Mục đích của Phụ lục A 5.22 của ISO 27001:2022 là gì?
Phụ lục A kiểm soát 5.22 nhằm đảm bảo duy trì mức độ bảo mật thông tin và cung cấp dịch vụ đã thỏa thuận. Điều này phù hợp với hợp đồng nhà cung cấp liên quan đến phát triển dịch vụ nhà cung cấp.
Các dịch vụ của nhà cung cấp được giám sát và xem xét
Trong Phụ lục A 5.22, các tổ chức được mô tả là thường xuyên theo dõi, xem xét và kiểm toán các quy trình cung cấp dịch vụ của nhà cung cấp. Việc tiến hành xem xét và giám sát được thực hiện tốt nhất theo thông tin có nguy cơ vì không có một quy mô nào phù hợp với mọi tình huống.
Bằng cách tiến hành đánh giá theo phân khúc nhà cung cấp được đề xuất, tổ chức có thể tối ưu hóa nguồn lực của mình và đảm bảo rằng nỗ lực của họ được tập trung vào việc giám sát và đánh giá nơi có thể tạo ra tác động quan trọng nhất.
Cũng như Phụ lục A 5.19, đôi khi cần phải thực dụng – các tổ chức nhỏ không nhất thiết sẽ nhận được kiểm toán, đánh giá nguồn nhân lực hoặc cải thiện dịch vụ chuyên dụng bằng cách sử dụng AWS. Để đảm bảo rằng họ vẫn phù hợp với mục đích của bạn, bạn có thể kiểm tra (ví dụ) các báo cáo SOC II được công bố hàng năm và chứng nhận bảo mật của họ.
Giám sát phải được ghi chép dựa trên năng lực, rủi ro và giá trị của bạn, để kiểm toán viên có thể xác nhận rằng việc giám sát đã hoàn tất. Điều này là do bất kỳ thay đổi cần thiết nào cũng đã được quản lý thông qua quy trình kiểm soát thay đổi chính thức.
Quản lý thay đổi dịch vụ nhà cung cấp
Nhà cung cấp phải duy trì và cải thiện các chính sách, quy trình và biện pháp kiểm soát bảo mật thông tin hiện có để quản lý mọi thay đổi đối với việc cung cấp dịch vụ của nhà cung cấp. Quy trình này xem xét tính quan trọng của thông tin kinh doanh, bản chất của thay đổi, loại nhà cung cấp bị ảnh hưởng, các quy trình và hệ thống liên quan và đánh giá lại rủi ro.
Khi thực hiện thay đổi đối với dịch vụ của nhà cung cấp, điều quan trọng là phải xem xét tính thân mật của mối quan hệ. Điều này cũng như khả năng của tổ chức trong việc tác động hoặc kiểm soát sự thay đổi trong nhà cung cấp.
Kiểm soát 5.22 chỉ rõ cách các tổ chức nên theo dõi, xem xét và quản lý các thay đổi đối với các hoạt động bảo mật và tiêu chuẩn cung cấp dịch vụ của nhà cung cấp. Nó cũng đánh giá cách chúng tác động đến các hoạt động bảo mật của chính tổ chức.
Khi quản lý mối quan hệ với nhà cung cấp, tổ chức nên nỗ lực duy trì mức độ bảo mật thông tin cơ bản tuân thủ mọi thỏa thuận đã ký.
Theo ISO 27001:2022, Phụ lục A 5.22 là biện pháp kiểm soát phòng ngừa được thiết kế để giảm thiểu rủi ro bằng cách giúp nhà cung cấp duy trì “mức độ bảo mật thông tin và cung cấp dịch vụ đã thỏa thuận.
Quyền sở hữu của Phụ lục A Kiểm soát 5.22
Một thành viên trong ban quản lý cấp cao giám sát các hoạt động thương mại của tổ chức và duy trì mối quan hệ trực tiếp với các nhà cung cấp của tổ chức phải chịu trách nhiệm về Kiểm soát 5.22.
ISO 27001:2022 Phụ lục A 5.22 Hướng dẫn chung
Theo Phụ lục A Kiểm soát 5.22 của ISO 27001:2022 , 13 lĩnh vực chính cần được xem xét khi quản lý mối quan hệ với nhà cung cấp và cách các yếu tố này ảnh hưởng đến các biện pháp bảo mật thông tin của riêng họ.
Một tổ chức phải đảm bảo rằng nhân viên chịu trách nhiệm quản lý các thỏa thuận cấp độ dịch vụ và mối quan hệ với nhà cung cấp có các kỹ năng và nguồn lực kỹ thuật cần thiết. Điều này nhằm đảm bảo rằng họ có thể đánh giá hiệu suất của nhà cung cấp một cách đầy đủ và tiêu chuẩn bảo mật thông tin không bị vi phạm.
Chính sách và thủ tục của một tổ chức phải được soạn thảo bởi:
- Liên tục theo dõi mức độ dịch vụ theo các thỏa thuận mức độ dịch vụ đã công bố và giải quyết mọi thiếu sót ngay khi chúng phát sinh.
- Nhà cung cấp phải được giám sát để phát hiện bất kỳ thay đổi nào đối với hoạt động của chính họ, bao gồm (nhưng không giới hạn ở): (1) Cải tiến dịch vụ (2) Ứng dụng, hệ thống hoặc quy trình phần mềm mới (3) Các bản sửa đổi có liên quan và có ý nghĩa đối với các tài liệu quản trị nội bộ của nhà cung cấp và (4) bất kỳ thay đổi nào đối với quy trình quản lý sự cố hoặc nỗ lực cải thiện mức độ bảo mật thông tin.
- Bất kỳ thay đổi nào liên quan đến dịch vụ, bao gồm (nhưng không giới hạn ở): a) Thay đổi cơ sở hạ tầng b) Ứng dụng các công nghệ mới c) Cập nhật sản phẩm và nâng cấp phiên bản d) Thay đổi trong môi trường phát triển e) Thay đổi về mặt hậu cần và vật lý đối với cơ sở của nhà cung cấp, bao gồm cả địa điểm mới f) Thay đổi đối với đối tác gia công ngoài hoặc nhà thầu phụ g) Ý định ký hợp đồng phụ, khi trước đây chưa từng thực hiện.
- Đảm bảo các báo cáo dịch vụ được gửi thường xuyên, dữ liệu được phân tích và các cuộc họp đánh giá được tiến hành theo các mức dịch vụ đã thỏa thuận.
- Đảm bảo các đối tác gia công ngoài và nhà thầu phụ được kiểm toán và giải quyết mọi vấn đề đáng quan ngại.
- Tiến hành xem xét các sự cố an ninh dựa trên tiêu chuẩn và thông lệ đã được nhà cung cấp thỏa thuận và theo các tiêu chuẩn quản lý sự cố.
- Cần lưu giữ hồ sơ về mọi sự cố liên quan đến bảo mật thông tin, các vấn đề vận hành cụ thể, nhật ký lỗi và các rào cản chung trong việc đáp ứng các tiêu chuẩn cung cấp dịch vụ đã thỏa thuận.
- Thực hiện hành động chủ động để ứng phó với các sự cố liên quan đến an ninh thông tin .
- Xác định mọi lỗ hổng bảo mật thông tin và giảm thiểu chúng ở mức tối đa có thể.
- Thực hiện phân tích mọi yếu tố bảo mật thông tin có liên quan đến mối quan hệ giữa nhà cung cấp với các nhà cung cấp và nhà thầu phụ.
- Trong trường hợp xảy ra gián đoạn đáng kể từ phía nhà cung cấp, bao gồm nỗ lực phục hồi sau thảm họa, hãy đảm bảo cung cấp dịch vụ ở mức chấp nhận được.
- Cung cấp danh sách các nhân sự chủ chốt trong hoạt động của nhà cung cấp chịu trách nhiệm duy trì sự tuân thủ và thực hiện đúng các điều khoản của hợp đồng.
- Đảm bảo rằng nhà cung cấp thường xuyên duy trì tiêu chuẩn cơ bản về bảo mật thông tin.
Hỗ trợ Phụ lục A Kiểm soát
- ISO 27001:2022 Phụ lục A 5.29
- ISO 27001:2022 Phụ lục A 5.30
- ISO 27001:2022 Phụ lục A 5.35
- ISO 27001:2022 Phụ lục A 5.36
- ISO 27001:2022 Phụ lục A 8.14
