Doel van beheer 5.21
Beheer 5.21 beheer hoe organisasies inligtingsekuriteit te bestuur risiko's regdeur hul IKT-voorsieningsketting, deur robuuste prosesse en prosedures te implementeer voor die verskaffing van enige produkte of dienste.
5.21 is 'n voorkomende beheer Wat risiko handhaaf deur 'n "ooreengekome vlak van sekuriteit" tussen beide partye regdeur die IKT te vestig ketting.
Eienskappe Tabel van beheer 5.21
| beheer Tipe | Eienskappe vir inligtingsekuriteit | Kuberveiligheidskonsepte | Operasionele vermoëns | Sekuriteitsdomeine |
|---|---|---|---|---|
| #Voorkomende | #Vertroulikheid | #Identifiseer | #Verskaffersverhoudingsekuriteit | #Beheer en ekosisteem |
| #Integriteit | #Beskerming | |||
| #Beskikbaarheid |
Eienaarskap van beheer 5.21
Beheer 5.21 is uitdruklik gefokus op die verskaffing van IKT-dienste, via 'n verskaffer of groep verskaffers.
As sodanig behoort eienaarskap by die persoon te berus wat verantwoordelik is vir die verkryging, bestuur en hernuwing van IKT verskaffer verhoudings oor alle besigheidsfunksies, soos a Hoof Tegniese Beampte or Hoof van IT.
ISO 27001 maklik gemaak
'n Voorsprong van 81% van dag een af
Ons het die harde werk vir jou gedoen, wat jou 'n voorsprong van 81% gee vanaf die oomblik dat jy aanmeld. Al wat jy hoef te doen is om die spasies in te vul.
Algemene riglyne oor beheer 5.21
ISO stipuleer 13 IKT-verwante riglyne wat oorweeg moet word saam enige ander beheermaatreëls wat 'n organisasie se verhouding met sy verskaffer(s) dikteer.
Gegewe die uitbreiding van kruisplatform-op-perseel- en wolkdienste oor die afgelope dekade, handel Control 5.21 oor die verskaffing van beide hardeware en sagteware-verwante komponente en dienste (beide op die perseel en wolk-gebaseerde), en tref selde 'n onderskeid tussen die twee.
Sowel as die verhouding tussen die verskaffer en die organisasie, handel verskeie kontroles ook oor 'n verskaffer se verpligtinge wanneer elemente van die voorsieningsketting aan derdeparty-organisasies subkontrakteer word.
- Organisasies moet 'n duidelike stel van inligting-sekuriteit standaarde wat op hul individuele behoeftes van toepassing is, om duidelike verwagtinge te stel oor hoe verskaffers hulself moet optree wanneer hulle IKT-produkte en -dienste lewer.
- Indien die IKT-verskaffer enige element van die voorsieningsketting subkontrakteer, moet die verskaffer maatreëls tref om te verseker dat kontrakteurs en hul personeel ten volle vertroud is met die organisasie se unieke inligtingsekuriteitstandaarde.
- Indien die behoefte ontstaan om komponente (fisies of virtueel) wat van 'n derde party gekoop is te bekom, moet die verskaffer die organisasie se sekuriteitsvereistes aan enige verskaffers of verskaffers wat hulle self gebruik, versprei.
- Verskaffers moet gevra word om inligting te verskaf oor die aard en funksie van die sagtewarekomponente wat hulle gebruik om 'n diens aan die organisasie te lewer.
- Organisasies moet die onderliggende sekuriteitsfunksies van enige produk of diens wat gelewer word identifiseer, en hoe om die produk of diens te bedryf op 'n manier wat kompromitteer nie inligtingsekuriteit nie.
- Organisasies moet nie risikovlakke as vanselfsprekend aanvaar nie, en konsepprosedures wat verseker dat enige produkte of dienste wat 'n verskaffer lewer van 'n veilige aard is en aan aanvaarde industriestandaarde voldoen. Metodes kan sertifiseringskontroles, interne toetsing en ondersteunende voldoeningsdokumentasie insluit.
- Wanneer organisasies 'n produk of diens ontvang, moet organisasies voldoen aan 'n proses om eers enige elemente te identifiseer wat geag word noodsaaklik te wees vir die handhawing van kernfunksionaliteit - veral as daardie komponente van 'n subkontrakteur/uitgekontrakteerde ooreenkoms ontstaan het.
- Verskaffers moet in staat wees om konkrete versekering te gee dat "kritieke komponente" voordeel trek uit 'n deeglike ouditlogboek wat hul beweging dwarsdeur die IKT-voorsieningsketting naspeur, van skepping tot aflewering.
- Aangesien IKT-produkte en -dienste gelewer word, moet organisasies kategoriese versekering soek dat genoemde produkte en dienste nie net binne omvang funksioneer nie, maar geen bykomende kenmerke bevat wat 'n kollateraal kan bied nie. veiligheidsrisiko.
- Komponentspesifikasies is die sleutel om te verseker dat 'n organisasie die hardeware- en sagtewarekomponente verstaan wat hy op sy netwerk bekendstel. Verskaffers moet teen-peutermaatreëls regdeur die ontwikkelingslewensiklus oorweeg, en organisasies moet bepalings vereis wat komponente as wettig by aflewering verifieer.
- Versekering moet gesoek word om te bevestig dat IKT-produkte in lyn is met industriestandaard en/of sektorspesifiek sekuriteitsvereistes, soos relevant vir elke produk. Algemene metodes om dit te bereik, sluit in die bereiking van 'n minimum vlak van formele sekuriteitsertifisering, of die nakoming van 'n stel internasionaal erkende inligtingstandaarde (soos die Common Criteria Recognition Arrangement) per produk.
- Organisasies moet stappe doen om dit te verseker verskaffers bewus is van hul verpligtinge wanneer inligting en/of data met betrekking tot die wedersydse voorsieningskettingwerking gedeel word, insluitend die erkenning van enige potensiële konflikte of probleme wat tussen beide partye mag ontstaan, en hoe om dit by die bron te hanteer.
- Organisasies moet prosedures opstel wat risiko bestuur wanneer hulle met onbeskikbare, onondersteunde of verouderde komponente werk, waar hulle ook al woon. Waar komponente in een van hierdie kategorieë geval het, behoort organisasies dienooreenkomstig aan te pas en alternatiewe te identifiseer.
Bevry jouself van 'n berg sigblaaie
Integreer, brei uit en skaal jou nakoming, sonder die gemors. IO gee jou die veerkragtigheid en vertroue om veilig te groei.
Aanvullende leiding
Dit is belangrik om daarop te let dat IKT-voorsieningskettingbestuur nie in isolasie geneem moet word in ooreenstemming met hierdie beheer nie. Beheer 5.21 is ontwerp om bestaande voorsieningskettingbestuursprosedures aan te vul en konteks te bied vir IKT-spesifieke produkte en dienste.
ISO erken dat, veral wanneer dit by sagtewarekomponente kom, gehaltebeheer binne die sfeer van IKT-produkte en -dienste nie strek tot fyn inspeksie van die verskaffer se eie stel voldoeningsprosedures nie.
As sodanig word organisasies aangemoedig om verskaffer-spesifieke tjeks te identifiseer wat die verskaffer as 'n "betroubare bron" verifieer en konsepooreenkomste wat die verskaffer se inligtingsekuriteitsverpligtinge kategories vermeld, wanneer 'n kontrak, bestelling of diens verskaf word.
Beheer 5.21 Veranderinge vanaf ISO 27002:2013
ISO 27002:2022-5.21 vervang ISO 27002:2013-15.1.3 (Inligting- en kommunikasietegnologie-verskaffingsketting).
ISO 27002:2022-5.21 voldoen aan dieselfde stel algemene riglyne as ISO 27002:2013-15.1.3, maar plaas 'n veel groter klem op 'n verskaffer se verpligting om komponentverwante inligting by die verskaffingspunt te verskaf en te verifieer, insluitend:
- IKT-verskaffers wat komponentinligting verskaf.
- IKT-verskaffers wat die sekuriteitsfunksies van 'n produk uiteensit en hoe om dit die beste vanuit 'n sekuriteitsperspektief te bedryf.
- Versekering rakende vereiste sekuriteitsvlakke.
ISO 27002:2022-5.21 vra ook die organisasie om bykomende komponent-spesifieke inligting te skep om algemene vlakke van inligtingsekuriteit te verhoog wanneer produkte en dienste bekendgestel word, insluitend:
- Identifisering en dokumentasie van komponente wat deurslaggewend is vir die kernfunksionaliteit van die produk of diens.
- Verseker dat komponente eg en onveranderd is.
Nuwe ISO 27002-kontroles
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 5.7 | NUWE | Bedreigingsintelligensie |
| 5.23 | NUWE | Inligtingsekuriteit vir die gebruik van wolkdienste |
| 5.30 | NUWE | IKT-gereedheid vir besigheidskontinuïteit |
| 7.4 | NUWE | Fisiese sekuriteitsmonitering |
| 8.9 | NUWE | Konfigurasiebestuur |
| 8.10 | NUWE | Inligting verwydering |
| 8.11 | NUWE | Datamaskering |
| 8.12 | NUWE | Voorkoming van datalekkasies |
| 8.16 | NUWE | Moniteringsaktiwiteite |
| 8.23 | NUWE | Webfiltrering |
| 8.28 | NUWE | Veilige kodering |
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Terme en diensvoorwaardes |
| 6.3 | 07.2.2 | Bewustheid, onderwys en opleiding van inligtingsekuriteit |
| 6.4 | 07.2.3 | Dissiplinêre proses |
| 6.5 | 07.3.1 | Verantwoordelikhede na beëindiging of verandering van diens |
| 6.6 | 13.2.4 | Vertroulikheids- of nie-openbaarmakingsooreenkomste |
| 6.7 | 06.2.2 | Afstand werk |
| 6.8 | 16.1.2, 16.1.3 | Rapportering van inligtingsekuriteitsgebeurtenisse |
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 7.1 | 11.1.1 | Fisiese sekuriteit omtrek |
| 7.2 | 11.1.2, 11.1.6 | Fisiese toegang |
| 7.3 | 11.1.3 | Beveiliging van kantore, kamers en fasiliteite |
| 7.4 | NUWE | Fisiese sekuriteitsmonitering |
| 7.5 | 11.1.4 | Beskerming teen fisiese en omgewingsbedreigings |
| 7.6 | 11.1.5 | Werk in veilige areas |
| 7.7 | 11.2.9 | Duidelike lessenaar en duidelike skerm |
| 7.8 | 11.2.1 | Toerusting plaas en beskerming |
| 7.9 | 11.2.6 | Sekuriteit van bates buite die perseel |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Berging media |
| 7.11 | 11.2.2 | Ondersteunende nutsprogramme |
| 7.12 | 11.2.3 | Bekabeling sekuriteit |
| 7.13 | 11.2.4 | Onderhoud van toerusting |
| 7.14 | 11.2.7 | Veilige wegdoening of hergebruik van toerusting |
Hoe ISMS.online help
At ISMS.aanlyn, het ons 'n omvattende en maklik om te gebruik stelsel gebou wat jou kan help om ISO 27002-kontroles te implementeer en jou hele ISMS te bestuur.
Ons wolk-gebaseerde platform bied:
- 'n Maklik om te gebruik en aanpas dokumentasiebestuurstelsel.
- Toegang tot 'n biblioteek van gepoleerde, voorafgeskrewe dokumentasiesjablone.
- 'n Vereenvoudigde proses vir die uitvoer van interne oudits.
- 'n Doeltreffende metode om met bestuur en belanghebbendes te kommunikeer.
- 'n Werkvloeimodule om die implementeringsproses te stroomlyn.
ISMS.online het al hierdie kenmerke, En meer.
Kontak vandag nog om bespreek 'n demo.
