מטרת הבקרה 5.21
בקרה 5.21 קובעת כיצד ארגונים לנהל אבטחת מידע סיכונים לאורך שרשרת אספקת ה-ICT שלהם, על ידי יישום תהליכים ונהלים חזקים לפני אספקת המוצרים או השירותים.
5.21 הוא בקרה מונעת זֶה שומר על סיכון על ידי הקמת "רמת אבטחה מוסכמת" בין שני הצדדים לאורך כל ה-ICT שרשרת אספקה.
טבלת בקרה של תכונות 5.21
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לזהות | #אבטחת קשרי ספקים | #ממשל ומערכת אקולוגית |
| #יושרה | #הֲגָנָה | |||
| #זמינות |
בעלות על שליטה 5.21
בקרה 5.21 מתמקדת במפורש במתן שירותי ICT, באמצעות ספק או קבוצת ספקים.
ככזה, הבעלות צריכה להיות בידי האדם האחראי לרכישה, ניהול וחידוש ה-ICT קשרי ספקים בכל הפונקציות העסקיות, כגון א מנהל טכני ראשי or מנהל מערכות מידע.
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
הנחיות כלליות בנושא בקרה 5.21
ISO קובע 13 נקודות הדרכה הקשורות לתקשוב שיש לקחת בחשבון בַּצַד כל בקרות אחרות המכתיבות את מערכת היחסים של ארגון עם הספקים שלו.
בהתחשב בהתרחבות של שירותי On-Premise ושירותי ענן חוצי פלטפורמות בעשור האחרון, Control 5.21 עוסק באספקת שניהם חומרה ו תוֹכנָה-רכיבים ושירותים הקשורים (הן מקומיים והן מבוססי ענן), ולעתים רחוקות יוצר הבחנה בין השניים.
בנוסף ליחסים בין הספק לארגון, מספר בקרות עוסקות גם בהתחייבויות של ספק בעת קבלנות משנה של רכיבים בשרשרת האספקה לארגוני צד שלישי.
- ארגונים צריכים לנסח סט ברור של אבטחת מידע סטנדרטים החלים על הצרכים האישיים שלהם, כדי להגדיר ציפיות ברורות לגבי אופן ההתנהלות של ספקים בעת אספקת מוצרים ושירותי ICT.
- אם ספק ה-ICT מבצע קבלן משנה כלשהו בשרשרת האספקה, על הספק לנקוט באמצעים כדי להבטיח שהקבלנים ואנשיהם בקיאים במלואם בתקני אבטחת המידע הייחודיים של הארגון.
- אם מתעורר צורך לרכוש רכיבים (פיזיים או וירטואליים) שנרכשו מצד שלישי, על הספק להפיץ את דרישות האבטחה של הארגון לכל ספק או ספק שהם עצמם משתמשים בהם.
- יש לבקש מהספקים לספק מידע על האופי והתפקוד של רכיבי התוכנה שבהם הם משתמשים כדי לספק שירות לארגון.
- ארגונים צריכים לזהות את פונקציות האבטחה הבסיסיות של כל מוצר או שירות שסופק, וכיצד לתפעל את המוצר או השירות האמורים באופן לא מתפשר על אבטחת מידע.
- ארגונים לא צריכים לקחת את רמות הסיכון כמובנות מאליהן, וטיוטת נהלים המבטיחים שכל המוצרים או השירותים שספק מספק הם בעלי אופי מאובטח ועומדים בתקנים המקובלים בתעשייה. השיטות עשויות לכלול בדיקות הסמכה, בדיקות פנימיות ותיעוד תאימות תומך.
- בעת קבלת מוצר או שירות, ארגונים צריכים לדבוק בתהליך של זיהוי תחילה ולאחר מכן רישום של רכיבים הנחשבים כחיוניים לשמירה על פונקציונליות הליבה - במיוחד אם רכיבים אלה מקורם בהסכם של קבלן משנה/מיקור חוץ.
- ספקים צריכים להיות מסוגלים לספק הבטחות קונקרטיות לכך ש"רכיבים קריטיים" נהנים מטיפול יסודי יומן ביקורת העוקב אחר תנועתם לאורך שרשרת אספקת ה-ICT, מהיצירה ועד למסירה.
- כאשר מוצרי ושירותי ICT מסופקים, ארגונים צריכים לבקש ביטחון קטגורי שהמוצרים והשירותים האמורים אינם פועלים רק בהיקף, אלא אינם מכילים תכונות נוספות שעשויות להוות בטחונות. סיכון ביטחוני.
- מפרטי הרכיבים הם המפתח להבטיח שארגון מבין את רכיבי החומרה והתוכנה שהוא מכניס לרשת שלו. על הספקים לשקול אמצעים למניעת שיבוש לאורך כל מחזור חיי הפיתוח, וארגונים צריכים לדרוש תנאים המאמתים רכיבים כלגיטימיים עם המסירה.
- יש לחפש הבטחות כדי לאשר שמוצרי ICT מתאימים לסטנדרטים בתעשייה ו/או למגזר ספציפי דרישות אבטחה, לפי רלוונטי לכל מוצר. שיטות נפוצות להשגת זאת כוללות השגת רמה מינימלית של הסמכת אבטחה פורמלית, או עמידה בסט של תקני מידע מוכרים בינלאומיים (כגון הסדר לזיהוי קריטריונים) לכל מוצר.
- ארגונים צריכים לנקוט בצעדים כדי להבטיח זאת הספקים מודעים לכך של מחויבויותיהם בעת שיתוף מידע ו/או נתונים הנוגעים לפעולת שרשרת האספקה ההדדית, לרבות הכרה בכל קונפליקטים או בעיות פוטנציאליים שעלולים להתעורר בין שני הצדדים, וכיצד לטפל בהם במקור.
- ארגונים צריכים לנסח נהלים המנהלים סיכונים כאשר הם פועלים עם רכיבים לא זמינים, לא נתמכים או מדור קודם, בכל מקום שבו הם נמצאים. כאשר רכיבים נפלו לאחת מהקטגוריות הללו, ארגונים צריכים להיות מסוגלים להסתגל בהתאם ולזהות חלופות.
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
הדרכה משלימה
חשוב לציין שאין לקחת את ממשל שרשרת אספקת ה-ICT במנותק, בהתאם לבקרה זו. Control 5.21 נועד להשלים את נהלי ניהול שרשרת האספקה הקיימים, ולהציע הקשר למוצרים ושירותים ספציפיים ל-ICT.
ISO מכירה בכך שבמיוחד בכל הנוגע לרכיבי תוכנה, בקרת האיכות בתחום מוצרי ושירותי ה-ICT אינה משתרעת על בדיקה פרטנית של מערך נהלי הציות של הספק עצמו.
ככזה, ארגונים מעודדים לזהות בדיקות ספציפיות לספק המאמתות את הספק כ"מקור מכובד" ולנסח הסכמים המציינים באופן קטגורי את חובות אבטחת המידע של הספק, בעת מילוי חוזה, הזמנה או מתן שירות.
בקרה 5.21 שינויים מ-ISO 27002:2013
ISO 27002:2022-5.21 מחליף את ISO 27002:2013-15.1.3 (שרשרת אספקת טכנולוגיות מידע ותקשורת).
ISO 27002:2022-5.21 מציית לאותה קבוצה של כללי הנחיות כלליים כמו ISO 27002:2013-15.1.3, אך שם דגש גדול בהרבה על חובתו של ספק לספק ולאמת מידע הקשור לרכיבים בנקודת האספקה, כולל:
- ספקי ICT המספקים מידע על רכיבים.
- ספקי ICT המתארים את פונקציות האבטחה של מוצר וכיצד להפעילו בצורה הטובה ביותר מנקודת מבט אבטחה.
- הבטחות לגבי רמות האבטחה הנדרשות.
ISO 27002:2022-5.21 גם מבקש מהארגון ליצור מידע נוסף ספציפי לרכיבים כדי להגביר את הרמות הכלליות של אבטחת מידע בעת הצגת מוצרים ושירותים, כולל:
- זיהוי ותיעוד רכיבים חיוניים לפונקציונליות הליבה של המוצר או השירות.
- להבטיח שהרכיבים הם מקוריים וללא שינוי.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
At ISMS.online, בנינו מערכת מקיפה וקלה לשימוש שיכולה לעזור לך ליישם בקרות ISO 27002 ולנהל את כל ה-ISMS שלך.
הפלטפורמה מבוססת הענן שלנו מציעה:
- מערכת ניהול תיעוד קלה לשימוש והתאמה אישית.
- גישה לספרייה של תבניות תיעוד מלוטשות וכתובות מראש.
- תהליך פשוט לביצוע ביקורות פנימיות.
- שיטה יעילה לתקשורת עם ההנהלה ובעלי העניין.
- מודול זרימת עבודה לייעול תהליך ההטמעה.
ל-ISMS.online יש את כל התכונות הללו, ועוד.
צור קשר עוד היום כדי הזמן הדגמה.
