ISO 27002:2022 – Kontroll 5.21 – Hantering av informationssäkerhet i IKT-leverantörskedjan

Syfte med kontroll 5.21

Kontroll 5.21 styr hur organisationer hantera informationssäkerhet risker genom hela deras IKT-försörjningskedja, genom att implementera robusta processer och procedurer innan leverans av produkter eller tjänster.

5.21 är en förebyggande kontroll den där upprätthåller risken genom att upprätta en "överenskommen säkerhetsnivå" mellan båda parter inom hela IKT leveranskedjan.

Attributtabell för kontroll 5.21

Äganderätt till kontroll 5.21

Kontroll 5.21 är uttryckligen inriktat på tillhandahållande av IKT-tjänster, via en leverantör eller grupp av leverantörer.

Som sådan bör ägandet ligga hos den person som är ansvarig för att förvärva, förvalta och förnya IKT leverantörsrelationer över alla affärsfunktioner, såsom en Teknisk chef or Chef för IT.

Allmän vägledning om kontroll 5.21

ISO anger 13 IKT-relaterade vägledningspunkter som bör beaktas vid sidan av alla andra kontroller som dikterar en organisations relation till dess leverantör(er).

Med tanke på expansionen av plattformsoberoende on-premise- och molntjänster under det senaste decenniet, handlar Control 5.21 om leverans av både hårdvara och programvara-relaterade komponenter och tjänster (både på plats och molnbaserade), och gör sällan skillnad mellan de två.

Förutom förhållandet mellan leverantören och organisationen, handlar flera kontroller också om en leverantörs skyldigheter när delar av leverantörskedjan läggs ut på underleverantörer till tredjepartsorganisationer.

1. Organisationer bör utarbeta en tydlig uppsättning av informationssäkerhet standarder som gäller deras individuella behov, för att sätta tydliga förväntningar på hur leverantörer ska uppträda när de levererar IKT-produkter och -tjänster.
2. Om IKT-leverantören lägger ut någon del av leveranskedjan på underleverantörer bör leverantören vidta åtgärder för att säkerställa att entreprenörer och deras personal är fullt insatta i organisationens unika informationssäkerhetsstandarder.
3. Om behov uppstår att förvärva komponenter (fysiska eller virtuella) köpta från tredje part bör leverantören sprida organisationens säkerhetskrav till alla leverantörer eller leverantörer som de själva använder.
4. Leverantörer bör uppmanas att tillhandahålla information om karaktären och funktionen hos de programvarukomponenter som de använder för att leverera en tjänst till organisationen.
5. Organisationer bör identifiera de underliggande säkerhetsfunktionerna för varje produkt eller tjänst som tillhandahålls och hur man använder denna produkt eller tjänst på ett sätt som kompromissar inte med informationssäkerheten.
6. Organisationer bör inte ta risknivåer för givna, och utkast till procedurer som säkerställer att alla produkter eller tjänster som en leverantör levererar är av säker karaktär och överensstämmer med accepterade industristandarder. Metoder kan innefatta certifieringskontroller, interna tester och stödjande dokumentation om efterlevnad.
7. När de tar emot en produkt eller tjänst bör organisationer följa en process för att först identifiera och sedan registrera alla element som anses vara väsentliga för att upprätthålla kärnfunktionalitet – särskilt om dessa komponenter har sitt ursprung från en underleverantör/outsourcad avtal.
8. Leverantörer bör kunna ge konkreta försäkringar om att "kritiska komponenter" drar nytta av en noggrann revisionslogg som spårar deras rörelse genom hela IKT-försörjningskedjan, från skapande till leverans.
9. Eftersom IKT-produkter och -tjänster levereras bör organisationer söka kategorisk försäkran om att nämnda produkter och tjänster inte bara fungerar inom räckvidden, utan innehåller några ytterligare funktioner som kan utgöra en säkerhet säkerhetsrisk.
10. Komponentspecifikationer är nyckeln till att säkerställa att en organisation förstår hårdvaru- och mjukvarukomponenterna som den introducerar i sitt nätverk. Leverantörer bör överväga åtgärder mot manipulering under hela utvecklingens livscykel, och organisationer bör kräva bestämmelser som verifierar komponenter som legitima vid leverans.
11. Försäkran bör eftersträvas för att bekräfta att IKT-produkter är i linje med branschstandard och/eller sektorspecifika säkerhetskrav, beroende på vad som är relevant för varje produkt. Vanliga metoder för att uppnå detta inkluderar att uppnå en miniminivå av formell säkerhetscertifiering eller att följa en uppsättning internationellt erkända informationsstandarder (som Common Criteria Recognition Arrangement) per produkt.
12. Organisationer bör vidta åtgärder för att säkerställa detta leverantörer är medvetna om om sina skyldigheter när de delar information och/eller data om den ömsesidiga försörjningskedjan, inklusive att erkänna eventuella konflikter eller problem som kan uppstå mellan båda parter, och hur man hanterar dem vid källan.
13. Organisationer måste utarbeta rutiner som hanterar risker när de arbetar med otillgängliga, ostödda eller äldre komponenter, var de än befinner sig. Där komponenter har hamnat i en av dessa kategorier bör organisationer kunna anpassa sig därefter och identifiera alternativ.

Kompletterande vägledning

Det är viktigt att notera att styrning av ICT-försörjningskedjan inte bör tas isolerat, i enlighet med denna kontroll. Kontroll 5.21 är utformad för att komplettera befintliga rutiner för hantering av försörjningskedjan och erbjuda sammanhang för IKT-specifika produkter och tjänster.

ISO erkänner att, särskilt när det gäller mjukvarukomponenter, kvalitetskontroll inom området för ICT-produkter och -tjänster inte sträcker sig till detaljerad inspektion av leverantörens egen uppsättning av efterlevnadsprocedurer.

Som sådan uppmuntras organisationer att identifiera leverantörsspecifika kontroller som verifierar leverantören som en "reputabel källa" och utkast till avtal som kategoriskt anger leverantörens informationssäkerhetsskyldigheter, när de fullgör ett kontrakt, beställer eller tillhandahåller en tjänst.

Kontroll 5.21 Ändringar från ISO 27002:2013

ISO 27002 :2022-5.21 ersätter ISO 27002:2013-15.1.3 (Informations- och kommunikationsteknikens leveranskedja).

ISO 27002:2022-5.21 följer samma uppsättning allmänna vägledningsregler som ISO 27002:2013-15.1.3, men lägger mycket större vikt vid en leverantörs skyldighet att tillhandahålla och verifiera komponentrelaterad information vid leveransstället, inklusive:

• IKT-leverantörer som tillhandahåller komponentinformation.
• IKT-leverantörer som beskriver en produkts säkerhetsfunktioner och hur man bäst använder den ur ett säkerhetsperspektiv.
• Försäkran om erforderliga säkerhetsnivåer.

ISO 27002:2022-5.21 ber också organisationen att skapa ytterligare komponentspecifik information för att öka den allmänna informationssäkerhetsnivån vid introduktion av produkter och tjänster, inklusive:

• Identifiera och dokumentera komponenter som är avgörande för produktens eller tjänstens kärnfunktionalitet.
• Se till att komponenterna är äkta och oförändrade.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

At ISMS.online, vi har byggt ett omfattande och lättanvänt system som kan hjälpa dig att implementera ISO 27002-kontroller och hantera hela ditt ISMS.

Vår molnbaserade plattform erbjuder:

• Ett lättanvänt och anpassat dokumentationshanteringssystem.
• Tillgång till ett bibliotek med polerade, förskrivna dokumentationsmallar.
• En förenklad process för att genomföra internrevisioner.
• En effektiv metod för att kommunicera med ledning och intressenter.
• En arbetsflödesmodul för att effektivisera implementeringsprocessen.

ISMS.online har alla dessa funktionerOch mycket mer.

Hör av dig idag för att boka en demo.