחסים של ארגון עם הספקים שלו.

בהתחשב בהתרחבות של שירותי On-Premise ושירותי ענן חוצי פלטפורמות בעשור האחרון, Control 5.21 עוסק באספקת שניהם חומרה ו תוֹכנָה-רכיבים ושירותים הקשורים (הן מקומיים והן מבוססי ענן), ולעתים רחוקות יוצר הבחנה בין השניים.

בנוסף ליחסים בין הספק לארגון, מספר בקרות עוסקות גם בהתחייבויות של ספק בעת קבלנות משנה של רכיבים בשרשרת האספקה ​​לארגוני צד שלישי.

1. ארגונים צריכים לנסח סט ברור של אבטחת מידע סטנדרטים החלים על הצרכים האישיים שלהם, כדי להגדיר ציפיות ברורות לגבי אופן ההתנהלות של ספקים בעת אספקת מוצרים ושירותי ICT.
2. אם ספק ה-ICT מבצע קבלן משנה כלשהו בשרשרת האספקה, על הספק לנקוט באמצעים כדי להבטיח שהקבלנים ואנשיהם בקיאים במלואם בתקני אבטחת המידע הייחודיים של הארגון.
3. אם מתעורר צורך לרכוש רכיבים (פיזיים או וירטואליים) שנרכשו מצד שלישי, על הספק להפיץ את דרישות האבטחה של הארגון לכל ספק או ספק שהם עצמם משתמשים בהם.
4. יש לבקש מהספקים לספק מידע על האופי והתפקוד של רכיבי התוכנה שבהם הם משתמשים כדי לספק שירות לארגון.
5. ארגונים צריכים לזהות את פונקציות האבטחה הבסיסיות של כל מוצר או שירות שסופק, וכיצד לתפעל את המוצר או השירות האמורים באופן לא מתפשר על אבטחת מידע.
6. ארגונים לא צריכים לקחת את רמות הסיכון כמובנות מאליהן, וטיוטת נהלים המבטיחים שכל המוצרים או השירותים שספק מספק הם בעלי אופי מאובטח ועומדים בתקנים המקובלים בתעשייה. השיטות עשויות לכלול בדיקות הסמכה, בדיקות פנימיות ותיעוד תאימות תומך.
7. בעת קבלת מוצר או שירות, ארגונים צריכים לדבוק בתהליך של זיהוי תחילה ולאחר מכן רישום של רכיבים הנחשבים כחיוניים לשמירה על פונקציונליות הליבה - במיוחד אם רכיבים אלה מקורם בהסכם של קבלן משנה/מיקור חוץ.
8. ספקים צריכים להיות מסוגלים לספק הבטחות קונקרטיות לכך ש"רכיבים קריטיים" נהנים מטיפול יסודי יומן ביקורת העוקב אחר תנועתם לאורך שרשרת אספקת ה-ICT, מהיצירה ועד למסירה.
9. כאשר מוצרי ושירותי ICT מסופקים, ארגונים צריכים לבקש ביטחון קטגורי שהמוצרים והשירותים האמורים אינם פועלים רק בהיקף, אלא אינם מכילים תכונות נוספות שעשויות להוות בטחונות. סיכון ביטחוני.
10. מפרטי הרכיבים הם המפתח להבטיח שארגון מבין את רכיבי החומרה והתוכנה שהוא מכניס לרשת שלו. על הספקים לשקול אמצעים למניעת שיבוש לאורך כל מחזור חיי הפיתוח, וארגונים צריכים לדרוש תנאים המאמתים רכיבים כלגיטימיים עם המסירה.
11. יש לחפש הבטחות כדי לאשר שמוצרי ICT מתאימים לסטנדרטים בתעשייה ו/או למגזר ספציפי דרישות אבטחה, לפי רלוונטי לכל מוצר. שיטות נפוצות להשגת זאת כוללות השגת רמה מינימלית של הסמכת אבטחה פורמלית, או עמידה בסט של תקני מידע מוכרים בינלאומיים (כגון הסדר לזיהוי קריטריונים) לכל מוצר.
12. ארגונים צריכים לנקוט בצעדים כדי להבטיח זאת הספקים מודעים לכך של מחויבויותיהם בעת שיתוף מידע ו/או נתונים הנוגעים לפעולת שרשרת האספקה ​​ההדדית, לרבות הכרה בכל קונפליקטים או בעיות פוטנציאליים שעלולים להתעורר בין שני הצדדים, וכיצד לטפל בהם במקור.
13. ארגונים צריכים לנסח נהלים המנהלים סיכונים כאשר הם פועלים עם רכיבים לא זמינים, לא נתמכים או מדור קודם, בכל מקום שבו הם נמצאים. כאשר רכיבים נפלו לאחת מהקטגוריות הללו, ארגונים צריכים להיות מסוגלים להסתגל בהתאם ולזהות חלופות.

הדרכה משלימה

חשוב לציין שאין לקחת את ממשל שרשרת אספקת ה-ICT במנותק, בהתאם לבקרה זו. Control 5.21 נועד להשלים את נהלי ניהול שרשרת האספקה ​​הקיימים, ולהציע הקשר למוצרים ושירותים ספציפיים ל-ICT.

ISO מכירה בכך שבמיוחד בכל הנוגע לרכיבי תוכנה, בקרת האיכות בתחום מוצרי ושירותי ה-ICT אינה משתרעת על בדיקה פרטנית של מערך נהלי הציות של הספק עצמו.

ככזה, ארגונים מעודדים לזהות בדיקות ספציפיות לספק המאמתות את הספק כ"מקור מכובד" ולנסח הסכמים המציינים באופן קטגורי את חובות אבטחת המידע של הספק, בעת מילוי חוזה, הזמנה או מתן שירות.

בקרה 5.21 שינויים מ-ISO 27002:2013

ISO 27002:2022-5.21 מחליף את ISO 27002:2013-15.1.3 (שרשרת אספקת טכנולוגיות מידע ותקשורת).

ISO 27002:2022-5.21 מציית לאותה קבוצה של כללי הנחיות כלליים כמו ISO 27002:2013-15.1.3, אך שם דגש גדול בהרבה על חובתו של ספק לספק ולאמת מידע הקשור לרכיבים בנקודת האספקה, כולל:

• ספקי ICT המספקים מידע על רכיבים.
• ספקי ICT המתארים את פונקציות האבטחה של מוצר וכיצד להפעילו בצורה הטובה ביותר מנקודת מבט אבטחה.
• הבטחות לגבי רמות האבטחה הנדרשות.

ISO 27002:2022-5.21 גם מבקש מהארגון ליצור מידע נוסף ספציפי לרכיבים כדי להגביר את הרמות הכלליות של אבטחת מידע בעת הצגת מוצרים ושירותים, כולל:

• זיהוי ותיעוד רכיבים חיוניים לפונקציונליות הליבה של המוצר או השירות.
• להבטיח שהרכיבים הם מקוריים וללא שינוי.

כיצד ISMS.online עוזר

At ISMS.online, בנינו מערכת מקיפה וקלה לשימוש שיכולה לעזור לך ליישם בקרות ISO 27002 ולנהל את כל ה-ISMS שלך.

הפלטפורמה מבוססת הענן שלנו מציעה:

• מערכת ניהול תיעוד קלה לשימוש והתאמה אישית.
• גישה לספרייה של תבניות תיעוד מלוטשות וכתובות מראש.
• תהליך פשוט לביצוע ביקורות פנימיות.
• שיטה יעילה לתקשורת עם ההנהלה ובעלי העניין.
• מודול זרימת עבודה לייעול תהליך ההטמעה.

ל-ISMS.online יש את כל התכונות הללו, ועוד.

צור קשר עוד היום כדי הזמן הדגמה.