ISO 27001:2022 Phụ lục A Kiểm soát 5.19 là về bảo mật thông tin trong mối quan hệ với nhà cung cấp. Mục tiêu ở đây là bảo vệ các tài sản có giá trị của tổ chức mà nhà cung cấp có thể truy cập hoặc bị ảnh hưởng.
Chúng tôi cũng khuyên bạn nên cân nhắc các mối quan hệ quan trọng khác ở đây, ví dụ như các đối tác nếu họ không phải là nhà cung cấp nhưng cũng có tác động đến tài sản của bạn mà có thể không chỉ được bao gồm trong hợp đồng.
Đây là một phần quan trọng của hệ thống quản lý bảo mật thông tin (ISMS), đặc biệt nếu bạn muốn đạt được chứng chỉ ISO 27001. Chúng ta hãy cùng tìm hiểu sâu hơn về các yêu cầu đó và ý nghĩa của chúng.
Nhà cung cấp được sử dụng vì hai lý do chính; một là: bạn muốn họ thực hiện công việc mà bạn đã chọn không tự mình làm; hai là: bạn không thể dễ dàng thực hiện công việc đó tốt hoặc hiệu quả về mặt chi phí như nhà cung cấp.
Có nhiều điều quan trọng cần cân nhắc khi tiếp cận việc lựa chọn và quản lý nhà cung cấp nhưng không có một quy mô nào phù hợp với tất cả và một số nhà cung cấp sẽ quan trọng hơn những nhà cung cấp khác. Do đó, các biện pháp kiểm soát và chính sách của bạn cũng nên phản ánh điều đó và việc phân khúc chuỗi cung ứng là hợp lý; chúng tôi ủng hộ bốn loại nhà cung cấp dựa trên giá trị và rủi ro trong mối quan hệ. Những loại này bao gồm từ những nhà cung cấp quan trọng đối với doanh nghiệp cho đến những nhà cung cấp khác không có tác động đáng kể đến tổ chức của bạn.
Mục đích của ISO 27001:2022 Phụ lục A 5.19
Phụ lục A của ISO 27001:2002 Kiểm soát 5.19 liên quan đến nghĩa vụ của tổ chức nhằm đảm bảo rằng khi sử dụng các sản phẩm và dịch vụ của nhà cung cấp (bao gồm cả nhà cung cấp dịch vụ đám mây), cần cân nhắc đầy đủ đến mức độ rủi ro vốn có khi sử dụng các hệ thống bên ngoài và tác động tiếp theo có thể xảy ra đối với việc tuân thủ bảo mật thông tin của chính tổ chức đó.
Một chính sách tốt sẽ mô tả phân khúc nhà cung cấp, lựa chọn, quản lý, thoát, cách thức kiểm soát tài sản thông tin xung quanh nhà cung cấp để giảm thiểu rủi ro liên quan, nhưng vẫn cho phép đạt được các mục tiêu và mục đích kinh doanh. Các tổ chức thông minh sẽ gói chính sách bảo mật thông tin của họ cho nhà cung cấp vào một khuôn khổ quan hệ rộng hơn và tránh chỉ tập trung vào bảo mật, mà còn hướng đến các khía cạnh khác.
Phụ lục A Kiểm soát 5.19 là biện pháp kiểm soát phòng ngừa giúp điều chỉnh rủi ro bằng cách duy trì các quy trình giải quyết các rủi ro bảo mật vốn có liên quan đến việc sử dụng các sản phẩm và dịch vụ do bên thứ ba cung cấp.
Ai là người sở hữu Phụ lục A 5.19?
Trong khi Phụ lục A 5.19 của Tiêu chuẩn kiểm soát ISO 27001 có nhiều hướng dẫn về việc sử dụng các dịch vụ ICT thì phạm vi kiểm soát rộng hơn bao gồm nhiều khía cạnh khác trong mối quan hệ của tổ chức với cơ sở nhà cung cấp, bao gồm loại nhà cung cấp, hậu cần, tiện ích, dịch vụ tài chính và các thành phần cơ sở hạ tầng).
Do đó, quyền sở hữu Phụ lục A Kiểm soát 5.19 phải thuộc về một thành viên trong ban quản lý cấp cao giám sát hoạt động thương mại của tổ chức và duy trì mối quan hệ trực tiếp với các nhà cung cấp của tổ chức, chẳng hạn như Giám đốc điều hành .
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 5.19
Việc tuân thủ Phụ lục A Kiểm soát 5.19 liên quan đến việc tuân thủ phương pháp tiếp cận được gọi là “theo chủ đề cụ thể” đối với bảo mật thông tin trong mối quan hệ với nhà cung cấp.
Một tổ chức có thể muốn các nhà cung cấp truy cập và đóng góp vào một số tài sản thông tin có giá trị cao (ví dụ: phát triển mã phần mềm, thông tin bảng lương kế toán). Do đó, họ cần có các thỏa thuận rõ ràng về chính xác quyền truy cập nào mà họ được phép, để họ có thể kiểm soát bảo mật xung quanh nó.
Điều này đặc biệt quan trọng khi ngày càng có nhiều dịch vụ quản lý thông tin, xử lý và công nghệ được thuê ngoài. Điều đó có nghĩa là phải có một nơi để thể hiện việc quản lý mối quan hệ đang diễn ra; hợp đồng, liên hệ, sự cố, hoạt động quan hệ và quản lý rủi ro , v.v. Khi nhà cung cấp cũng tham gia chặt chẽ vào tổ chức, nhưng có thể không có ISMS được chứng nhận của riêng mình, thì việc đảm bảo nhân viên nhà cung cấp được đào tạo và nhận thức về bảo mật, được đào tạo về chính sách của bạn, v.v. cũng đáng để chứng minh sự tuân thủ.
Các cách tiếp cận theo chủ đề cụ thể khuyến khích các tổ chức tạo ra các chính sách liên quan đến nhà cung cấp được thiết kế riêng cho từng chức năng kinh doanh, thay vì tuân thủ chính sách quản lý nhà cung cấp chung áp dụng cho mọi mối quan hệ với bên thứ ba trong hoạt động thương mại của tổ chức.
Điều quan trọng cần lưu ý là Phụ lục A Kiểm soát 5.19 của ISO 27001 yêu cầu tổ chức triển khai các chính sách và quy trình không chỉ quản lý việc tổ chức sử dụng tài nguyên của nhà cung cấp và nền tảng đám mây mà còn tạo thành cơ sở cho cách họ mong đợi nhà cung cấp của mình ứng xử trước và trong suốt thời hạn của mối quan hệ thương mại.
Do đó, Phụ lục A Kiểm soát 5.19 có thể được xem là tài liệu đủ điều kiện cần thiết chỉ định cách thức quản trị bảo mật thông tin được xử lý trong suốt quá trình thực hiện hợp đồng với nhà cung cấp.
Phụ lục A của ISO 27001 Kiểm soát 5.19 bao gồm 14 điểm hướng dẫn chính cần tuân thủ:
1) Duy trì hồ sơ chính xác về các loại nhà cung cấp (ví dụ: dịch vụ tài chính, phần cứng ICT, điện thoại) có khả năng ảnh hưởng đến tính toàn vẹn của bảo mật thông tin.
Tuân thủ – Soạn thảo danh sách tất cả các nhà cung cấp mà tổ chức của bạn hợp tác, phân loại chúng theo chức năng kinh doanh và thêm danh mục vào các loại nhà cung cấp đó khi cần thiết.
2) Hiểu cách thẩm định nhà cung cấp dựa trên mức độ rủi ro vốn có của loại nhà cung cấp đó.
Tuân thủ – Các loại nhà cung cấp khác nhau sẽ yêu cầu các kiểm tra thẩm định khác nhau. Cân nhắc sử dụng các phương pháp thẩm định trên cơ sở từng nhà cung cấp (ví dụ: tham chiếu ngành, báo cáo tài chính, đánh giá tại chỗ, chứng nhận cụ thể theo ngành như Quan hệ đối tác của Microsoft).
3) Xác định các nhà cung cấp đã áp dụng các biện pháp kiểm soát bảo mật thông tin từ trước.
Tuân thủ – Yêu cầu xem bản sao các quy trình quản lý bảo mật thông tin có liên quan của nhà cung cấp để đánh giá rủi ro đối với tổ chức của bạn. Nếu họ không có bất kỳ quy trình nào, thì đó không phải là dấu hiệu tốt.
4) Xác định và định nghĩa các khu vực cụ thể trong cơ sở hạ tầng CNTT của tổ chức mà nhà cung cấp của bạn có thể truy cập, giám sát hoặc tự mình sử dụng.
Tuân thủ – Điều quan trọng là phải thiết lập ngay từ đầu chính xác cách nhà cung cấp của bạn sẽ tương tác với tài sản CNTT của bạn – dù là tài sản vật lý hay ảo – và mức độ truy cập mà họ được cấp theo nghĩa vụ hợp đồng của họ.
5) Xác định cách cơ sở hạ tầng ICT của nhà cung cấp có thể tác động đến dữ liệu của bạn và khách hàng của bạn.
Tuân thủ – Nghĩa vụ đầu tiên của một tổ chức là tuân thủ bộ tiêu chuẩn bảo mật thông tin của riêng mình. Tài sản ICT của nhà cung cấp cần được xem xét theo khả năng ảnh hưởng đến thời gian hoạt động và tính toàn vẹn trong toàn bộ tổ chức của bạn.
6) Xác định và quản lý các rủi ro bảo mật thông tin khác nhau liên quan đến:
a. Nhà cung cấp sử dụng thông tin bí mật hoặc tài sản được bảo vệ (ví dụ: chỉ giới hạn ở mục đích sử dụng có hại và/hoặc mục đích phạm tội).
b. Phần cứng của nhà cung cấp bị lỗi hoặc nền tảng phần mềm trục trặc liên quan đến các dịch vụ tại chỗ hoặc trên nền tảng đám mây.
Tuân thủ – Các tổ chức cần liên tục lưu tâm đến các rủi ro bảo mật thông tin liên quan đến các sự kiện thảm khốc, chẳng hạn như hoạt động bất chính của người dùng từ phía nhà cung cấp hoặc các sự cố phần mềm lớn không lường trước được, cũng như tác động của chúng đến bảo mật thông tin của tổ chức.
7) Giám sát việc tuân thủ bảo mật thông tin theo từng chủ đề cụ thể hoặc từng loại nhà cung cấp.
Tuân thủ – Tổ chức cần đánh giá những tác động về bảo mật thông tin vốn có trong từng loại nhà cung cấp và điều chỉnh hoạt động giám sát của mình để phù hợp với các mức độ rủi ro khác nhau.
8) Hạn chế mức độ thiệt hại và/hoặc gián đoạn do không tuân thủ gây ra.
Tuân thủ – Hoạt động của nhà cung cấp phải được giám sát theo cách phù hợp và ở các mức độ khác nhau, tùy theo mức độ rủi ro của nhà cung cấp. Khi phát hiện ra hành vi không tuân thủ, dù là chủ động hay phản ứng, cần phải có hành động ngay lập tức.
9) Duy trì quy trình quản lý sự cố mạnh mẽ có thể giải quyết được một lượng tình huống bất trắc hợp lý.
Tuân thủ – Các tổ chức phải hiểu chính xác cách phản ứng khi đối mặt với nhiều sự kiện liên quan đến việc cung cấp sản phẩm và dịch vụ của bên thứ ba, đồng thời vạch ra các hành động khắc phục có sự tham gia của cả nhà cung cấp và tổ chức.
10) Ban hành các biện pháp đáp ứng nhu cầu về tính khả dụng và khả năng xử lý thông tin của nhà cung cấp, bất kể thông tin đó được sử dụng ở đâu, do đó đảm bảo tính toàn vẹn của thông tin của chính tổ chức.
Tuân thủ – Cần thực hiện các bước để đảm bảo rằng hệ thống và dữ liệu của nhà cung cấp được xử lý theo cách không ảnh hưởng đến tính khả dụng và bảo mật của hệ thống và thông tin của chính tổ chức.
11) Soạn thảo một kế hoạch đào tạo toàn diện, hướng dẫn cách nhân viên tương tác với nhân viên nhà cung cấp và thông tin theo từng nhà cung cấp hoặc từng loại nhà cung cấp.
Tuân thủ – Đào tạo phải bao gồm toàn bộ phạm vi quản trị giữa tổ chức và các nhà cung cấp, bao gồm sự tham gia, các biện pháp kiểm soát quản lý rủi ro chi tiết và các quy trình theo chủ đề cụ thể.
12) Hiểu và quản lý mức độ rủi ro vốn có khi chuyển giao thông tin và tài sản vật lý và ảo giữa tổ chức và nhà cung cấp.
Tuân thủ – Các tổ chức nên lập sơ đồ từng giai đoạn của quá trình chuyển giao và giáo dục nhân viên về những rủi ro liên quan đến việc di chuyển tài sản và thông tin từ nguồn này sang nguồn khác.
13) Đảm bảo chấm dứt mối quan hệ với nhà cung cấp vì lý do bảo mật thông tin, bao gồm việc xóa bỏ quyền truy cập và khả năng truy cập thông tin của tổ chức.
Tuân thủ – Nhóm CNTT của bạn phải hiểu rõ cách thu hồi quyền truy cập thông tin của nhà cung cấp, bao gồm:
- Phân tích chi tiết mọi tên miền liên quan và/hoặc tài khoản đám mây.
- Phân phối sở hữu trí tuệ .
- Việc chuyển thông tin giữa các nhà cung cấp hoặc quay trở lại tổ chức của bạn.
- Quản lý hồ sơ.
- Trả lại tài sản cho chủ sở hữu ban đầu.
- Xử lý thỏa đáng các tài sản vật chất và ảo, bao gồm cả thông tin.
- Tuân thủ mọi yêu cầu hợp đồng, bao gồm các điều khoản bảo mật và/hoặc các thỏa thuận bên ngoài.
14) Nêu rõ cách bạn mong đợi nhà cung cấp thực hiện các biện pháp bảo mật vật lý và ảo.
Tuân thủ – Các tổ chức nên đặt ra kỳ vọng rõ ràng ngay từ đầu của bất kỳ mối quan hệ thương mại nào, nêu rõ cách nhân viên phía nhà cung cấp được mong đợi sẽ ứng xử khi tương tác với nhân viên của bạn hoặc bất kỳ tài sản có liên quan nào.
Hướng dẫn bổ sung về Phụ lục A 5.19
ISO thừa nhận rằng không phải lúc nào cũng có thể áp dụng toàn bộ chính sách đối với nhà cung cấp để đáp ứng mọi yêu cầu trong danh sách trên như Mục A của Tiêu chuẩn kiểm soát 5.19 của ISO 27001, đặc biệt là khi giải quyết các tổ chức khu vực công cứng nhắc.
Như đã nói, Phụ lục A Kiểm soát 5.19 nêu rõ rằng các tổ chức nên sử dụng hướng dẫn trên khi xây dựng mối quan hệ với nhà cung cấp và xem xét việc không tuân thủ theo từng trường hợp cụ thể.
Trong trường hợp không thể tuân thủ đầy đủ, Phụ lục A Kiểm soát 5.19 sẽ cung cấp cho các tổ chức sự linh hoạt bằng cách đề xuất “các biện pháp kiểm soát bù đắp” giúp đạt được mức quản lý rủi ro phù hợp, dựa trên hoàn cảnh cụ thể của tổ chức.
Những thay đổi so với ISO 27001:2013 là gì?
Phụ lục A 5.19 của ISO 27001:2022 thay thế Phụ lục A 15.1.1 của ISO 27001:2013 (Chính sách bảo mật thông tin cho mối quan hệ với nhà cung cấp).
Phụ lục A 5.19 của ISO 27001:2022 về cơ bản tuân thủ các khái niệm cơ bản giống như trong bản kiểm soát năm 2013, nhưng có chứa một số lĩnh vực hướng dẫn bổ sung bị loại bỏ khỏi Phụ lục A 5.1.1 của ISO 27001:2013 hoặc ít nhất là không được đề cập chi tiết, bao gồm:
- Kiểm tra nhà cung cấp dựa trên loại nhà cung cấp và mức độ rủi ro của họ.
- Nhu cầu đảm bảo tính toàn vẹn của thông tin nhà cung cấp để bảo mật dữ liệu của họ và đảm bảo tính liên tục của hoạt động kinh doanh.
- Các bước khác nhau cần thực hiện khi chấm dứt mối quan hệ với nhà cung cấp, bao gồm việc chấm dứt quyền truy cập, phân phối IP, thỏa thuận hợp đồng, v.v.
Phụ lục A 5.19 của ISO 27001:2022 cũng nêu rõ bản chất rất khác nhau của các mối quan hệ với nhà cung cấp (dựa trên loại hình, lĩnh vực và mức độ rủi ro) và trao cho các tổ chức một mức độ tự do nhất định khi xem xét khả năng không tuân thủ bất kỳ điểm hướng dẫn nào, dựa trên bản chất của mối quan hệ (xem ‘Hướng dẫn bổ sung’ ở trên).
