Syfte med kontroll 5.22
Kontroll 5.22 anger de metoder som organisationer bör använda när de övervakar, granskar och hanterar förändringar i en leverantörs informationssäkerhetspraxis och tjänsteleveransstandarder, och bedömer inverkan på organisationens egna nivåer av informationssäkerhet.
När du hanterar relation med sina leverantörer, bör en organisation sträva efter att upprätthålla en grundläggande informationssäkerhetsnivå som följer alla avtal som har ingåtts.
5.22 är en förebyggande kontroll den där ändrar risken genom att upprätthålla en ”överenskommen nivå av informationssäkerhet och tjänsteleverans” från leverantörens sida.
Kontrollattribut 5.22
| Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
|---|---|---|---|---|
| #Förebyggande | #Sekretess | #Identifiera | #Säkerhet för leverantörsrelationer | #Styrelse och ekosystem |
| #Integritet | #Skydd | |||
| #Tillgänglighet | #Försvar | |||
| #Informationssäkerhetssäkring |
Äganderätt till kontroll 5.22
Äganderätten till kontroll 5.22 bör ligga hos en medlem av senior ledning som övervakar en organisations kommersiella verksamhet, och upprätthåller en direkt relation med en organisations leverantörer, såsom en Chief Operating Officer.
ISO 27001 på ett enkelt sätt
Ett försprång på 81 % från dag ett
Vi har gjort det hårda arbetet åt dig, vilket ger dig ett försprång på 81 % från det ögonblick du loggar in. Allt du behöver göra är att fylla i tomrummen.
Allmän vägledning om kontroll 5.22
Kontroll 5.22 innehåller 13 huvudområden som organisationer behöver att ta hänsyn till när man hanterar leverantörsrelationer, och vilken effekt de har på deras egna informationssäkerhetsstandarder.
Organisationer måste vidta åtgärder för att säkerställa att anställda som är ansvariga för att hantera SLA och leverantörsrelationer har de erforderliga nivåerna av kompetens och tekniska resurser för att kunna bedöma leverantörernas prestanda på ett adekvat sätt, och att informationssäkerhetsstandarder inte brytes.
Organisationer bör utarbeta riktlinjer och förfaranden som:
- Övervaka ständigt servicenivåer i enlighet med publicerade SLA, och eventuella brister åtgärdas.
- Övervaka alla ändringar som görs av leverantören i sin egen verksamhet, inklusive (men inte begränsat till):
a) Serviceförbättringar
b) Införandet av nya applikationer, system eller mjukvaruprocesser
c) Relevanta och meningsfulla revideringar av leverantörens interna styrdokument
d) Vilken som helst incidenthantering processuella förändringar eller insatser som syftar till att öka informationssäkerheten - Övervaka alla tjänstespecifika ändringar, inklusive (men inte begränsat till):
a) Infrastrukturändringar
b) Tillämpningen av ny teknik
c) Utrullningen av produktuppdateringar eller versionsuppgraderingar
d) Förändringar i utvecklingsmiljön
e) Logistiska och fysiska förändringar av leverantörsanläggningar, inklusive nya platser
f) Eventuella ändringar av outsourcingpartners eller underleverantörer
g) Avsikten att lägga ut entreprenad, där praxis inte var på plats tidigare - Be om regelbundna servicerapporter, analysera data och delta i granskningsmöten i enlighet med överenskomna serviceleveransnivåer.
- Granska outsourcingpartners och underleverantörer och följ eventuella problemområden.
- Granska säkerhetsincidenter i enlighet med överenskomna Incident Management-standarder och praxis samt leverantörsavtalet.
- Upprätthålla en noggrann journal över informationssäkerhetshändelser, påtagliga driftsproblem, felloggar och allmänna hinder mot de överenskomna serviceleveransstandarderna.
- Reagera proaktivt på och vidta korrigerande åtgärder mot informationssäkerhetsrelaterade händelser.
- Markera någon informationssäkerhetssårbarheter och mildra dem i största möjliga utsträckning.
- Analysera eventuella relevanta informationssäkerhetsfaktorer som är inneboende i leverantörsrelationen med sina egna leverantörer och underleverantörer.
- Se till att tjänsteleveransen levereras till acceptabla nivåer efter betydande avbrott på leverantörssidan, inklusive katastrofåterställning.
- Redogör för nyckelpersoner i leverantörens verksamhet som ansvarar för att upprätthålla efterlevnad och att följa villkoren i ett avtal.
- Kontrollera regelbundet en leverantörs förmåga att upprätthålla en grundläggande informationssäkerhetsstandard.
Stödkontroller
- 5.29
- 5.30
- 5.35
- 5.36
- 8.14
Befria dig från ett berg av kalkylblad
Bädda in, utöka och skala upp er efterlevnad utan krångel. IO ger er motståndskraften och självförtroendet att växa säkert.
Nya ISO 27002 kontroller
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 5.7 | NYA | Hot intelligens |
| 5.23 | NYA | Informationssäkerhet för användning av molntjänster |
| 5.30 | NYA | ICT-beredskap för kontinuitet i verksamheten |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 8.9 | NYA | Konfigurationshantering |
| 8.10 | NYA | Radering av information |
| 8.11 | NYA | Datamaskering |
| 8.12 | NYA | Förebyggande av dataläckage |
| 8.16 | NYA | Övervakningsaktiviteter |
| 8.23 | NYA | Webbfiltrering |
| 8.28 | NYA | Säker kodning |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Anställningsvillkor |
| 6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| 6.4 | 07.2.3 | Disciplinär process |
| 6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
| 6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
| 6.7 | 06.2.2 | Fjärrbearbetning |
| 6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiska säkerhetsområden |
| 7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
| 7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| 7.6 | 11.1.5 | Arbeta i säkra områden |
| 7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
| 7.8 | 11.2.1 | Utrustningsplacering och skydd |
| 7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
| 7.11 | 11.2.2 | Stöd till verktyg |
| 7.12 | 11.2.3 | Kabelsäkerhet |
| 7.13 | 11.2.4 | Utrustningsunderhåll |
| 7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |
Hur ISMS.online hjälper
ISO 27002 implementering är enklare med vår steg-för-steg checklista som guidar dig genom hela processen, från att definiera omfattningen av ditt ISMS till riskidentifiering och kontrollimplementering.
Några av de viktigaste fördelarna med att använda ISMS.online inkluderar:
- Du kan bygg ditt ISO 27001-kompatibla ISMS inom plattformen.
- Användare kan slutföra uppgifter och skicka in bevis för att visa överensstämmelse med standarden.
- Det är lätt att delegera ansvar och övervaka framstegen mot efterlevnad.
- Den omfattande riskbedömningsverktygen sparar tid och ansträngning under hela processen.
- Vi har en dedikerad team av konsulter till hands för att stödja dig under hela din resa till efterlevnad.
Hör av dig idag för att boka en demo.
