ISO 27001:2022 bilaga A 5.22 – Övervakning och granskning och förändringshantering av leverantörstjänster

Vad är syftet med ISO 27001:2022 bilaga A 5.22?

Bilaga A kontroll 5.22 syftar till att säkerställa att en överenskommen informationssäkerhetsnivå och serviceleveransen upprätthålls. Detta är i enlighet med leverantörskontrakt avseende utveckling av leverantörstjänster.

Leverantörernas tjänster övervakas och granskas

I bilaga A 5.22 beskrivs organisationer som regelbundet övervakar, granskar och granskar sina processer för leverans av leverantörstjänster. Att genomföra granskningar och övervakning görs bäst i enlighet med informationen i riskzonen eftersom en storlek inte passar alla situationer.

Genom att genomföra sina granskningar i enlighet med den föreslagna segmenteringen av leverantörer kan organisationen optimera sina resurser och säkerställa att deras insatser koncentreras till att övervaka och granska var den mest betydande effekten kan uppnås.

Precis som med bilaga A 5.19 är pragmatism ibland nödvändig – små organisationer kommer inte nödvändigtvis att få en revision, en personalgranskning eller dedikerade tjänsteförbättringar genom att använda AWS. För att säkerställa att de förblir lämpliga för ditt ändamål kan du kontrollera (till exempel) deras årligen publicerade SOC II-rapporter och säkerhetscertifieringar.

Övervakningen bör dokumenteras utifrån din makt, risker och värde, så att din revisor kan bekräfta att den har slutförts. Detta beror på att alla nödvändiga ändringar har hanterats genom en formell ändringskontrollprocedur.

Hantera förändringar av leverantörstjänster

Leverantörer måste underhålla och förbättra befintliga policyer, procedurer och kontroller för informationssäkerhet för att hantera eventuella förändringar av leverantörernas tillhandahållande av tjänster. Processen beaktar affärsinformationens kritiska karaktär, förändringens karaktär, vilka leverantörstyper som påverkas, processer och system som är involverade samt en omvärdering av risker.

Vid förändringar av leverantörernas tjänster är det också viktigt att ta hänsyn till intimiteten i relationen. Detta liksom organisationens förmåga att påverka eller kontrollera en förändring inom leverantören.

Kontroll 5.22 anger hur organisationer ska övervaka, granska och hantera ändringar av en leverantörs säkerhetspraxis och tjänster leveransstandarder. Den bedömer också hur de påverkar organisationens egen säkerhetspraxis.

I hanteringen av relationer med sina leverantörer bör en organisation sträva efter att upprätthålla en grundläggande nivå av informationssäkerhet som överensstämmer med alla avtal som de har undertecknat.

I enlighet med ISO 27001:2022 är bilaga A 5.22 en förebyggande kontroll utformad för att minimera risker genom att hjälpa leverantören att upprätthålla en "överenskommen nivå av informationssäkerhet och leverans av tjänster.

Äganderätt till kontroll av bilaga A 5.22

En medlem av högsta ledningen som övervakar en organisations kommersiella verksamhet och upprätthåller en direkt relation med organisationens leverantörer bör ansvara för Kontroll 5.22.

ISO 27001:2022 Bilaga A 5.22 Allmän vägledning

Enligt ISO 27001:2022 bilaga A Kontroll 5.22, 13 nyckelområden bör beaktas vid hantering av leverantörsrelationer och hur dessa faktorer påverkar deras egna informationssäkerhetsåtgärder.

En organisation måste säkerställa att anställda som ansvarar för att hantera servicenivåavtal och leverantörsrelationer besitter erforderlig kompetens och tekniska resurser. Detta för att säkerställa att de kan utvärdera leverantörernas prestanda på ett adekvat sätt och att informationssäkerhetsstandarden inte bryts.

En organisations policyer och procedurer bör utarbetas av:

1. Övervaka kontinuerligt servicenivåer i enlighet med publicerade servicenivåavtal och åtgärda eventuella brister så snart de uppstår.
2. Leverantören måste övervakas för eventuella ändringar i sin egen verksamhet, inklusive (men inte begränsat till): (1) Tjänsteförbättringar (2) Nya applikationer, system eller mjukvaruprocesser (3) Relevanta och meningsfulla ändringar av de interna styrdokumenten för leverantör, och (4) eventuella ändringar av incidenthanteringsprocedurer eller försök att förbättra informationssäkerhetsnivån.
3. Alla ändringar som involverar tjänsten, inklusive (men inte begränsat till): a) Infrastrukturändringar b) Tillämpningar av framväxande teknologier c) Produktuppdateringar och versionsuppgraderingar d) Förändringar i utvecklingsmiljön e) Logistiska och fysiska förändringar av leverantörsanläggningar, inklusive nya platser f) Ändringar av outsourcingpartners eller underleverantörer g) Avsikter att lägga ut underleverantörer, där sådan praxis inte har praktiserats tidigare.
4. Se till att servicerapporter levereras regelbundet, att data analyseras och att granskningsmöten genomförs i enlighet med överenskomna servicenivåer.
5. Se till att outsourcingpartners och underleverantörer granskas och åtgärdar eventuella problemområden.
6. Genomför en granskning av säkerhetsincidenter baserat på den standard och praxis som överenskommits av leverantören och i enlighet med incidenthanteringsstandarderna.
7. Register bör föras över alla incidenter med informationssäkerhet, påtagliga driftsproblem, felloggar och allmänna hinder för att uppfylla de överenskomna servicestandarderna.
8. Vidta proaktiva åtgärder som svar på incidenter som rör informationssäkerhet.
9. Identifiera eventuella sårbarheter i informationssäkerhet och mildra dem i största möjliga utsträckning.
10. Utför en analys av eventuella relevanta informationssäkerhetsfaktorer kopplade till leverantörens relation till sina leverantörer och underleverantörer.
11. I händelse av betydande störningar från leverantörens sida, inklusive katastrofåterställning, se till att serviceleveransen levereras till acceptabla nivåer.
12. Tillhandahåll en lista över nyckelpersoner i leverantörens verksamhet som ansvarar för att upprätthålla efterlevnad och följa villkoren i kontraktet.
13. Se till att en leverantör upprätthåller en baslinjestandard för informationssäkerhet regelbundet.

Stödja kontroller i bilaga A

• ISO 27001:2022 bilaga A 5.29
• ISO 27001:2022 bilaga A 5.30
• ISO 27001:2022 bilaga A 5.35
• ISO 27001:2022 bilaga A 5.36
• ISO 27001:2022 bilaga A 8.14

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje enskild ISO 27001:2022 Annex A-kontroll.

Vad är fördelen med att använda ISMS.online för att hantera leverantörsrelationer?

Detta kontrollmål i bilaga A har gjorts mycket enkelt av ISMS.online. Detta beror på att ISMS.online ger bevis på att dina relationer är noggrant utvalda, välskötta och övervakade och granskade. Detta görs inom vårt lättanvända Kontorelationer (t.ex. leverantörer). Samarbetsprojekts arbetsutrymmen gör att revisorn enkelt kan se viktig leverantör vid boarding, gemensamma initiativ, off boarding, etc.

Förutom att hjälpa din organisation med detta bilaga A-kontrollmål, ISMS.online ger dig också möjligheten att tillhandahålla bevis på att leverantören formellt har accepterat kraven och har förstått sitt ansvar för informationssäkerhet genom våra policypaket. Som ett resultat av deras specifika policyer och kontroller, Policy Packs försäkrar leverantörer att deras personal har läst och åtagit sig att följa organisationens policyer och kontroller.

Det kan finnas ett bredare krav på att anpassa sig till bilaga A.5.8 Informationssäkerhet i projektledning, beroende på ändringens karaktär (t.ex. för mer materiella ändringar).

Det är lättare att implementera ISO 27001 med vår steg-för-steg-checklista, som guidar dig från att definiera ditt ISMS-omfång till att identifiera risker och implementera kontroller.

ISMS.online erbjuder följande fördelar:

• Plattformen låter dig skapa en ISMS-kompatibel med ISO 27001 krav.
• Användare kan slutföra uppgifter och skicka in bevis för att visa överensstämmelse med standarden.
• Processen att delegera ansvar och övervaka efterlevnaden är enkel.
• Som ett resultat av den omfattande riskbedömning verktygsuppsättning är processen snabbare och tidsbesparande.
• Ett dedikerat team av konsulter kan hjälpa dig genom hela efterlevnadsprocessen.

Kontakta oss idag för att BOKA EN DEMO.