Doel van beheer 5.19
Beheer 5.19 handel oor 'n organisasie se verpligting om te verseker dat, wanneer verskaffersprodukte en -dienste (insluitend wolkdiensverskaffers) gebruik word, voldoende oorweging gegee word aan die vlak van risiko wat inherent is aan die gebruik van eksterne stelsels, en die gevolglike impak wat dit op hul eie nakoming van inligtingsekuriteit kan hê.
5.19 is 'n voorkomende beheermaatreël wat risiko wysig deur prosedures te handhaaf wat inherente sekuriteitsrisiko's aanspreek wat verband hou met die gebruik van produkte en dienste wat deur derde partye verskaf word.
Terwyl Beheer 5.20 handel oor inligtingsekuriteit binne verskaffersooreenkomste, is Beheer 5.19 breedweg gemoeid met nakoming deur die loop van die verhouding.
Eienskappe Tabel van beheer 5.19
| beheer Tipe | Eienskappe vir inligtingsekuriteit | Kuberveiligheidskonsepte | Operasionele vermoëns | Sekuriteitsdomeine |
|---|---|---|---|---|
| #Voorkomende | #Vertroulikheid | #Identifiseer | #Verskaffersverhoudingsekuriteit | #Beheer en ekosisteem |
| #Integriteit | #Beskerming | |||
| #Beskikbaarheid |
Eienaarskap van beheer 5.19
Terwyl Beheer 5.19 baie leiding bevat oor die gebruik van IKT-dienste, sluit die breër omvang van die beheer baie ander aspekte van 'n organisasie se verhouding met sy verskaffersbasis in, insluitend verskaffertipes, logistiek, nutsdienste, finansiële dienste en infrastruktuurkomponente).
As sodanig behoort eienaarskap van Beheer 5.19 by 'n lid van die senior bestuur te berus wat toesig hou oor 'n organisasie se kommersiële bedrywighede en 'n direkte verhouding met 'n organisasie se verskaffers handhaaf, soos 'n Hoofbedryfsbeampte.
ISO 27001 maklik gemaak
'n Voorsprong van 81% van dag een af
Ons het die harde werk vir jou gedoen, wat jou 'n voorsprong van 81% gee vanaf die oomblik dat jy aanmeld. Al wat jy hoef te doen is om die spasies in te vul.
Algemene leiding
Nakoming van Beheer 5.19 behels die nakoming van wat bekend staan as 'n 'onderwerpspesifieke' benadering tot inligtingsekuriteit in verskaffersverhoudinge.
Onderwerpspesifieke benaderings moedig organisasies aan om verskafferverwante beleide te skep wat op individuele besigheidsfunksies afgestem is, eerder as om 'n algemene verskafferbestuursbeleid te volg wat van toepassing is op enige en alle derdeparty-verhoudings regoor 'n organisasie se kommersiële bedrywighede.
Dit is belangrik om daarop te let dat Beheer 5.19 die organisasie vra om beleide en prosedures te implementeer wat nie net die organisasie se gebruik van verskafferhulpbronne en wolkplatforms beheer nie, maar ook die basis vorm van hoe hulle van hul verskaffers verwag om hulself voor en deur die termyn van die kommersiële verhouding.
As sodanig kan Beheer 5.19 beskou word as die noodsaaklike kwalifiserende dokument wat bepaal hoe inligtingsekuriteitsbestuur in die loop van 'n verskafferkontrak hanteer word.
Beheer 5.19 bevat 14 hoofriglyne waaraan voldoen moet word:
1) Hou 'n akkurate rekord van verskaffertipes (bv. finansiële dienste, IKT-hardeware, telefonie) wat die potensiaal het om die integriteit van inligtingsekuriteit te beïnvloed.
Nakoming – Stel 'n lys op van enige en alle verskaffers waarmee u organisasie werk, kategoriseer hulle volgens hul besigheidsfunksie en voeg kategorieë by genoemde verskaffertipes soos en wanneer nodig.
2) Verstaan hoe om verskaffers te keur, gebaseer op die vlak van risiko wat inherent is aan hul verskaffertipe.
Nakoming – Verskillende verskaffertipes sal verskillende omsigtigheidstoetse vereis. Oorweeg die gebruik van keuringsmetodes op 'n verskaffer-vir-verskaffer-basis (bv. bedryfsverwysings, finansiële state, assesserings op die perseel, sektorspesifieke sertifisering soos Microsoft-vennootskappe).
3) Identifiseer verskaffers wat reeds bestaande inligtingsekuriteitsbeheermaatreëls in plek het.
Nakoming – Vra om afskrifte van verskaffers se relevante inligtingsekuriteitsbestuursprosedures te sien, om die risiko vir jou eie organisasie te evalueer. Indien hulle nie enige het nie, is dit nie 'n goeie teken nie.
4) Identifiseer en definieer die spesifieke areas van u organisasie se IKT-infrastruktuur wat u verskaffers self sal kan bekom, monitor of gebruik.
Nakoming – Dit is belangrik om van die begin af presies vas te stel hoe jou verskaffers met jou IKT-bates gaan omgaan – of dit nou fisies of virtueel is – en watter vlakke van toegang hulle toegestaan word in ooreenstemming met hul kontraktuele verpligtinge.
5) Definieer hoe die verskaffers se eie IKT-infrastruktuur 'n impak op u eie data en dié van u kliënte kan hê.
Nakoming – 'n Organisasie se eerste verpligting is teenoor sy eie stel inligtingsekuriteitstandaarde. Verskaffers se IKT-bates moet hersien word in ooreenstemming met hul potensiaal om bedryfstyd en integriteit dwarsdeur jou organisasie te beïnvloed.
6) Identifiseer en bestuur die verskeie inligtingsekuriteitsrisiko's verbonde aan:
a. Verskaffergebruik van vertroulike inligting of beskermde bates (bv. beperk tot kwaadwillige gebruik en/of kriminele voorneme).
b. Foutiewe verskafferhardeware of wanfunksionele sagtewareplatform wat verband hou met plaaslike of wolkgebaseerde dienste.
Nakoming – Organisasies moet voortdurend bewus wees van die inligtingsekuriteitsrisiko's wat verband hou met katastrofiese gebeure, soos bose gebruikersaktiwiteit aan die verskafferskant of groot onvoorsiene sagteware-voorvalle, en hul impak op organisatoriese inligtingsekuriteit.
Bevry jouself van 'n berg sigblaaie
Integreer, brei uit en skaal jou nakoming, sonder die gemors. IO gee jou die veerkragtigheid en vertroue om veilig te groei.
Algemene Voorligting Vervolg
7) Moniteer voldoening aan inligtingsekuriteit op 'n onderwerpspesifieke of verskaffertipe basis.
Nakoming – Organisasies moet die inligtingsekuriteitsimplikasies wat inherent is aan elke verskaffertipe verstaan, en hul moniteringsaktiwiteit aanpas om verskillende vlakke van risiko te akkommodeer.
8) Beperk die hoeveelheid skade en/of ontwrigting wat deur nie-nakoming veroorsaak word.
Nakoming – Verskafferaktiwiteit moet op 'n gepaste wyse en in verskillende mate gemonitor word, in ooreenstemming met die risikovlak daarvan. Waar nienakoming ontdek word, hetsy proaktief of reaktief, moet onmiddellike stappe geneem word.
9) Handhaaf 'n robuuste voorvalbestuursprosedure wat 'n redelike hoeveelheid gebeurlikhede aanspreek.
Nakoming – Organisasies moet presies verstaan hoe om te reageer wanneer hulle te kampe het met 'n wye reeks gebeure wat verband hou met die verskaffing van derdepartyprodukte en -dienste, en remediërende stappe uiteensit wat beide die verskaffer en die organisasie insluit.
10) Stel maatreëls in wat voorsiening maak vir die beskikbaarheid en verwerking van die verskaffer se inligting, waar dit ook al gebruik word, en sodoende die integriteit van die organisasie se eie inligting verseker.
Nakoming – Stappe moet geneem word om te verseker dat verskafferstelsels en -data hanteer word op 'n manier wat nie die beskikbaarheid en sekuriteit van die organisasie se eie stelsels en inligting in gevaar stel nie.
11) Stel 'n deeglike opleidingsplan op wat leiding bied oor hoe personeel met verskafferspersoneel en inligting op 'n verskaffer-vir-verskaffer-basis, of op 'n tipe-vir-tipe-basis, moet omgaan.
Nakoming – Opleiding moet die volle spektrum van bestuur tussen 'n organisasie en sy verskaffers dek, insluitend betrokkenheid, gedetailleerde risikobestuurskontroles en onderwerpspesifieke prosedures.
12) Verstaan en bestuur die vlak van risiko wat inherent is aan die oordrag van inligting en fisiese en virtuele bates tussen die organisasie en hul verskaffers.
Nakoming – Organisasies moet elke stadium van die oordragproses uiteensit en personeel oplei oor die risiko's verbonde aan die verskuiwing van bates en inligting van een bron na 'n ander.
13) Verseker dat verskaffersverhoudinge beëindig word met inligtingsekuriteit in gedagte, insluitend die verwydering van toegangsregte en die vermoë om toegang tot organisatoriese inligting te verkry.
Nakoming – Jou IKT-spanne moet 'n duidelike begrip hê van hoe om 'n verskaffer se toegang tot inligting te herroep, insluitend:
- Granulêre ontleding van enige geassosieerde domein en/of wolkgebaseerde rekeninge.
- Verspreiding van intellektuele eiendom.
- Die oordrag van inligting tussen verskaffers, of terug na jou organisasie.
- Rekordbestuur.
- Die terugbesorging van bates aan hul oorspronklike eienaar.
- Voldoende wegdoening van fisiese en virtuele bates, insluitend inligting.
- Nakoming van enige kontraktuele vereistes, insluitend vertroulikheidsklousules en/of eksterne ooreenkomste.
14) Beskryf presies hoe u verwag dat die verskaffer hulself moet gedra rakende fisiese en virtuele sekuriteitsmaatreëls.
Nakoming – Organisasies moet van die begin van enige kommersiële verhouding duidelike verwagtinge stel wat spesifiseer hoe verskafferskantpersoneel verwag word om hulself te gedra wanneer hulle met hul personeel of enige relevante bates interaksie het.
Aanvullende leiding
ISO erken dat dit nie altyd moontlik is om 'n volledige stel beleide op 'n verskaffer af te dwing wat aan elke vereiste van die bogenoemde lys voldoen soos Beheer 5.19 beoog nie, veral wanneer dit met rigiede openbare sektor-organisasies te doen het.
Dit gesê, Beheer 5.19 stel dit duidelik dat organisasies bogenoemde riglyne moet gebruik wanneer hulle verhoudings met verskaffers vorm, en nie-nakoming op 'n geval-tot-geval basis moet oorweeg.
Waar volle nakoming nie haalbaar is nie, gee Beheer 5.19 organisasies ruimte deur “kompenserende beheermaatreëls” aan te beveel wat voldoende vlakke van risikobestuur bereik, gebaseer op 'n organisasie se unieke omstandighede.
Bestuur al u nakoming, alles op een plek
ISMS.online ondersteun meer as 100 standaarde en regulasies, wat jou 'n enkele platform bied vir al jou voldoeningsbehoeftes.
Veranderinge vanaf ISO 27002:2013
27002:2022-5.19 vervang 27002:2013-5.1.1 (Inligtingsekerheidsbeleid vir verskafferverhoudings).
27002:2022-5.19 voldoen breedweg aan dieselfde onderliggende konsepte wat in die 2013-kontrole vervat is, maar bevat wel verskeie bykomende leidingsareas wat óf uit 27002:2013-5.1.1 weggelaat word, óf ten minste nie in soveel detail gedek word nie, insluitend:
- Die keuring van verskaffers gebaseer op hul tipe verskaffer en risikovlak.
- Die behoefte om die integriteit van verskafferinligting te verseker om hul eie data te beveilig, en besigheidskontinuïteit te verseker.
- Die verskillende stappe wat vereis word wanneer 'n verskafferverhouding beëindig word, insluitend die uitskakeling van toegangsregte, IP-verspreiding, kontraktuele ooreenkomste, ens.
27002:2022-5.19 is ook eksplisiet in die erkenning van die hoogs veranderlike aard van verskafferverhoudings (gebaseer op tipe, sektor en risikovlak), en gee organisasies 'n sekere mate van speling wanneer hulle die moontlikheid van nie-nakoming van enige gegewe riglynpunt oorweeg, gebaseer op die aard van die verhouding (sien 'Aanvullende leiding' hierbo).
Nuwe ISO 27002-kontroles
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 5.7 | NUWE | Bedreigingsintelligensie |
| 5.23 | NUWE | Inligtingsekuriteit vir die gebruik van wolkdienste |
| 5.30 | NUWE | IKT-gereedheid vir besigheidskontinuïteit |
| 7.4 | NUWE | Fisiese sekuriteitsmonitering |
| 8.9 | NUWE | Konfigurasiebestuur |
| 8.10 | NUWE | Inligting verwydering |
| 8.11 | NUWE | Datamaskering |
| 8.12 | NUWE | Voorkoming van datalekkasies |
| 8.16 | NUWE | Moniteringsaktiwiteite |
| 8.23 | NUWE | Webfiltrering |
| 8.28 | NUWE | Veilige kodering |
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Terme en diensvoorwaardes |
| 6.3 | 07.2.2 | Bewustheid, onderwys en opleiding van inligtingsekuriteit |
| 6.4 | 07.2.3 | Dissiplinêre proses |
| 6.5 | 07.3.1 | Verantwoordelikhede na beëindiging of verandering van diens |
| 6.6 | 13.2.4 | Vertroulikheids- of nie-openbaarmakingsooreenkomste |
| 6.7 | 06.2.2 | Afstand werk |
| 6.8 | 16.1.2, 16.1.3 | Rapportering van inligtingsekuriteitsgebeurtenisse |
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 7.1 | 11.1.1 | Fisiese sekuriteit omtrek |
| 7.2 | 11.1.2, 11.1.6 | Fisiese toegang |
| 7.3 | 11.1.3 | Beveiliging van kantore, kamers en fasiliteite |
| 7.4 | NUWE | Fisiese sekuriteitsmonitering |
| 7.5 | 11.1.4 | Beskerming teen fisiese en omgewingsbedreigings |
| 7.6 | 11.1.5 | Werk in veilige areas |
| 7.7 | 11.2.9 | Duidelike lessenaar en duidelike skerm |
| 7.8 | 11.2.1 | Toerusting plaas en beskerming |
| 7.9 | 11.2.6 | Sekuriteit van bates buite die perseel |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Berging media |
| 7.11 | 11.2.2 | Ondersteunende nutsprogramme |
| 7.12 | 11.2.3 | Bekabeling sekuriteit |
| 7.13 | 11.2.4 | Onderhoud van toerusting |
| 7.14 | 11.2.7 | Veilige wegdoening of hergebruik van toerusting |
Hoe ISMS.online help
Deur ISMS.online te gebruik, kan jy:
- Implementeer vinnig 'n Inligtingsekuriteitbestuurstelsel (ISMS).
- Bestuur die dokumentasie van jou ISMS maklik.
- Stroomlyn voldoening aan alle relevante standaarde.
- Bestuur alle aspekte van inligtingsekuriteit, van risikobestuur tot sekuriteitsbewusmakingsopleiding.
- Kommunikeer effektief regdeur jou organisasie deur ons ingeboude kommunikasiefunksies te gebruik.
Dit is 'n eenvoudige saak om 'n gratis proefrekening te skep en die stappe te volg wat ons verskaf.
Kontak ons vandag om 'n demonstrasie te bespreek.
