ISO 27002:2022, Control 5.20 – Adressierung der Informationssicherheit in Lieferantenvereinbarungen

Allgemeine Leitlinien zur Kontrolle 5.20

Control 5.20 enthält 25 Leitlinienpunkte, die laut ISO „in Betracht gezogen werden können“ (dh nicht unbedingt alle), um die Informationssicherheitsanforderungen einer Organisation zu erfüllen.

Unabhängig davon, welche Maßnahmen ergriffen werden, heißt es in Control 5.20 ausdrücklich, dass beide Parteien den Prozess mit einem „klaren Verständnis“ ihrer gegenseitigen Informationssicherheitsverpflichtungen verlassen sollten.

1. Es sollte eine klare Beschreibung bereitgestellt werden, in der detailliert beschrieben wird, auf welche Informationen in irgendeiner Weise zugegriffen werden muss und wie auf diese Informationen zugegriffen werden soll.
2. Die Organisation sollte die Informationen, auf die zugegriffen werden soll, gemäß ihrem veröffentlichten Klassifizierungsschema klassifizieren (siehe Kontrolle 5.10, Kontrolle 5.12 und Kontrolle 5.13).
3. Das Klassifizierungssystem auf Lieferantenseite und dessen Zusammenhang mit der Klassifizierung von Informationen durch die Organisation sollten angemessen berücksichtigt werden.
4. Die Rechte beider Parteien sollten in vier Hauptbereiche eingeteilt werden: gesetzlich, gesetzlich, behördlich und vertraglich. Innerhalb dieser vier Bereiche sollten verschiedene Verpflichtungen klar umrissen werden, wie es in kommerziellen Vereinbarungen üblich ist, einschließlich des Zugriffs auf PII, geistige Eigentumsrechte und Urheberrechtsbestimmungen. Die Vereinbarung sollte auch festlegen, wie die einzelnen Schlüsselbereiche der Reihe nach angegangen werden.
5. Jede Partei sollte verpflichtet sein, eine Reihe gleichzeitiger Kontrollen zur Überwachung, Bewertung und Verwaltung durchzuführen Informationssicherheitsrisiko Ebenen (z. B. Zugriffskontrollrichtlinien, Vertragsprüfungen, Systemüberwachung, Berichterstattung und regelmäßige Prüfungen). Darüber hinaus sollte die Vereinbarung klar darlegen, dass das Personal des Lieferanten die Informationssicherheitsstandards einer Organisation einhalten muss (siehe Kontrolle 5.20).
6. Es sollte ein klares Verständnis darüber bestehen, was sowohl eine akzeptable als auch eine inakzeptable Nutzung von Informationen sowie physischen und virtuellen Vermögenswerten beider Parteien darstellt.
7. Es sollten Verfahren eingerichtet werden, die sich mit den Autorisierungsebenen befassen, die für Mitarbeiter auf Lieferantenseite erforderlich sind, um auf die Informationen einer Organisation zuzugreifen oder diese einzusehen (z. B. Listen autorisierter Benutzer, Audits auf Lieferantenseite, Serverzugriffskontrollen).
8. Die Informationssicherheit sollte zusammen mit der eigenen IKT-Infrastruktur des Lieferanten berücksichtigt werden und wie diese mit der Art der Informationen zusammenhängt, auf die die Organisation Zugriff gewährt hat Risikokriterien und die grundlegenden Geschäftsanforderungen der Organisation.
9. Es sollte darüber nachgedacht werden, welche Maßnahmen die Organisation ergreifen kann, wenn der Lieferant vertragswidrig ist oder einzelne Vorgaben nicht eingehalten werden.
10. In der Vereinbarung sollte eine Gegenseitigkeit klar dargelegt werden Vorfallmanagementverfahren Darin wird klar festgelegt, was zu tun ist, wenn Probleme auftreten, insbesondere hinsichtlich der Art und Weise, wie der Vorfall zwischen beiden Parteien kommuniziert wird.
11. Es sollte Personal beider Parteien vorhanden sein angemessene Sensibilisierungsschulung (wo eine Standardschulung nicht ausreicht) zu Schlüsselbereichen der Vereinbarung, insbesondere in Bezug auf wichtige Risikobereiche wie das Vorfallmanagement und die Bereitstellung des Zugangs zu Informationen.
12. Dem Einsatz von Subunternehmern sollte angemessene Aufmerksamkeit gewidmet werden. Wenn es dem Lieferanten gestattet ist, Subunternehmer einzusetzen, sollten die Organisationen Maßnahmen ergreifen, um sicherzustellen, dass diese Personen oder Unternehmen denselben Informationssicherheitsanforderungen unterliegen wie der Lieferant.
13. Wo es rechtlich möglich und betrieblich relevant ist, sollten Organisationen darüber nachdenken, wie Lieferantenpersonal überprüft wird, bevor es mit ihren Informationen interagiert, und wie die Überprüfung aufgezeichnet und der Organisation gemeldet wird, einschließlich nicht überprüftem Personal und besorgniserregenden Bereichen.
14. Organisationen sollten die Notwendigkeit von Bescheinigungen Dritter vorschreiben, die die Fähigkeit des Lieferanten überprüfen, die organisatorischen Informationssicherheitsanforderungen zu erfüllen, einschließlich unabhängiger Berichte und Audits Dritter.
15. Organisationen sollten das vertragliche Recht haben, die Verfahren eines Lieferanten in Bezug auf Kontrolle 5.20 zu bewerten und zu prüfen.
16. Lieferanten sollten verpflichtet sein, Berichte (in unterschiedlichen Abständen) vorzulegen, die die Wirksamkeit ihrer eigenen Prozesse und Verfahren abdecken und darlegen, wie sie die in einem solchen Bericht aufgeworfenen Probleme angehen wollen.
17. In der Vereinbarung sollten Maßnahmen getroffen werden, um die rechtzeitige und gründliche Lösung etwaiger Mängel oder Konflikte sicherzustellen, die im Laufe der Beziehung auftreten.
18. Gegebenenfalls sollte der Lieferant mit einer robusten BUDR-Richtlinie im Einklang mit den Bedürfnissen der Organisation arbeiten, die drei Hauptüberlegungen abdeckt:
    
    a) Sicherungstyp (vollständiger Server, Datei und Ordner usw., inkrementell usw.)
    b) Backup-Häufigkeit (täglich, wöchentlich usw.)
    c) Backup-Standort und Quellmedien (vor Ort, extern)
19. Die Datenresilienz sollte durch den Betrieb mit einem Disaster-Recovery-Standort erreicht werden, der vom Haupt-IKT-Standort des Lieferanten getrennt ist und nicht dem gleichen Risikoniveau unterliegt.
20. Der Lieferant sollte mit a zusammenarbeiten umfassende Change-Management-Richtlinie Dies informiert die Organisation im Voraus über alle Änderungen, die sich auf die Informationssicherheit auswirken könnten, und gibt der Organisation die Möglichkeit, solche Änderungen abzulehnen.
21. Physische Sicherheitskontrollen (Gebäudezugang, Besucherzugang, Raumzugang, Schreibtischsicherheit) sollten erlassen werden, die für die Art der Informationen relevant sind, auf die sie zugreifen dürfen.
22. Wenn die Notwendigkeit einer Übertragung besteht Informationen zwischen Vermögenswerten, Standorten, Servern oder Speicherorten sollte der Lieferant sicherstellen, dass Daten und Vermögenswerte während des gesamten Prozesses vor Verlust, Beschädigung oder Beschädigung geschützt sind.
23. Die Vereinbarung sollte eine umfassende Liste der von beiden Parteien im Falle einer Kündigung zu ergreifenden Maßnahmen enthalten (siehe auch Kontrolle 5.20), einschließlich (aber nicht beschränkt auf):
    
    a) Veräußerung und/oder Umzug von Vermögenswerten
    b) Löschung von Informationen
    c) Rückgabe von IP
    d) Zugriffsrechte entziehen
    e) Laufende Geheimhaltungspflichten
24. Ergänzend zu Punkt 23 sollte der Lieferant genau darlegen, wie er beabsichtigt, die Informationen der Organisation zu vernichten bzw. dauerhaft zu löschen, sobald sie nicht mehr benötigt werden (z. B. im Falle einer Kündigung).
25. Wenn sich am Ende eines Vertrags die Notwendigkeit ergibt, Support und/oder Dienstleistungen an einen anderen Anbieter zu übergeben, der nicht im Vertrag aufgeführt ist, werden Maßnahmen ergriffen, um sicherzustellen, dass der Prozess zu keiner Betriebsunterbrechung führt.

Unterstützende Kontrollen

• 5.10
• 5.12
• 5.13
• 5.20

Ergänzende Anleitung

Um Organisationen bei der Verwaltung von Lieferantenbeziehungen zu unterstützen, heißt es in Control 5.20, dass Organisationen eine pflegen sollten Register der Vereinbarungen.

In den Registern sollten alle mit anderen Organisationen getroffenen Vereinbarungen aufgeführt und nach der Art der Beziehung kategorisiert werden, z Verträge, Absichtserklärungen und Vereinbarungen zum Informationsaustausch.

Änderungen und Unterschiede zu ISO 27002:2013

ISO 27002:2022-5.20 ersetzt 27002:2013-15.1.2 (Adressierung der Sicherheit in Lieferantenvereinbarungen).

ISO 27002:2022-5.20 enthält zahlreiche zusätzliche Leitlinien, die sich mit einem breiten Spektrum technischer, rechtlicher und Compliance-bezogener Themen befassen, darunter:

• Übergabeverfahren
• Informationsvernichtung
• Kündigungsklauseln
• Physische Sicherheitskontrollen
• Änderungsmanagement
• Backups und Informationsredundanz

Im Großen und Ganzen legt ISO 27002:2022-5.20 einen viel größeren Schwerpunkt auf das, was am Ende einer Lieferantenbeziehung geschieht, und misst der Art und Weise, wie ein Lieferant im Verlauf einer Vereinbarung Redundanz und Datenintegrität erreicht, viel mehr Bedeutung bei.

Wie ISMS.online hilft

ISO 27002 Die Implementierung wird einfacher mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, von der Definition des Umfangs Ihres ISMS über die Risikoidentifizierung bis hin zur Kontrollimplementierung.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.