Zweck der Kontrolle 5.22
Control 5.22 legt die Methoden fest, die Organisationen anwenden sollten, wenn sie Änderungen in den Informationssicherheitspraktiken und Servicebereitstellungsstandards eines Lieferanten überwachen, überprüfen und verwalten und die Auswirkungen auf das eigene Informationssicherheitsniveau der Organisation bewerten.
Bei der Verwaltung der Beziehung zu ihren Lieferanten, sollte eine Organisation versuchen, ein grundlegendes Maß an Informationssicherheit aufrechtzuerhalten, das allen getroffenen Vereinbarungen entspricht.
5.22 ist vorbeugende Kontrolle zur Abwicklung, Integrierung, Speicherung und verändert das Risiko durch die Aufrechterhaltung eines „vereinbarten Niveaus an Informationssicherheit und Servicebereitstellung“ seitens des Lieferanten.
Kontrollattribute 5.22
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Identifizieren | #Sicherheit von Lieferantenbeziehungen | #Governance und Ökosystem |
| #Integrität | #Schutz | |||
| #Verfügbarkeit | #Verteidigung | |||
| #Informationssicherheitsgewährleistung |
Eigentum an der Kontrolle 5.22
Das Eigentum an Kontrolle 5.22 sollte bei einem leitenden Mitglied liegen Management, das den kommerziellen Betrieb einer Organisation überwachtund unterhält eine direkte Beziehung zu den Lieferanten einer Organisation, z Chief Operating Officer.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Allgemeine Leitlinien zur Kontrolle 5.22
Control 5.22 enthält 13 Hauptbereiche Organisationen brauchen welche Aspekte bei der Verwaltung von Lieferantenbeziehungen zu berücksichtigen sind und welche Auswirkungen diese auf die eigenen Informationssicherheitsstandards haben.
Unternehmen müssen Maßnahmen ergreifen, um sicherzustellen, dass Mitarbeiter, die für die Verwaltung von SLAs und Lieferantenbeziehungen verantwortlich sind, über die erforderlichen Fähigkeiten und technischen Ressourcen verfügen, um die Leistung der Lieferanten angemessen beurteilen zu können, und dass Informationssicherheitsstandards nicht verletzt werden.
Organisationen sollten Richtlinien und Verfahren entwerfen, die:
- Überwachen Sie die Servicelevel kontinuierlich gemäß den veröffentlichten SLAs und beheben Sie eventuelle Defizite.
- Überwachen Sie alle Änderungen, die der Lieferant an seinem eigenen Betrieb vornimmt, einschließlich (aber nicht beschränkt auf):
a) Service-Verbesserungen
b) Die Einführung neuer Anwendungen, Systeme oder Softwareprozesse
c) Relevante und sinnvolle Überarbeitungen der internen Governance-Dokumente des Lieferanten
d) Jedes Vorfallmanagement Verfahrensänderungen oder Bemühungen zur Erhöhung der Informationssicherheit - Überwachen Sie alle dienstspezifischen Änderungen, einschließlich (aber nicht beschränkt auf):
a) Änderungen an der Infrastruktur
b) Die Anwendung neuer Technologien
c) Die Einführung von Produkt-Updates oder Versions-Upgrades
d) Änderungen in der Entwicklungsumgebung
e) Logistische und physische Änderungen an Lieferantenanlagen, einschließlich neuer Standorte
f) Alle Änderungen bei Outsourcing-Partnern oder Subunternehmern
g) Die Absicht, Unteraufträge zu vergeben, wenn dies zuvor noch nicht praktiziert wurde - Fordern Sie regelmäßige Serviceberichte an, analysieren Sie Daten und nehmen Sie an Überprüfungsbesprechungen gemäß den vereinbarten Servicebereitstellungsniveaus teil.
- Prüfen Sie Outsourcing-Partner und Subunternehmer und gehen Sie allen Problembereichen auf den Grund.
- Überprüfen Sie Sicherheitsvorfälle gemäß den vereinbarten Standards und Praktiken für das Vorfallmanagement sowie der Lieferantenvereinbarung.
- Führen Sie eine gründliche Aufzeichnung von Informationssicherheitsereignissen, konkreten Betriebsproblemen, Fehlerprotokollen und allgemeinen Hindernissen für die vereinbarten Servicebereitstellungsstandards.
- Reagieren Sie proaktiv auf Ereignisse im Zusammenhang mit der Informationssicherheit und ergreifen Sie Abhilfemaßnahmen.
- Markieren Sie alle Schwachstellen in der Informationssicherheit und sie so weit wie möglich zu mildern.
- Analysieren Sie alle relevanten Informationssicherheitsfaktoren, die in der Beziehung des Lieferanten zu seinen eigenen Lieferanten und Subunternehmern enthalten sind.
- Stellen Sie sicher, dass die Servicebereitstellung nach erheblichen Störungen auf Lieferantenseite, einschließlich Notfallwiederherstellung, auf einem akzeptablen Niveau erfolgt.
- Beschreiben Sie die wichtigsten Mitarbeiter im Betrieb des Lieferanten, die für die Einhaltung und Einhaltung der Vertragsbedingungen verantwortlich sind.
- Regelmäßige Prüfung die Fähigkeit eines Lieferanten, einen grundlegenden Informationssicherheitsstandard aufrechtzuerhalten.
Unterstützende Kontrollen
- 5.29
- 5.30
- 5.35
- 5.36
- 8.14
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
ISO 27002 Die Implementierung wird einfacher mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, von der Definition des Umfangs Ihres ISMS über die Risikoidentifizierung bis hin zur Kontrollimplementierung.
Zu den wichtigsten Vorteilen der Nutzung von ISMS.online gehören:
- Nutze einfach das Erstellen Sie Ihr ISO 27001-konformes ISMS innerhalb der Plattform.
- Benutzer können Aufgaben erledigen und Nachweise einreichen, um die Einhaltung des Standards nachzuweisen.
- Es ist einfach, Verantwortlichkeiten zu delegieren und den Fortschritt in Richtung Compliance zu überwachen.
- Das umfangreiche Toolset zur Risikobewertung spart während des gesamten Prozesses Zeit und Aufwand.
- Wir haben eine engagierte Ein Team von Beratern steht Ihnen unterstützend zur Seite während Ihres gesamten Wegs zur Compliance.
Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.
