Beheer 5.21 – Bestuur van inligtingsekuriteit in die IKT-voorsieningsketting

Algemene riglyne oor beheer 5.21

ISO stipuleer 13 IKT-verwante riglyne wat oorweeg moet word saam enige ander beheermaatreëls wat 'n organisasie se verhouding met sy verskaffer(s) dikteer.

Gegewe die uitbreiding van kruisplatform-op-perseel- en wolkdienste oor die afgelope dekade, handel Control 5.21 oor die verskaffing van beide hardeware en sagteware-verwante komponente en dienste (beide op die perseel en wolk-gebaseerde), en tref selde 'n onderskeid tussen die twee.

Sowel as die verhouding tussen die verskaffer en die organisasie, handel verskeie kontroles ook oor 'n verskaffer se verpligtinge wanneer elemente van die voorsieningsketting aan derdeparty-organisasies subkontrakteer word.

1. Organisasies moet 'n duidelike stel van inligting-sekuriteit standaarde wat op hul individuele behoeftes van toepassing is, om duidelike verwagtinge te stel oor hoe verskaffers hulself moet optree wanneer hulle IKT-produkte en -dienste lewer.
2. Indien die IKT-verskaffer enige element van die voorsieningsketting subkontrakteer, moet die verskaffer maatreëls tref om te verseker dat kontrakteurs en hul personeel ten volle vertroud is met die organisasie se unieke inligtingsekuriteitstandaarde.
3. Indien die behoefte ontstaan ​​om komponente (fisies of virtueel) wat van 'n derde party gekoop is te bekom, moet die verskaffer die organisasie se sekuriteitsvereistes aan enige verskaffers of verskaffers wat hulle self gebruik, versprei.
4. Verskaffers moet gevra word om inligting te verskaf oor die aard en funksie van die sagtewarekomponente wat hulle gebruik om 'n diens aan die organisasie te lewer.
5. Organisasies moet die onderliggende sekuriteitsfunksies van enige produk of diens wat gelewer word identifiseer, en hoe om die produk of diens te bedryf op 'n manier wat kompromitteer nie inligtingsekuriteit nie.
6. Organisasies moet nie risikovlakke as vanselfsprekend aanvaar nie, en konsepprosedures wat verseker dat enige produkte of dienste wat 'n verskaffer lewer van 'n veilige aard is en aan aanvaarde industriestandaarde voldoen. Metodes kan sertifiseringskontroles, interne toetsing en ondersteunende voldoeningsdokumentasie insluit.
7. Wanneer organisasies 'n produk of diens ontvang, moet organisasies voldoen aan 'n proses om eers enige elemente te identifiseer wat geag word noodsaaklik te wees vir die handhawing van kernfunksionaliteit - veral as daardie komponente van 'n subkontrakteur/uitgekontrakteerde ooreenkoms ontstaan ​​het.
8. Verskaffers moet in staat wees om konkrete versekering te gee dat "kritieke komponente" voordeel trek uit 'n deeglike ouditlogboek wat hul beweging dwarsdeur die IKT-voorsieningsketting naspeur, van skepping tot aflewering.
9. Aangesien IKT-produkte en -dienste gelewer word, moet organisasies kategoriese versekering soek dat genoemde produkte en dienste nie net binne omvang funksioneer nie, maar geen bykomende kenmerke bevat wat 'n kollateraal kan bied nie. veiligheidsrisiko.
10. Komponentspesifikasies is die sleutel om te verseker dat 'n organisasie die hardeware- en sagtewarekomponente verstaan ​​wat hy op sy netwerk bekendstel. Verskaffers moet teen-peutermaatreëls regdeur die ontwikkelingslewensiklus oorweeg, en organisasies moet bepalings vereis wat komponente as wettig by aflewering verifieer.
11. Versekering moet gesoek word om te bevestig dat IKT-produkte in lyn is met industriestandaard en/of sektorspesifiek sekuriteitsvereistes, soos relevant vir elke produk. Algemene metodes om dit te bereik, sluit in die bereiking van 'n minimum vlak van formele sekuriteitsertifisering, of die nakoming van 'n stel internasionaal erkende inligtingstandaarde (soos die Common Criteria Recognition Arrangement) per produk.
12. Organisasies moet stappe doen om dit te verseker verskaffers bewus is van hul verpligtinge wanneer inligting en/of data met betrekking tot die wedersydse voorsieningskettingwerking gedeel word, insluitend die erkenning van enige potensiële konflikte of probleme wat tussen beide partye mag ontstaan, en hoe om dit by die bron te hanteer.
13. Organisasies moet prosedures opstel wat risiko bestuur wanneer hulle met onbeskikbare, onondersteunde of verouderde komponente werk, waar hulle ook al woon. Waar komponente in een van hierdie kategorieë geval het, behoort organisasies dienooreenkomstig aan te pas en alternatiewe te identifiseer.

Aanvullende leiding

Dit is belangrik om daarop te let dat IKT-voorsieningskettingbestuur nie in isolasie geneem moet word in ooreenstemming met hierdie beheer nie. Beheer 5.21 is ontwerp om bestaande voorsieningskettingbestuursprosedures aan te vul en konteks te bied vir IKT-spesifieke produkte en dienste.

ISO erken dat, veral wanneer dit by sagtewarekomponente kom, gehaltebeheer binne die sfeer van IKT-produkte en -dienste nie strek tot fyn inspeksie van die verskaffer se eie stel voldoeningsprosedures nie.

As sodanig word organisasies aangemoedig om verskaffer-spesifieke tjeks te identifiseer wat die verskaffer as 'n "betroubare bron" verifieer en konsepooreenkomste wat die verskaffer se inligtingsekuriteitsverpligtinge kategories vermeld, wanneer 'n kontrak, bestelling of diens verskaf word.

Beheer 5.21 Veranderinge vanaf ISO 27002:2013

ISO 27002:2022-5.21 vervang ISO 27002:2013-15.1.3 (Inligting- en kommunikasietegnologie-verskaffingsketting).

ISO 27002:2022-5.21 voldoen aan dieselfde stel algemene riglyne as ISO 27002:2013-15.1.3, maar plaas 'n veel groter klem op 'n verskaffer se verpligting om komponentverwante inligting by die verskaffingspunt te verskaf en te verifieer, insluitend:

• IKT-verskaffers wat komponentinligting verskaf.
• IKT-verskaffers wat die sekuriteitsfunksies van 'n produk uiteensit en hoe om dit die beste vanuit 'n sekuriteitsperspektief te bedryf.
• Versekering rakende vereiste sekuriteitsvlakke.

ISO 27002:2022-5.21 vra ook die organisasie om bykomende komponent-spesifieke inligting te skep om algemene vlakke van inligtingsekuriteit te verhoog wanneer produkte en dienste bekendgestel word, insluitend:

• Identifisering en dokumentasie van komponente wat deurslaggewend is vir die kernfunksionaliteit van die produk of diens.
• Verseker dat komponente eg en onveranderd is.

Hoe ISMS.online help

At ISMS.aanlyn, het ons 'n omvattende en maklik om te gebruik stelsel gebou wat jou kan help om ISO 27002-kontroles te implementeer en jou hele ISMS te bestuur.

Ons wolk-gebaseerde platform bied:

• 'n Maklik om te gebruik en aanpas dokumentasiebestuurstelsel.
• Toegang tot 'n biblioteek van gepoleerde, voorafgeskrewe dokumentasiesjablone.
• 'n Vereenvoudigde proses vir die uitvoer van interne oudits.
• 'n Doeltreffende metode om met bestuur en belanghebbendes te kommunikeer.
• 'n Werkvloeimodule om die implementeringsproses te stroomlyn.

ISMS.online het al hierdie kenmerke, En meer.

Kontak vandag nog om bespreek 'n demo.