Mục đích của Phụ lục A 5.20 của ISO 27001:2022 là gì?
ISO 27001 Phụ lục A Kiểm soát 5.20 quy định cách thức một tổ chức lập hợp đồng với nhà cung cấp dựa trên các yêu cầu về bảo mật của họ. Điều này dựa trên loại nhà cung cấp mà họ làm việc cùng.
Theo Phụ lục A Kiểm soát 5.20, các tổ chức và nhà cung cấp của họ phải thống nhất về các nghĩa vụ bảo mật thông tin được cả hai bên chấp nhận để duy trì rủi ro.
Ai là người sở hữu Phụ lục A 5.20?
Phụ lục Kiểm soát 5.20 phải được xác định dựa trên việc tổ chức có vận hành bộ phận pháp lý riêng hay không, cũng như bản chất của thỏa thuận đã được ký kết.
Việc quản lý mọi thay đổi đối với chính sách, quy trình và biện pháp kiểm soát chuỗi cung ứng, bao gồm việc duy trì và cải thiện các chính sách, quy trình và biện pháp kiểm soát bảo mật thông tin hiện có, đều được coi là biện pháp kiểm soát hiệu quả.
Điều này được xác định bằng cách xem xét tính quan trọng của thông tin kinh doanh, bản chất của sự thay đổi, loại nhà cung cấp bị ảnh hưởng, hệ thống và quy trình liên quan và đánh giá lại các yếu tố rủi ro. Việc thay đổi dịch vụ mà nhà cung cấp cung cấp cũng nên xem xét đến sự thân mật của mối quan hệ và khả năng ảnh hưởng hoặc kiểm soát sự thay đổi của tổ chức.
Quyền sở hữu 5.20 phải thuộc về cá nhân chịu trách nhiệm về các thỏa thuận ràng buộc pháp lý trong tổ chức (hợp đồng, biên bản ghi nhớ, thỏa thuận mức độ dịch vụ, v.v.) nếu tổ chức có năng lực pháp lý để soạn thảo, sửa đổi và lưu trữ các thỏa thuận hợp đồng của mình mà không cần sự tham gia của bên thứ ba.
Một thành viên của ban quản lý cấp cao trong tổ chức giám sát các hoạt động thương mại của tổ chức và duy trì mối quan hệ trực tiếp với các nhà cung cấp phải chịu trách nhiệm về Phụ lục A Kiểm soát 5.20 nếu tổ chức thuê ngoài các thỏa thuận như vậy.
ISO 27001:2022 Phụ lục A 5.20 Hướng dẫn chung
Tiêu chuẩn 5.20 của Phụ lục A bao gồm 25 điểm hướng dẫn mà ISO nêu là “có thể xem xét” (tức là không nhất thiết là tất cả) để các tổ chức đáp ứng các yêu cầu về bảo mật thông tin của họ.
Phụ lục A Kiểm soát 5.20 quy định rằng bất kể biện pháp nào được áp dụng, cả hai bên phải thoát khỏi quá trình này với “sự hiểu biết rõ ràng” về nghĩa vụ bảo mật thông tin của nhau.
- Điều cần thiết là phải cung cấp mô tả rõ ràng về thông tin cần truy cập và cách thức truy cập thông tin đó.
- Các tổ chức nên phân loại thông tin theo các chương trình phân loại đã công bố của họ (xem Phụ lục A, Kiểm soát 5.10, 5.12 và 5.13).
- Phân loại thông tin về phía nhà cung cấp cần được xem xét cùng với mối liên quan của nó với thông tin về phía tổ chức.
- Nhìn chung, quyền của cả hai bên có thể được chia thành bốn loại: pháp lý, theo luật định, theo quy định và theo hợp đồng. Theo tiêu chuẩn của các thỏa thuận thương mại, các nghĩa vụ khác nhau phải được nêu rõ trong bốn lĩnh vực này, bao gồm quyền truy cập thông tin cá nhân, quyền sở hữu trí tuệ và các điều khoản bản quyền. Hợp đồng cũng phải đề cập đến cách các lĩnh vực chính này sẽ được giải quyết riêng biệt.
- Là một phần của hệ thống kiểm soát Phụ lục A, mỗi bên phải được yêu cầu triển khai các biện pháp đồng thời được thiết kế để giám sát, đánh giá và quản lý rủi ro bảo mật thông tin (chẳng hạn như chính sách kiểm soát truy cập, đánh giá hợp đồng, giám sát, báo cáo và kiểm toán định kỳ). Hơn nữa, thỏa thuận phải nêu rõ rằng nhân viên nhà cung cấp phải tuân thủ các tiêu chuẩn bảo mật thông tin của tổ chức (xem ISO 27001 Phụ lục A Kiểm soát 5.20).
- Cả hai bên phải hiểu rõ thế nào là sử dụng thông tin được chấp nhận và không được chấp nhận, cũng như tài sản vật chất và ảo.
- Để đảm bảo rằng nhân viên phía nhà cung cấp có thể truy cập và xem thông tin của tổ chức, cần áp dụng các quy trình (ví dụ: kiểm toán phía nhà cung cấp và kiểm soát quyền truy cập máy chủ).
- Ngoài việc xem xét cơ sở hạ tầng ICT của nhà cung cấp, điều quan trọng là phải hiểu cơ sở hạ tầng đó liên quan như thế nào đến loại thông tin mà tổ chức sẽ truy cập. Điều này bổ sung cho bộ yêu cầu kinh doanh cốt lõi của tổ chức.
- Nếu nhà cung cấp vi phạm hợp đồng hoặc không tuân thủ các điều khoản riêng lẻ, tổ chức nên cân nhắc những bước có thể thực hiện.
- Cụ thể, thỏa thuận phải mô tả quy trình quản lý sự cố chung làm rõ cách xử lý sự cố khi phát sinh. Điều này bao gồm cách cả hai bên phải giao tiếp khi sự cố xảy ra.
- Cả hai bên phải cung cấp chương trình đào tạo nhận thức đầy đủ (khi đào tạo tiêu chuẩn không đủ) về các lĩnh vực chính của thỏa thuận, đặc biệt là các lĩnh vực rủi ro như Quản lý sự cố và Chia sẻ thông tin.
- Việc sử dụng các nhà thầu phụ cần được giải quyết thỏa đáng. Các tổ chức cần đảm bảo rằng, nếu nhà cung cấp được phép sử dụng các nhà thầu phụ, bất kỳ cá nhân hoặc công ty nào như vậy đều tuân thủ các tiêu chuẩn bảo mật thông tin giống như nhà cung cấp.
- Trong phạm vi có thể về mặt pháp lý và hoạt động, các tổ chức nên cân nhắc cách sàng lọc nhân sự nhà cung cấp trước khi tương tác với thông tin của họ. Ngoài ra, họ nên cân nhắc cách ghi lại và báo cáo các cuộc sàng lọc cho tổ chức, bao gồm cả nhân sự không được sàng lọc và các lĩnh vực quan tâm.
- Các tổ chức nên yêu cầu các nhà cung cấp tuân thủ các yêu cầu về bảo mật thông tin của họ phải có chứng nhận của bên thứ ba, chẳng hạn như báo cáo độc lập và kiểm toán của bên thứ ba .
- Phụ lục A Kiểm soát 5.20 của ISO 27001:2022 yêu cầu các tổ chức có quyền đánh giá và kiểm toán các quy trình của nhà cung cấp.
- Nhà cung cấp phải cung cấp các báo cáo định kỳ (theo các khoảng thời gian khác nhau) tóm tắt hiệu quả của các quy trình và thủ tục của họ và cách họ dự định giải quyết mọi vấn đề phát sinh.
- Trong suốt mối quan hệ, thỏa thuận phải bao gồm các biện pháp đảm bảo mọi khiếm khuyết hoặc xung đột đều được giải quyết kịp thời và triệt để.
- Nhà cung cấp nên triển khai chính sách BUDR phù hợp, được điều chỉnh để đáp ứng nhu cầu của tổ chức, giải quyết ba cân nhắc chính: a) Loại sao lưu (toàn bộ máy chủ, tệp và thư mục, gia tăng), b) Tần suất sao lưu (hàng ngày, hàng tuần, v.v.) C) Vị trí sao lưu và phương tiện nguồn (tại chỗ, ngoài trang web).
- Điều cần thiết là phải đảm bảo khả năng phục hồi dữ liệu bằng cách vận hành một cơ sở phục hồi thảm họa tách biệt với cơ sở ICT chính của nhà cung cấp. Cơ sở này không phải chịu cùng mức rủi ro như cơ sở ICT chính.
- Nhà cung cấp phải duy trì chính sách quản lý thay đổi toàn diện cho phép tổ chức từ chối bất kỳ thay đổi nào có thể ảnh hưởng đến bảo mật thông tin trước.
- Các biện pháp kiểm soát an ninh vật lý nên được thực hiện tùy thuộc vào thông tin mà họ được phép truy cập (truy cập tòa nhà, truy cập của khách, truy cập phòng, an ninh bàn làm việc).
- Bất cứ khi nào dữ liệu được chuyển giữa các tài sản, địa điểm, máy chủ hoặc vị trí lưu trữ, nhà cung cấp phải đảm bảo rằng dữ liệu và tài sản được bảo vệ khỏi bị mất mát, hư hỏng hoặc hỏng hóc.
- Là một phần của thỏa thuận, mỗi bên phải được yêu cầu thực hiện một danh sách dài các hành động trong trường hợp chấm dứt (xem Phụ lục A Kiểm soát 5.20). Các hành động này bao gồm (nhưng không giới hạn ở): a) xử lý tài sản và/hoặc di dời, b) xóa thông tin, c) trả lại IP, d) xóa quyền truy cập e) tiếp tục nghĩa vụ bảo mật.
- Ngoài điểm 23, nhà cung cấp nên thảo luận chi tiết về cách thức nhà cung cấp dự định hủy/xóa vĩnh viễn thông tin của tổ chức khi không còn cần thiết nữa (tức là khi chấm dứt hợp đồng).
- Bất cứ khi nào hợp đồng kết thúc và phát sinh nhu cầu chuyển giao hỗ trợ và/hoặc dịch vụ cho nhà cung cấp khác không được liệt kê trong hợp đồng, các bước sẽ được thực hiện để đảm bảo không gián đoạn hoạt động kinh doanh.
Phụ lục A kèm theo Kiểm soát
- ISO 27001:2022 Phụ lục A 5.10
- ISO 27001:2022 Phụ lục A 5.12
- ISO 27001:2022 Phụ lục A 5.13
- ISO 27001:2022 Phụ lục A 5.20
Hướng dẫn bổ sung về Phụ lục A 5.20
Phụ lục A Kiểm soát 5.20 khuyến nghị các tổ chức nên duy trì sổ đăng ký thỏa thuận để hỗ trợ họ quản lý mối quan hệ với nhà cung cấp.
Hồ sơ của tất cả các thỏa thuận đã ký với các tổ chức khác phải được lưu giữ, phân loại theo bản chất của mối quan hệ. Điều này bao gồm hợp đồng, biên bản ghi nhớ và thỏa thuận liên quan đến chia sẻ thông tin.
Những thay đổi so với ISO 27001:2013 là gì?
Đã có sửa đổi đối với Phụ lục A 15.1.2 của ISO 27001:2013 (Xử lý vấn đề bảo mật trong các thỏa thuận với nhà cung cấp) đối với Phụ lục A Kiểm soát 5.20 của ISO 27001:2022 .
Một số hướng dẫn bổ sung có trong Phụ lục A Kiểm soát 5.20 của ISO 27001:2022 giải quyết nhiều vấn đề liên quan đến kỹ thuật, pháp lý và tuân thủ, bao gồm:
- Thủ tục bàn giao.
- Phá hủy thông tin.
- Quy định về chấm dứt.
- Kiểm soát an ninh vật lý.
- Quản lý thay đổi.
- Dự phòng và sao lưu thông tin.
Theo nguyên tắc chung, Phụ lục A 5.20 của ISO 27001:2022 nhấn mạnh cách nhà cung cấp đạt được sự dự phòng và tính toàn vẹn dữ liệu trong suốt hợp đồng.
