ISO 27002:2022 – Kontroll 5.22 – Övervakning, granskning och förändringshantering av leverantörstjänster

Syfte med kontroll 5.22

Kontroll 5.22 anger de metoder som organisationer bör använda när de övervakar, granskar och hanterar förändringar i en leverantörs informationssäkerhetspraxis och tjänsteleveransstandarder, och bedömer inverkan på organisationens egna nivåer av informationssäkerhet.

När du hanterar relation med sina leverantörer, bör en organisation sträva efter att upprätthålla en grundläggande informationssäkerhetsnivå som följer alla avtal som har ingåtts.

5.22 är en förebyggande kontroll den där ändrar risken genom att upprätthålla en ”överenskommen nivå av informationssäkerhet och tjänsteleverans” från leverantörens sida.

Kontrollattribut 5.22

Äganderätt till kontroll 5.22

Äganderätten till kontroll 5.22 bör ligga hos en medlem av senior ledning som övervakar en organisations kommersiella verksamhet, och upprätthåller en direkt relation med en organisations leverantörer, såsom en Chief Operating Officer.

Allmän vägledning om kontroll 5.22

Kontroll 5.22 innehåller 13 huvudområden som organisationer behöver att ta hänsyn till när man hanterar leverantörsrelationer, och vilken effekt de har på deras egna informationssäkerhetsstandarder.

Organisationer måste vidta åtgärder för att säkerställa att anställda som är ansvariga för att hantera SLA och leverantörsrelationer har de erforderliga nivåerna av kompetens och tekniska resurser för att kunna bedöma leverantörernas prestanda på ett adekvat sätt, och att informationssäkerhetsstandarder inte brytes.

Organisationer bör utarbeta riktlinjer och förfaranden som:

1. Övervaka ständigt servicenivåer i enlighet med publicerade SLA, och eventuella brister åtgärdas.
2. Övervaka alla ändringar som görs av leverantören i sin egen verksamhet, inklusive (men inte begränsat till):

   a) Serviceförbättringar
   b) Införandet av nya applikationer, system eller mjukvaruprocesser
   c) Relevanta och meningsfulla revideringar av leverantörens interna styrdokument
   d) Vilken som helst incidenthantering processuella förändringar eller insatser som syftar till att öka informationssäkerheten

3. Övervaka alla tjänstespecifika ändringar, inklusive (men inte begränsat till):

   a) Infrastrukturändringar
   b) Tillämpningen av ny teknik
   c) Utrullningen av produktuppdateringar eller versionsuppgraderingar
   d) Förändringar i utvecklingsmiljön
   e) Logistiska och fysiska förändringar av leverantörsanläggningar, inklusive nya platser
   f) Eventuella ändringar av outsourcingpartners eller underleverantörer
   g) Avsikten att lägga ut entreprenad, där praxis inte var på plats tidigare

4. Be om regelbundna servicerapporter, analysera data och delta i granskningsmöten i enlighet med överenskomna serviceleveransnivåer.
5. Granska outsourcingpartners och underleverantörer och följ eventuella problemområden.
6. Granska säkerhetsincidenter i enlighet med överenskomna Incident Management-standarder och praxis samt leverantörsavtalet.
7. Upprätthålla en noggrann journal över informationssäkerhetshändelser, påtagliga driftsproblem, felloggar och allmänna hinder mot de överenskomna serviceleveransstandarderna.
8. Reagera proaktivt på och vidta korrigerande åtgärder mot informationssäkerhetsrelaterade händelser.
9. Markera någon informationssäkerhetssårbarheter och mildra dem i största möjliga utsträckning.
10. Analysera eventuella relevanta informationssäkerhetsfaktorer som är inneboende i leverantörsrelationen med sina egna leverantörer och underleverantörer.
11. Se till att tjänsteleveransen levereras till acceptabla nivåer efter betydande avbrott på leverantörssidan, inklusive katastrofåterställning.
12. Redogör för nyckelpersoner i leverantörens verksamhet som ansvarar för att upprätthålla efterlevnad och att följa villkoren i ett avtal.
13. Kontrollera regelbundet en leverantörs förmåga att upprätthålla en grundläggande informationssäkerhetsstandard.

Stödkontroller

• 5.29
• 5.30
• 5.35
• 5.36
• 8.14

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

ISO 27002 implementering är enklare med vår steg-för-steg checklista som guidar dig genom hela processen, från att definiera omfattningen av ditt ISMS till riskidentifiering och kontrollimplementering.

Några av de viktigaste fördelarna med att använda ISMS.online inkluderar:

• Du kan bygg ditt ISO 27001-kompatibla ISMS inom plattformen.
• Användare kan slutföra uppgifter och skicka in bevis för att visa överensstämmelse med standarden.
• Det är lätt att delegera ansvar och övervaka framstegen mot efterlevnad.
• Den omfattande riskbedömningsverktygen sparar tid och ansträngning under hela processen.
• Vi har en dedikerad team av konsulter till hands för att stödja dig under hela din resa till efterlevnad.

Hör av dig idag för att boka en demo.