ISO 27001:2022 Bylae A 5.22 – Monitering en Hersiening en Veranderingsbestuur van Verskafferdienste

Wat is die doel van ISO 27001:2022 Bylae A 5.22?

Bylae A beheer 5.22 het ten doel om te verseker dat 'n ooreengekome vlak van inligtingsekuriteit en dienslewering gehandhaaf word. Dit is in ooreenstemming met verskafferskontrakte rakende verskaffersdiensontwikkeling.

Die dienste van verskaffers word gemonitor en hersien

In Bylae A 5.22 word organisasies beskryf as die gereelde monitering, hersiening en ouditering van hul verskaffersdiensleweringsprosesse. Hersiening en monitering word die beste gedoen in ooreenstemming met die inligting wat in gevaar is, aangesien een grootte nie by alle situasies pas nie.

Deur sy hersiening in ooreenstemming met die voorgestelde segmentering van verskaffers uit te voer, kan die organisasie hul hulpbronne optimaliseer en verseker dat hul pogings gekonsentreer word op monitering en hersiening waar die mees beduidende impak bereik kan word.

Soos met Bylae A 5.19, is pragmatisme soms nodig – klein organisasies sal nie noodwendig 'n oudit, 'n menslikehulpbronoorsig of toegewyde diensverbeterings ontvang deur AWS te gebruik nie. Om te verseker dat hulle geskik bly vir jou doel, kan jy (byvoorbeeld) hul jaarliks ​​gepubliseerde SOC II-verslae en sekuriteitsertifisering nagaan.

Monitering moet gedokumenteer word op grond van jou mag, risiko's en waarde, sodat jou ouditeur kan bevestig dat dit voltooi is. Dit is omdat enige nodige veranderinge deur 'n formele veranderingsbeheerprosedure bestuur is.

Bestuur van Verskafferdiensveranderinge

Verskaffers moet bestaande inligtingsekuriteitsbeleide, prosedures en kontroles handhaaf en verbeter om enige veranderinge aan die verskaffing van dienste deur verskaffers te bestuur. Die proses neem die kritiekheid van besigheidsinligting, die aard van die verandering, die verskaffertipes wat geraak word, die betrokke prosesse en stelsels en 'n herbeoordeling van risiko's in ag.

Wanneer veranderinge aan verskaffers se dienste aangebring word, is dit ook belangrik om die intimiteit van die verhouding in ag te neem. Dit is sowel as die organisasie se vermoë om 'n verandering binne die verskaffer te beïnvloed of te beheer.

Beheer 5.22 spesifiseer hoe organisasies moet monitor, hersien en veranderinge aan 'n verskaffer se sekuriteitspraktyke en diens te bestuur afleweringstandaarde. Dit beoordeel ook hoe dit die organisasie se eie sekuriteitspraktyke beïnvloed.

In die bestuur van verhoudings met hul verskaffers, moet 'n organisasie daarna streef om 'n basislynvlak van inligtingsekuriteit te handhaaf wat voldoen aan enige ooreenkomste wat hulle onderteken het.

In ooreenstemming met ISO 27001:2022, is Bylae A 5.22 'n voorkomende beheer wat ontwerp is om risiko te verminder deur die verskaffer te help om 'n “ooreengekome vlak van inligtingsekuriteit en dienslewering te handhaaf.

Eienaarskap van Bylae A Beheer 5.22

'n Lid van senior bestuur wat toesig hou oor 'n organisasie se kommersiële bedrywighede en 'n direkte verhouding met die organisasie se verskaffers handhaaf, behoort verantwoordelik te wees vir Beheer 5.22.

ISO 27001:2022 Bylae A 5.22 Algemene riglyne

Volgens ISO 27001:2022 Bylae A Beheer 5.22, 13 sleutelareas moet oorweeg word wanneer verskafferverhoudings bestuur word en hoe hierdie faktore hul eie inligtingsekuriteitsmaatreëls beïnvloed.

'n Organisasie moet verseker dat werknemers verantwoordelik vir die bestuur van diensvlakooreenkomste en verskafferverhoudings oor die nodige vaardighede en tegniese hulpbronne beskik. Dit is om te verseker dat hulle in staat is om verskaffer se prestasie voldoende te evalueer en dat inligtingsekuriteitstandaard nie oortree word nie.

'n Organisasie se beleid en prosedures moet opgestel word deur:

1. Monitor diensvlakke deurlopend in ooreenstemming met gepubliseerde diensvlakooreenkomste, en spreek enige tekorte aan sodra dit ontstaan.
2. Die verskaffer moet gemonitor word vir enige veranderinge aan hul eie werking, insluitend (maar nie beperk nie tot): (1) Diensverbeterings (2) Nuwe toepassings, stelsels of sagtewareprosesse (3) Relevante en betekenisvolle hersiening van die interne bestuursdokumente van die verskaffer, en (4) enige veranderinge aan voorvalbestuurprosedures of pogings om die vlak van inligtingsekuriteit te verbeter.
3. Enige veranderinge wat die diens behels, insluitend (maar nie beperk nie tot): a) Infrastruktuurveranderings b) Toepassings van opkomende tegnologieë c) Produkbywerkings en weergawe-opgraderings d) Veranderinge in die ontwikkelingsomgewing e) Logistieke en fisiese veranderinge aan verskafferfasiliteite, insluitend nuwe liggings f) Veranderinge aan uitkontrakteringsvennote of subkontrakteurs g) Voornemens om te subkontrakteer, waar so 'n praktyk nie voorheen beoefen is nie.
4. Verseker dat diensverslae gereeld gelewer word, dat data ontleed word en dat hersieningsvergaderings in ooreenstemming met ooreengekome diensvlakke gehou word.
5. Verseker dat uitkontrakteringsvennote en subkontrakteurs geoudit word en aandag gee aan enige kommerwekkende areas.
6. Voer 'n hersiening uit van sekuriteitsinsidente gebaseer op die standaard en praktyke waarop die verskaffer ooreengekom het en in ooreenstemming met die voorvalbestuurstandaarde.
7. Rekords moet bygehou word oor alle voorvalle van inligtingsekuriteit, tasbare bedryfsprobleme, foutlogboeke en algemene hindernisse om aan die ooreengekome diensleweringstandaarde te voldoen.
8. Neem proaktiewe aksie in reaksie op voorvalle met betrekking tot inligtingsekuriteit.
9. Identifiseer enige kwesbaarhede in inligtingsekuriteit en versag dit sover moontlik.
10. Doen 'n ontleding van enige relevante inligtingsekuriteitsfaktore wat verband hou met die verskaffer se verhouding met sy verskaffers en subkontrakteurs.
11. In die geval van beduidende ontwrigting aan die verskaffer se kant, insluitend 'n rampherstelpoging, verseker dat dienslewering op aanvaarbare vlakke gelewer word.
12. Verskaf 'n lys van die sleutelpersoneel in die verskaffer se bedrywighede wat verantwoordelik is vir die handhawing van voldoening en die nakoming van die bepalings van die kontrak.
13. Maak seker dat 'n verskaffer gereeld 'n basislynstandaard vir inligtingsekuriteit handhaaf.

Ondersteunende Bylae A-kontroles

• ISO 27001:2022 Bylae A 5.29
• ISO 27001:2022 Bylae A 5.30
• ISO 27001:2022 Bylae A 5.35
• ISO 27001:2022 Bylae A 5.36
• ISO 27001:2022 Bylae A 8.14

Tabel van alle ISO 27001:2022 Bylae A-kontroles

In die tabel hieronder sal jy meer inligting oor elke individuele ISO 27001:2022 Bylae A Beheer vind.

Wat is die voordeel daarvan om ISMS.online te gebruik om verskafferverhoudings te bestuur?

Hierdie Bylae A-beheerdoelwit is baie maklik gemaak deur ISMS.online. Dit is omdat ISMS.online bewys lewer dat jou verhoudings noukeurig gekies, goed bestuur en gemonitor en hersien word. Dit word gedoen in ons maklik-om-te gebruik Rekeningverhoudings (bv. verskaffer) area. Samewerkingsprojekte se werkruimtes laat die ouditeur toe om maklik belangrike verskaffers op instap, gesamentlike inisiatiewe, van boord af te sien, ens.

Benewens om jou organisasie te help met hierdie Bylae A-beheerdoelwit, ISMS.online bied jou ook die vermoë om bewys te lewer dat die verskaffer die vereistes formeel aanvaar het en sy verantwoordelikhede vir inligtingsekuriteit deur ons Beleidspakkette verstaan ​​het. As gevolg van hul spesifieke beleide en beheermaatreëls, Beleidspakke verseker verskaffers dat hul personeel die organisasie se beleide en beheermaatreëls gelees het en daartoe verbind het om te voldoen.

Daar kan 'n breër vereiste wees om by aanhangsel A.5.8 te belyn Inligtingsekuriteit in projekbestuur, afhangende van die aard van die verandering (bv. vir meer wesenlike veranderinge).

Die implementering van ISO 27001 is makliker met ons stap-vir-stap kontrolelys, wat jou lei van die definisie van jou ISMS-omvang tot die identifisering van risiko's en die implementering van beheermaatreëls.

ISMS.online bied die volgende voordele:

• Die platform laat jou toe om 'n ISMS voldoen aan ISO 27001 vereistes.
• Gebruikers kan take voltooi en bewyse indien om voldoening aan die standaard te demonstreer.
• Die proses om verantwoordelikhede te delegeer en nakomingsvordering te monitor, is maklik.
• As gevolg van die omvattende risiko-assessering gereedskapstel, is die proses bespoedig en tydbesparend.
• ’n Toegewyde span konsultante kan jou regdeur die nakomingsproses bystaan.

Kontak ons ​​vandag nog om beplan 'n demo.