Kontrolle 5.21 – Management der Informationssicherheit in der IKT-Lieferkette

Allgemeine Leitlinien zur Kontrolle 5.21

Die ISO legt 13 IKT-bezogene Leitpunkte fest, die berücksichtigt werden sollten neben alle anderen Kontrollen, die die Beziehung einer Organisation zu ihren Lieferanten bestimmen.

Angesichts der Ausweitung plattformübergreifender On-Premise- und Cloud-Dienste im letzten Jahrzehnt befasst sich Control 5.21 mit der Bereitstellung beider Dienste Hardware und Software.-bezogene Komponenten und Dienste (sowohl vor Ort als auch cloudbasiert) und unterscheidet selten zwischen beiden.

Neben der Beziehung zwischen dem Lieferanten und der Organisation befassen sich mehrere Kontrollen auch mit den Pflichten eines Lieferanten bei der Untervergabe von Elementen der Lieferkette an Drittorganisationen.

1. Organisationen sollten einen klaren Satz von erstellen Informationssicherheit Standards, die auf ihre individuellen Bedürfnisse zutreffen, um klare Erwartungen darüber festzulegen, wie sich Lieferanten bei der Bereitstellung von IKT-Produkten und -Dienstleistungen verhalten sollen.
2. Wenn der IKT-Anbieter ein Element der Lieferkette an Subunternehmer vergibt, sollte der Lieferant Maßnahmen ergreifen, um sicherzustellen, dass die Auftragnehmer und ihr Personal mit den einzigartigen Informationssicherheitsstandards der Organisation vollständig vertraut sind.
3. Wenn die Notwendigkeit besteht, von einem Dritten erworbene Komponenten (physisch oder virtuell) zu erwerben, sollte der Lieferant die Sicherheitsanforderungen der Organisation an alle Anbieter oder Zulieferer weitergeben, die er selbst nutzt.
4. Lieferanten sollten gebeten werden, Informationen über die Art und Funktion der Softwarekomponenten bereitzustellen, die sie zur Erbringung einer Dienstleistung für die Organisation verwenden.
5. Organisationen sollten die zugrunde liegenden Sicherheitsfunktionen jedes bereitgestellten Produkts oder Dienstes identifizieren und wissen, wie das Produkt oder der Dienst so betrieben werden kann, dass dies gewährleistet ist geht bei der Informationssicherheit keine Kompromisse ein.
6. Unternehmen sollten Risikoniveaus nicht als selbstverständlich betrachten und Verfahren entwerfen, die sicherstellen, dass alle von einem Lieferanten gelieferten Produkte oder Dienstleistungen sicher sind und anerkannten Industriestandards entsprechen. Zu den Methoden können Zertifizierungsprüfungen, interne Tests und unterstützende Compliance-Dokumentation gehören.
7. Beim Erhalt eines Produkts oder einer Dienstleistung sollten Unternehmen einen Prozess einhalten, bei dem zunächst alle Elemente identifiziert und dann aufgezeichnet werden, die für die Aufrechterhaltung der Kernfunktionalität als wesentlich erachtet werden – insbesondere, wenn diese Komponenten von einem Unterauftragnehmer/ausgelagerten Vertrag stammen.
8. Lieferanten sollten konkrete Zusicherungen geben können, dass „kritische Komponenten“ von einer gründlichen Überprüfung profitieren Audit-Log das ihre Bewegung entlang der gesamten IKT-Lieferkette verfolgt, von der Erstellung bis zur Lieferung.
9. Bei der Bereitstellung von IKT-Produkten und -Diensten sollten Organisationen kategorisch sicherstellen, dass diese Produkte und Dienste nicht nur innerhalb des Leistungsumfangs funktionieren, sondern auch keine zusätzlichen Funktionen enthalten, die eine Sicherheit darstellen könnten Sicherheitsrisiko.
10. Komponentenspezifikationen sind der Schlüssel, um sicherzustellen, dass ein Unternehmen die Hardware- und Softwarekomponenten versteht, die es in sein Netzwerk einführt. Lieferanten sollten während des gesamten Entwicklungslebenszyklus Maßnahmen zur Manipulationssicherheit in Betracht ziehen, und Organisationen sollten Bestimmungen fordern, die Komponenten bei der Lieferung als legitim verifizieren.
11. Es sollten Zusicherungen eingeholt werden, um zu bestätigen, dass IKT-Produkte mit Industriestandards und/oder branchenspezifischen Standards übereinstimmen Sicherheitsanforderungen, je nach Produkt. Zu den gängigen Methoden, um dies zu erreichen, gehören das Erreichen eines Mindestniveaus an formaler Sicherheitszertifizierung oder die Einhaltung einer Reihe international anerkannter Informationsstandards (z. B. der Common Criteria Recognition Arrangement) für jedes Produkt.
12. Organisationen sollten Maßnahmen ergreifen, um dies sicherzustellen Lieferanten sind sich dessen bewusst über ihre Pflichten beim Austausch von Informationen und/oder Daten im Zusammenhang mit der gegenseitigen Lieferkette, einschließlich der Anerkennung etwaiger potenzieller Konflikte oder Probleme, die zwischen beiden Parteien entstehen können, und der Art und Weise, wie mit ihnen an der Quelle umzugehen ist.
13. Unternehmen müssen Verfahren entwerfen, die das Risiko managen, wenn sie mit nicht verfügbaren, nicht unterstützten oder veralteten Komponenten arbeiten, unabhängig davon, wo diese sich befinden. Wenn Komponenten in eine dieser Kategorien fallen, sollten Organisationen in der Lage sein, sich entsprechend anzupassen und Alternativen zu identifizieren.

Ergänzende Anleitung

Es ist wichtig zu beachten, dass die Governance der IKT-Lieferkette im Einklang mit dieser Kontrolle nicht isoliert betrachtet werden sollte. Control 5.21 soll bestehende Supply-Chain-Management-Verfahren ergänzen und Kontext für IKT-spezifische Produkte und Dienstleistungen bieten.

Die ISO erkennt an, dass sich die Qualitätskontrolle im Bereich von IKT-Produkten und -Dienstleistungen insbesondere bei Softwarekomponenten nicht auf eine detaillierte Überprüfung der eigenen Compliance-Verfahren des Lieferanten erstreckt.

Daher werden Organisationen dazu ermutigt, lieferantenspezifische Kontrollen zu identifizieren, die den Lieferanten als „seriöse Quelle“ verifizieren, und Vereinbarungen zu entwerfen, in denen die Informationssicherheitsverpflichtungen des Lieferanten bei der Erfüllung eines Vertrags, einer Bestellung oder der Erbringung einer Dienstleistung kategorisch festgelegt sind.

Kontrolle 5.21 Änderungen gegenüber ISO 27002:2013

ISO 27002 :2022-5.21 ersetzt ISO 27002:2013-15.1.3 (Lieferkette für Informations- und Kommunikationstechnologie).

ISO 27002:2022-5.21 hält sich an die gleichen allgemeinen Leitlinien wie ISO 27002:2013-15.1.3, legt jedoch einen weitaus größeren Schwerpunkt auf die Verpflichtung eines Lieferanten, komponentenbezogene Informationen am Lieferort bereitzustellen und zu überprüfen, einschließlich:

• IKT-Anbieter, die Komponenteninformationen bereitstellen.
• IKT-Anbieter erläutern die Sicherheitsfunktionen eines Produkts und wie es unter Sicherheitsaspekten am besten betrieben werden kann.
• Zusicherungen hinsichtlich erforderlicher Sicherheitsstufen.

ISO 27002:2022-5.21 fordert die Organisation außerdem auf, zusätzliche komponentenspezifische Informationen zu erstellen, um das allgemeine Maß an Informationssicherheit bei der Einführung von Produkten und Dienstleistungen zu erhöhen, einschließlich:

• Identifizieren und Dokumentieren von Komponenten, die für die Kernfunktionalität des Produkts oder der Dienstleistung entscheidend sind.
• Sicherstellen, dass die Komponenten echt und unverändert sind.

Wie ISMS.online hilft

At ISMS.onlineWir haben ein umfassendes und benutzerfreundliches System aufgebaut, das Sie bei der Implementierung von ISO 27002-Kontrollen und der Verwaltung Ihres gesamten ISMS unterstützen kann.

Unsere cloudbasierte Plattform bietet:

• Ein benutzerfreundliches und anpassbares Dokumentationsverwaltungssystem.
• Zugriff auf eine Bibliothek ausgefeilter, vorgefertigter Dokumentationsvorlagen.
• Ein vereinfachter Prozess zur Durchführung interner Audits.
• Eine effiziente Methode zur Kommunikation mit Management und Stakeholdern.
• Ein Workflow-Modul zur Optimierung des Implementierungsprozesses.

ISMS.online verfügt über all diese FunktionenUnd vieles mehr.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.