ISO 27002:2022 – Kontrolle 5.22 – Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen

Zweck der Kontrolle 5.22

Control 5.22 legt die Methoden fest, die Organisationen anwenden sollten, wenn sie Änderungen in den Informationssicherheitspraktiken und Servicebereitstellungsstandards eines Lieferanten überwachen, überprüfen und verwalten und die Auswirkungen auf das eigene Informationssicherheitsniveau der Organisation bewerten.

Bei der Verwaltung der Beziehung zu ihren Lieferanten, sollte eine Organisation versuchen, ein grundlegendes Maß an Informationssicherheit aufrechtzuerhalten, das allen getroffenen Vereinbarungen entspricht.

5.22 ist vorbeugende Kontrolle zur Abwicklung, Integrierung, Speicherung und verändert das Risiko durch die Aufrechterhaltung eines „vereinbarten Niveaus an Informationssicherheit und Servicebereitstellung“ seitens des Lieferanten.

Kontrollattribute 5.22

Eigentum an der Kontrolle 5.22

Das Eigentum an Kontrolle 5.22 sollte bei einem leitenden Mitglied liegen Management, das den kommerziellen Betrieb einer Organisation überwachtund unterhält eine direkte Beziehung zu den Lieferanten einer Organisation, z Chief Operating Officer.

Allgemeine Leitlinien zur Kontrolle 5.22

Control 5.22 enthält 13 Hauptbereiche Organisationen brauchen welche Aspekte bei der Verwaltung von Lieferantenbeziehungen zu berücksichtigen sind und welche Auswirkungen diese auf die eigenen Informationssicherheitsstandards haben.

Unternehmen müssen Maßnahmen ergreifen, um sicherzustellen, dass Mitarbeiter, die für die Verwaltung von SLAs und Lieferantenbeziehungen verantwortlich sind, über die erforderlichen Fähigkeiten und technischen Ressourcen verfügen, um die Leistung der Lieferanten angemessen beurteilen zu können, und dass Informationssicherheitsstandards nicht verletzt werden.

Organisationen sollten Richtlinien und Verfahren entwerfen, die:

1. Überwachen Sie die Servicelevel kontinuierlich gemäß den veröffentlichten SLAs und beheben Sie eventuelle Defizite.
2. Überwachen Sie alle Änderungen, die der Lieferant an seinem eigenen Betrieb vornimmt, einschließlich (aber nicht beschränkt auf):

   a) Service-Verbesserungen
   b) Die Einführung neuer Anwendungen, Systeme oder Softwareprozesse
   c) Relevante und sinnvolle Überarbeitungen der internen Governance-Dokumente des Lieferanten
   d) Jedes Vorfallmanagement Verfahrensänderungen oder Bemühungen zur Erhöhung der Informationssicherheit

3. Überwachen Sie alle dienstspezifischen Änderungen, einschließlich (aber nicht beschränkt auf):

   a) Änderungen an der Infrastruktur
   b) Die Anwendung neuer Technologien
   c) Die Einführung von Produkt-Updates oder Versions-Upgrades
   d) Änderungen in der Entwicklungsumgebung
   e) Logistische und physische Änderungen an Lieferantenanlagen, einschließlich neuer Standorte
   f) Alle Änderungen bei Outsourcing-Partnern oder Subunternehmern
   g) Die Absicht, Unteraufträge zu vergeben, wenn dies zuvor noch nicht praktiziert wurde

4. Fordern Sie regelmäßige Serviceberichte an, analysieren Sie Daten und nehmen Sie an Überprüfungsbesprechungen gemäß den vereinbarten Servicebereitstellungsniveaus teil.
5. Prüfen Sie Outsourcing-Partner und Subunternehmer und gehen Sie allen Problembereichen auf den Grund.
6. Überprüfen Sie Sicherheitsvorfälle gemäß den vereinbarten Standards und Praktiken für das Vorfallmanagement sowie der Lieferantenvereinbarung.
7. Führen Sie eine gründliche Aufzeichnung von Informationssicherheitsereignissen, konkreten Betriebsproblemen, Fehlerprotokollen und allgemeinen Hindernissen für die vereinbarten Servicebereitstellungsstandards.
8. Reagieren Sie proaktiv auf Ereignisse im Zusammenhang mit der Informationssicherheit und ergreifen Sie Abhilfemaßnahmen.
9. Markieren Sie alle Schwachstellen in der Informationssicherheit und sie so weit wie möglich zu mildern.
10. Analysieren Sie alle relevanten Informationssicherheitsfaktoren, die in der Beziehung des Lieferanten zu seinen eigenen Lieferanten und Subunternehmern enthalten sind.
11. Stellen Sie sicher, dass die Servicebereitstellung nach erheblichen Störungen auf Lieferantenseite, einschließlich Notfallwiederherstellung, auf einem akzeptablen Niveau erfolgt.
12. Beschreiben Sie die wichtigsten Mitarbeiter im Betrieb des Lieferanten, die für die Einhaltung und Einhaltung der Vertragsbedingungen verantwortlich sind.
13. Regelmäßige Prüfung die Fähigkeit eines Lieferanten, einen grundlegenden Informationssicherheitsstandard aufrechtzuerhalten.

Unterstützende Kontrollen

• 5.29
• 5.30
• 5.35
• 5.36
• 8.14

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

ISO 27002 Die Implementierung wird einfacher mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, von der Definition des Umfangs Ihres ISMS über die Risikoidentifizierung bis hin zur Kontrollimplementierung.

Zu den wichtigsten Vorteilen der Nutzung von ISMS.online gehören:

• Du kannst dich Erstellen Sie Ihr ISO 27001-konformes ISMS innerhalb der Plattform.
• Benutzer können Aufgaben erledigen und Nachweise einreichen, um die Einhaltung des Standards nachzuweisen.
• Es ist einfach, Verantwortlichkeiten zu delegieren und den Fortschritt in Richtung Compliance zu überwachen.
• Das umfangreiche Toolset zur Risikobewertung spart während des gesamten Prozesses Zeit und Aufwand.
• Wir haben eine engagierte Ein Team von Beratern steht Ihnen unterstützend zur Seite während Ihres gesamten Wegs zur Compliance.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.