ISO 27002:2022, Kontroll 5.22 – Övervakning, granskning och förändringshantering av leverantörstjänster

Allmän vägledning om kontroll 5.22

Kontroll 5.22 innehåller 13 huvudområden som organisationer behöver att ta hänsyn till när man hanterar leverantörsrelationer, och vilken effekt de har på deras egna informationssäkerhetsstandarder.

Organisationer måste vidta åtgärder för att säkerställa att anställda som är ansvariga för att hantera SLA och leverantörsrelationer har de erforderliga nivåerna av kompetens och tekniska resurser för att kunna bedöma leverantörernas prestanda på ett adekvat sätt, och att informationssäkerhetsstandarder inte brytes.

Organisationer bör utarbeta riktlinjer och förfaranden som:

1. Övervaka ständigt servicenivåer i enlighet med publicerade SLA, och eventuella brister åtgärdas.
2. Övervaka alla ändringar som görs av leverantören i sin egen verksamhet, inklusive (men inte begränsat till):
   
   a) Serviceförbättringar
   b) Införandet av nya applikationer, system eller mjukvaruprocesser
   c) Relevanta och meningsfulla revideringar av leverantörens interna styrdokument
   d) Vilken som helst incidenthantering processuella förändringar eller insatser som syftar till att öka informationssäkerheten
3. Övervaka alla tjänstespecifika ändringar, inklusive (men inte begränsat till):
   
   a) Infrastrukturändringar
   b) Tillämpningen av ny teknik
   c) Utrullningen av produktuppdateringar eller versionsuppgraderingar
   d) Förändringar i utvecklingsmiljön
   e) Logistiska och fysiska förändringar av leverantörsanläggningar, inklusive nya platser
   f) Eventuella ändringar av outsourcingpartners eller underleverantörer
   g) Avsikten att lägga ut entreprenad, där praxis inte var på plats tidigare
4. Be om regelbundna servicerapporter, analysera data och delta i granskningsmöten i enlighet med överenskomna serviceleveransnivåer.
5. Granska outsourcingpartners och underleverantörer och följ eventuella problemområden.
6. Granska säkerhetsincidenter i enlighet med överenskomna Incident Management-standarder och praxis samt leverantörsavtalet.
7. Upprätthålla en noggrann journal över informationssäkerhetshändelser, påtagliga driftsproblem, felloggar och allmänna hinder mot de överenskomna serviceleveransstandarderna.
8. Reagera proaktivt på och vidta korrigerande åtgärder mot informationssäkerhetsrelaterade händelser.
9. Markera någon informationssäkerhetssårbarheter och mildra dem i största möjliga utsträckning.
10. Analysera eventuella relevanta informationssäkerhetsfaktorer som är inneboende i leverantörsrelationen med sina egna leverantörer och underleverantörer.
11. Se till att tjänsteleveransen levereras till acceptabla nivåer efter betydande avbrott på leverantörssidan, inklusive katastrofåterställning.
12. Redogör för nyckelpersoner i leverantörens verksamhet som ansvarar för att upprätthålla efterlevnad och att följa villkoren i ett avtal.
13. Kontrollera regelbundet en leverantörs förmåga att upprätthålla en grundläggande informationssäkerhetsstandard.

Stödkontroller

• 5.29
• 5.30
• 5.35
• 5.36
• 8.14

Hur ISMS.online hjälper

ISO 27002 implementering är enklare med vår steg-för-steg checklista som guidar dig genom hela processen, från att definiera omfattningen av ditt ISMS till riskidentifiering och kontrollimplementering.

Några av de viktigaste fördelarna med att använda ISMS.online inkluderar:

• Du kan bygg ditt ISO 27001-kompatibla ISMS inom plattformen.
• Användare kan slutföra uppgifter och skicka in bevis för att visa överensstämmelse med standarden.
• Det är lätt att delegera ansvar och övervaka framstegen mot efterlevnad.
• Den omfattande riskbedömningsverktygen sparar tid och ansträngning under hela processen.
• Vi har en dedikerad team av konsulter till hands för att stödja dig under hela din resa till efterlevnad.

Hör av dig idag för att boka en demo.