ISO 27002:2022, Control 5.19 – Informationssicherheit in Lieferantenbeziehungen

Eigentum an der Kontrolle 5.19

Während Control 5.19 viele Leitlinien zur Nutzung von IKT-Diensten enthält, umfasst der breitere Umfang der Kontrolle viele andere Aspekte der Beziehung einer Organisation zu ihrer Lieferantenbasis, einschließlich Lieferantentypen, Logistik, Versorgungsunternehmen, Finanzdienstleistungen und Infrastrukturkomponenten.

Daher sollte die Verantwortung für Control 5.19 bei einem Mitglied der Geschäftsleitung liegen, das den kommerziellen Betrieb einer Organisation überwacht und eine direkte Beziehung zu den Lieferanten einer Organisation unterhält, wie z Chief Operating Officer.

Allgemeine Anleitung

Zur Einhaltung von Control 5.19 gehört die Einhaltung dessen, was als a bezeichnet wird „themenspezifischer“ Ansatz zur Informationssicherheit in Lieferantenbeziehungen.

Themenspezifische Ansätze ermutigen Organisationen, lieferantenbezogene Richtlinien zu erstellen, die auf einzelne Geschäftsfunktionen zugeschnitten sind, anstatt sich an eine Pauschalpolitik zu halten Lieferantenmanagementrichtlinie Dies gilt für alle Beziehungen zu Dritten im gesamten Geschäftsbetrieb einer Organisation.

Es ist wichtig zu beachten, dass Control 5.19 die Organisation dazu auffordert, Richtlinien und Verfahren zu implementieren, die nicht nur die Nutzung von Lieferantenressourcen und Cloud-Plattformen durch die Organisation regeln, sondern auch die Grundlage dafür bilden, wie sie sich vor und während der Laufzeit von ihren Lieferanten verhalten sollen die Geschäftsbeziehung.

Somit kann Control 5.19 als das wesentliche qualifizierende Dokument angesehen werden, das vorschreibt, wie die Informationssicherheits-Governance im Verlauf eines Lieferantenvertrags gehandhabt wird.

Control 5.19 enthält 14 Hauptleitpunkte, die eingehalten werden müssen:

1) Führen Sie eine genaue Aufzeichnung der Lieferantentypen (z. B. Finanzdienstleistungen, IKT-Hardware, Telefonie), die das Potenzial haben, die Integrität der Informationssicherheit zu beeinträchtigen.

Compliance – Erstellen Sie eine Liste aller Lieferanten, mit denen Ihr Unternehmen zusammenarbeitet, kategorisieren Sie sie nach ihrer Geschäftsfunktion und fügen Sie bei Bedarf Kategorien zu den Lieferantentypen hinzu.

2) Verstehen Sie, wie Lieferanten auf der Grundlage des Risikoniveaus ihres Lieferantentyps überprüft werden.

Compliance – Unterschiedliche Lieferantentypen erfordern unterschiedliche Due-Diligence-Prüfungen. Erwägen Sie den Einsatz von Überprüfungsmethoden auf Lieferantenbasis (z. B. Branchenreferenzen, Finanzberichte, Vor-Ort-Bewertungen, branchenspezifische Zertifizierungen wie Microsoft-Partnerschaften).

3) Identifizieren Sie Lieferanten, die bereits über Informationssicherheitskontrollen verfügen.

Compliance – Bitten Sie darum, Kopien der relevanten Verfahren zur Informationssicherheits-Governance der Lieferanten einzusehen, um das Risiko für Ihre eigene Organisation einschätzen zu können. Wenn sie keine haben, ist das kein gutes Zeichen.

4) Identifizieren und definieren Sie die spezifischen Bereiche der IKT-Infrastruktur Ihres Unternehmens, auf die Ihre Lieferanten entweder zugreifen, sie überwachen oder selbst nutzen können.

Compliance – Es ist wichtig, von Anfang an genau festzulegen, wie Ihre Lieferanten mit Ihren IKT-Ressourcen interagieren – sei es physisch oder virtuell – und welche Zugriffsebenen ihnen gemäß ihren vertraglichen Verpflichtungen gewährt werden.

5) Definieren Sie, wie sich die eigene IKT-Infrastruktur der Lieferanten auf Ihre eigenen Daten und die Ihrer Kunden auswirken kann.

Compliance – Die erste Verpflichtung einer Organisation besteht darin, ihre eigenen Informationssicherheitsstandards einzuhalten. Die IKT-Ressourcen der Lieferanten müssen auf ihr Potenzial überprüft werden wirken sich auf die Betriebszeit und Integrität in Ihrem gesamten Unternehmen aus.

6) Identifizieren und verwalten Sie die verschiedenen Risiken der Informationssicherheit angehängt an:

a. Nutzung vertraulicher Informationen oder geschützter Vermögenswerte durch Lieferanten (z. B. beschränkt auf böswillige Nutzung und/oder kriminelle Absicht).

b. Fehlerhafte Hardware des Lieferanten oder fehlerhafte Softwareplattform im Zusammenhang mit On-Premise- oder Cloud-basierten Diensten.

Compliance – Unternehmen müssen sich ständig der Informationssicherheitsrisiken bewusst sein, die mit katastrophalen Ereignissen wie böswilligen Benutzeraktivitäten auf Lieferantenseite oder größeren unvorhergesehenen Softwarevorfällen einhergehen, und deren Auswirkungen auf die Informationssicherheit des Unternehmens.

Allgemeine Hinweise Fortsetzung

7) Überwachen Sie die Einhaltung der Informationssicherheit themen- oder lieferantenspezifisch.

Compliance – Die Organisation muss die Auswirkungen auf die Informationssicherheit erkennen, die jedem Lieferantentyp innewohnen, und ihre Überwachungsaktivitäten an unterschiedliche Risikoniveaus anpassen.

8) Begrenzen Sie die Höhe des durch Nichteinhaltung verursachten Schadens und/oder der Störung.

Compliance – Die Aktivitäten des Lieferanten sollten entsprechend seinem Risikoniveau in geeigneter Weise und in unterschiedlichem Umfang überwacht werden. Wenn proaktiv oder reaktiv eine Nichteinhaltung festgestellt wird, sollten sofort Maßnahmen ergriffen werden.

9) Pflegen Sie a robustes Vorfallmanagementverfahren das eine angemessene Menge an Eventualverbindlichkeiten berücksichtigt.

Compliance – Organisationen sollten genau verstehen, wie sie reagieren müssen, wenn sie mit einer breiten Palette von Ereignissen im Zusammenhang mit der Lieferung von Produkten und Dienstleistungen Dritter konfrontiert werden, und Abhilfemaßnahmen skizzieren, die sowohl den Lieferanten als auch die Organisation einbeziehen.

10) Ergreifen Sie Maßnahmen, die auf die Verfügbarkeit und Verarbeitung der Informationen des Lieferanten abzielen, unabhängig davon, wo diese verwendet werden, und stellen Sie so die Integrität der eigenen Informationen der Organisation sicher.

Compliance – Es sollten Maßnahmen ergriffen werden, um sicherzustellen, dass Lieferantensysteme und -daten auf eine Weise gehandhabt werden, die die Verfügbarkeit und Sicherheit der eigenen Systeme und Informationen der Organisation nicht beeinträchtigt.

11) Entwerfen Sie einen gründlichen Schulungsplan, der Anleitungen für den Umgang des Personals mit dem Personal des Lieferanten und Informationen für jeden einzelnen Lieferanten oder für jeden Typ bietet.

Compliance – Die Schulung sollte das gesamte Spektrum der Governance zwischen einer Organisation und ihren Lieferanten abdecken, einschließlich der detaillierten Einbindung Risikomanagementkontrollen und themenspezifische Vorgehensweisen.

12) Verstehen und verwalten Sie das Risikoniveau, das mit der Übertragung von Informationen sowie physischen und virtuellen Vermögenswerten zwischen der Organisation und ihren Lieferanten verbunden ist.

Compliance – Organisationen sollten jede Phase des Transferprozesses planen und ihre Mitarbeiter darüber informieren Risiken im Zusammenhang mit der Verlagerung von Vermögenswerten und Informationen von einer Quelle zur anderen.

13) Stellen Sie sicher, dass Lieferantenbeziehungen unter Berücksichtigung der Informationssicherheit beendet werden, einschließlich der Aufhebung von Zugriffsrechten und der Möglichkeit, auf Unternehmensinformationen zuzugreifen.

Compliance – Ihre IKT-Teams sollten genau wissen, wie sie den Zugriff eines Lieferanten auf Informationen widerrufen können, einschließlich:

• Detaillierte Analyse aller zugehörigen Domänen- und/oder Cloud-basierten Konten.
• Vertrieb von geistigem Eigentum.
• Die Übertragung von Informationen zwischen Lieferanten oder zurück zu Ihrer Organisation.
• Verwaltung von Aufzeichnungen.
• Rückgabe von Vermögenswerten an ihren ursprünglichen Eigentümer.
• Angemessene Entsorgung physischer und virtueller Vermögenswerte, einschließlich Informationen.
• Einhaltung aller vertraglichen Anforderungen, einschließlich Vertraulichkeitsklauseln und/oder externer Vereinbarungen.

14) Beschreiben Sie genau, wie Sie vom Lieferanten erwarten, dass er sich in Bezug auf physische und virtuelle Sicherheitsmaßnahmen verhält.

Compliance – Organisationen sollten von Beginn jeder Geschäftsbeziehung an klare Erwartungen festlegen, die festlegen, wie sich das Personal auf Lieferantenseite im Umgang mit Ihren Mitarbeitern oder relevanten Vermögenswerten verhalten soll.

Ergänzende Anleitung

ISO erkennt an, dass es nicht immer möglich ist, einem Lieferanten vollständige Richtlinien aufzuzwingen, die jede einzelne Anforderung aus der obigen Liste erfüllen, wie in Control 5.19 vorgesehen, insbesondere wenn es um starre Organisationen des öffentlichen Sektors geht.

Allerdings besagt Control 5.19 eindeutig, dass Organisationen die oben genannten Leitlinien beim Aufbau von Beziehungen zu Lieferanten nutzen und eine Nichteinhaltung von Fall zu Fall prüfen sollten.

Wo eine vollständige Compliance nicht erreichbar ist, gibt Control 5.19 Organisationen Spielraum, indem es „kompensierende Kontrollen“ empfiehlt, die ein angemessenes Maß an Risikomanagement auf der Grundlage der besonderen Umstände einer Organisation erreichen.

Änderungen gegenüber ISO 27002:2013

27002:2022-5.19 ersetzt 27002:2013-5.1.1 (Informationssicherheitsrichtlinie für Lieferantenbeziehungen).

27002:2022-5.19 hält sich im Großen und Ganzen an dieselben zugrunde liegenden Konzepte, die in der Kontrolle von 2013 enthalten sind, enthält jedoch mehrere zusätzliche Leitlinienbereiche, die entweder in 27002:2013-5.1.1 weggelassen oder zumindest nicht so ausführlich behandelt werden. einschließlich:

• Die Überprüfung von Lieferanten auf der Grundlage ihres Lieferantentyps und ihres Risikoniveaus.
• Die Notwendigkeit, die Integrität der Lieferanteninformationen sicherzustellen, um ihre eigenen Daten zu schützen und die Geschäftskontinuität sicherzustellen.
• Die verschiedenen Schritte, die bei Beendigung einer Lieferantenbeziehung erforderlich sind, einschließlich der Aufhebung von Zugriffsrechten, IP-Verteilung, vertraglichen Vereinbarungen usw.

27002:2022-5.19 erkennt auch ausdrücklich die sehr unterschiedliche Natur der Lieferantenbeziehungen an (basierend auf Art, Branche und Risikoniveau) und gibt Organisationen einen gewissen Spielraum bei der Prüfung der Möglichkeit der Nichteinhaltung eines bestimmten Leitlinienpunkts. basierend auf der Art der Beziehung (siehe „Ergänzende Anleitung“ oben).

Wie ISMS.online hilft

Die richtigen ISMS.online kannst Du:

• Implementieren Sie schnell eine Informationssicherheits-Managementsystem (ISMS).
• Verwalten Sie ganz einfach die Dokumentation Ihres ISMS.
• Optimieren Sie die Einhaltung aller relevanten Standards.
• Verwalten Sie alle Aspekte der Informationssicherheit, vom Risikomanagement bis hin zur Schulung des Sicherheitsbewusstseins.
• Kommunizieren Sie effektiv in Ihrem gesamten Unternehmen mit unserer integrierten Kommunikationsfunktion.

Es ist ganz einfach, ein kostenloses Testkonto zu erstellen und die von uns bereitgestellten Schritte zu befolgen.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.