Mục đích của Kiểm soát 5.19
Kiểm soát 5.19 liên quan đến nghĩa vụ của tổ chức trong việc đảm bảo rằng khi sử dụng các sản phẩm và dịch vụ của nhà cung cấp (bao gồm cả nhà cung cấp dịch vụ đám mây), cần cân nhắc đầy đủ đến mức độ rủi ro vốn có khi sử dụng các hệ thống bên ngoài và tác động tiếp theo có thể xảy ra đối với việc tuân thủ bảo mật thông tin của chính tổ chức đó .
5.19 là biện pháp kiểm soát phòng ngừa giúp điều chỉnh rủi ro bằng cách duy trì các quy trình giải quyết các rủi ro bảo mật vốn có liên quan đến việc sử dụng các sản phẩm và dịch vụ do bên thứ ba cung cấp .
Trong khi Kiểm soát 5.20 xử lý vấn đề bảo mật thông tin trong các thỏa thuận với nhà cung cấp thì Kiểm soát 5.19 quan tâm rộng rãi đến việc tuân thủ trong suốt quá trình quan hệ.
Bảng thuộc tính kiểm soát 5.19
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật #Toàn vẹn #Khả dụng | #Nhận dạng | #Bảo mật mối quan hệ nhà cung cấp | #Quản trị và Hệ sinh thái #Bảo vệ |
Quyền sở hữu kiểm soát 5.19
Trong khi Kiểm soát 5.19 bao gồm nhiều hướng dẫn về việc sử dụng các dịch vụ ICT, phạm vi kiểm soát rộng hơn bao gồm nhiều khía cạnh khác trong mối quan hệ của tổ chức với cơ sở nhà cung cấp, bao gồm loại nhà cung cấp, hậu cần, tiện ích, dịch vụ tài chính và các thành phần cơ sở hạ tầng).
Do đó, quyền sở hữu Kiểm soát 5.19 phải thuộc về một thành viên trong ban quản lý cấp cao giám sát hoạt động thương mại của tổ chức và duy trì mối quan hệ trực tiếp với các nhà cung cấp của tổ chức, chẳng hạn như Giám đốc điều hành .
Hướng dẫn chung
Việc tuân thủ Kiểm soát 5.19 liên quan đến việc tuân thủ phương pháp tiếp cận được gọi là “theo chủ đề cụ thể” đối với bảo mật thông tin trong mối quan hệ với nhà cung cấp.
Các cách tiếp cận theo chủ đề cụ thể khuyến khích các tổ chức tạo ra các chính sách liên quan đến nhà cung cấp được thiết kế riêng cho từng chức năng kinh doanh, thay vì tuân thủ chính sách quản lý nhà cung cấp chung áp dụng cho mọi mối quan hệ với bên thứ ba trong hoạt động thương mại của tổ chức.
Điều quan trọng cần lưu ý là Kiểm soát 5.19 yêu cầu tổ chức triển khai các chính sách và thủ tục không chỉ quản lý việc tổ chức sử dụng tài nguyên của nhà cung cấp và nền tảng đám mây mà còn tạo thành cơ sở cho cách họ mong đợi nhà cung cấp của mình ứng xử trước và trong suốt thời hạn của mối quan hệ thương mại.
Do đó, Kiểm soát 5.19 có thể được xem là tài liệu đủ điều kiện cần thiết chỉ định cách thức quản lý bảo mật thông tin được xử lý trong suốt quá trình thực hiện hợp đồng với nhà cung cấp.
Kiểm soát 5.19 bao gồm 14 điểm hướng dẫn chính cần tuân thủ:
1) Duy trì hồ sơ chính xác về các loại nhà cung cấp (ví dụ: dịch vụ tài chính, phần cứng ICT, điện thoại) có khả năng ảnh hưởng đến tính toàn vẹn của bảo mật thông tin.
Tuân thủ – Soạn thảo danh sách tất cả các nhà cung cấp mà tổ chức của bạn hợp tác, phân loại chúng theo chức năng kinh doanh và thêm danh mục vào các loại nhà cung cấp đó khi cần thiết.
2) Hiểu cách thẩm định nhà cung cấp dựa trên mức độ rủi ro vốn có của loại nhà cung cấp đó.
Tuân thủ – Các loại nhà cung cấp khác nhau sẽ yêu cầu các kiểm tra thẩm định khác nhau. Cân nhắc sử dụng các phương pháp thẩm định trên cơ sở từng nhà cung cấp (ví dụ: tham chiếu ngành, báo cáo tài chính, đánh giá tại chỗ, chứng nhận cụ thể theo ngành như Quan hệ đối tác của Microsoft).
3) Xác định các nhà cung cấp đã áp dụng các biện pháp kiểm soát bảo mật thông tin từ trước.
Tuân thủ – Yêu cầu xem bản sao các quy trình quản lý bảo mật thông tin có liên quan của nhà cung cấp để đánh giá rủi ro đối với tổ chức của bạn. Nếu họ không có bất kỳ quy trình nào, thì đó không phải là dấu hiệu tốt.
4) Xác định và định nghĩa các khu vực cụ thể trong cơ sở hạ tầng CNTT của tổ chức mà nhà cung cấp của bạn có thể truy cập, giám sát hoặc tự mình sử dụng.
Tuân thủ – Điều quan trọng là phải thiết lập ngay từ đầu chính xác cách nhà cung cấp của bạn sẽ tương tác với tài sản CNTT của bạn – dù là tài sản vật lý hay ảo – và mức độ truy cập mà họ được cấp theo nghĩa vụ hợp đồng của họ.
5) Xác định cách cơ sở hạ tầng ICT của nhà cung cấp có thể tác động đến dữ liệu của bạn và khách hàng của bạn.
Tuân thủ – Nghĩa vụ đầu tiên của một tổ chức là tuân thủ bộ tiêu chuẩn bảo mật thông tin của riêng mình. Tài sản ICT của nhà cung cấp cần được xem xét theo khả năng ảnh hưởng đến thời gian hoạt động và tính toàn vẹn trong toàn bộ tổ chức của bạn .
6) Xác định và quản lý các rủi ro bảo mật thông tin khác nhau liên quan đến:
a. Nhà cung cấp sử dụng thông tin bí mật hoặc tài sản được bảo vệ (ví dụ: chỉ giới hạn ở mục đích sử dụng có hại và/hoặc mục đích phạm tội).
b. Phần cứng của nhà cung cấp bị lỗi hoặc nền tảng phần mềm trục trặc liên quan đến các dịch vụ tại chỗ hoặc trên nền tảng đám mây.
Tuân thủ – Các tổ chức cần liên tục lưu tâm đến các rủi ro bảo mật thông tin liên quan đến các sự kiện thảm khốc, chẳng hạn như hoạt động bất chính của người dùng từ phía nhà cung cấp hoặc các sự cố phần mềm lớn không lường trước được, cũng như tác động của chúng đến bảo mật thông tin của tổ chức.
Hướng dẫn chung tiếp theo
7) Giám sát việc tuân thủ bảo mật thông tin theo từng chủ đề cụ thể hoặc từng loại nhà cung cấp.
Tuân thủ – Tổ chức cần đánh giá những tác động về bảo mật thông tin vốn có trong từng loại nhà cung cấp và điều chỉnh hoạt động giám sát của mình để phù hợp với các mức độ rủi ro khác nhau.
8) Hạn chế mức độ thiệt hại và/hoặc gián đoạn do không tuân thủ gây ra.
Tuân thủ – Hoạt động của nhà cung cấp phải được giám sát theo cách phù hợp và ở các mức độ khác nhau, tùy theo mức độ rủi ro của nhà cung cấp. Khi phát hiện ra hành vi không tuân thủ, dù là chủ động hay bị động, cần phải có hành động ngay lập tức.
9) Duy trì quy trình quản lý sự cố mạnh mẽ có thể giải quyết được một lượng tình huống bất trắc hợp lý.
Tuân thủ – Các tổ chức phải hiểu chính xác cách phản ứng khi đối mặt với nhiều sự kiện liên quan đến việc cung cấp sản phẩm và dịch vụ của bên thứ ba, đồng thời vạch ra các hành động khắc phục có sự tham gia của cả nhà cung cấp và tổ chức.
10) Ban hành các biện pháp đáp ứng nhu cầu về tính khả dụng và khả năng xử lý thông tin của nhà cung cấp, bất kể thông tin đó được sử dụng ở đâu, do đó đảm bảo tính toàn vẹn của thông tin của chính tổ chức.
Tuân thủ – Cần thực hiện các bước để đảm bảo rằng hệ thống và dữ liệu của nhà cung cấp được xử lý theo cách không ảnh hưởng đến tính khả dụng và bảo mật của hệ thống và thông tin của chính tổ chức.
11) Soạn thảo một kế hoạch đào tạo toàn diện, hướng dẫn cách nhân viên tương tác với nhân viên nhà cung cấp và thông tin theo từng nhà cung cấp hoặc từng loại nhà cung cấp.
Tuân thủ – Đào tạo phải bao gồm toàn bộ phạm vi quản trị giữa tổ chức và các nhà cung cấp, bao gồm sự tham gia, các biện pháp kiểm soát quản lý rủi ro chi tiết và các quy trình theo chủ đề cụ thể.
12) Hiểu và quản lý mức độ rủi ro vốn có khi chuyển giao thông tin và tài sản vật lý và ảo giữa tổ chức và nhà cung cấp.
Tuân thủ – Các tổ chức nên lập sơ đồ từng giai đoạn của quá trình chuyển giao và giáo dục nhân viên về những rủi ro liên quan đến việc di chuyển tài sản và thông tin từ nguồn này sang nguồn khác.
13) Đảm bảo chấm dứt mối quan hệ với nhà cung cấp vì lý do bảo mật thông tin, bao gồm việc xóa bỏ quyền truy cập và khả năng truy cập thông tin của tổ chức.
Tuân thủ – Nhóm CNTT của bạn phải hiểu rõ cách thu hồi quyền truy cập thông tin của nhà cung cấp, bao gồm:
- Phân tích chi tiết mọi tên miền liên quan và/hoặc tài khoản đám mây.
- Phân phối sở hữu trí tuệ.
- Việc chuyển thông tin giữa các nhà cung cấp hoặc quay trở lại tổ chức của bạn.
- Quản lý hồ sơ.
- Trả lại tài sản cho chủ sở hữu ban đầu.
- Xử lý thỏa đáng các tài sản vật chất và ảo, bao gồm cả thông tin.
- Tuân thủ mọi yêu cầu hợp đồng, bao gồm các điều khoản bảo mật và/hoặc các thỏa thuận bên ngoài.
14) Nêu rõ cách bạn mong đợi nhà cung cấp thực hiện các biện pháp bảo mật vật lý và ảo.
Tuân thủ – Các tổ chức nên đặt ra kỳ vọng rõ ràng ngay từ đầu của bất kỳ mối quan hệ thương mại nào, nêu rõ cách nhân viên phía nhà cung cấp được mong đợi sẽ ứng xử khi tương tác với nhân viên của bạn hoặc bất kỳ tài sản có liên quan nào.
Hướng dẫn bổ sung
ISO thừa nhận rằng không phải lúc nào cũng có thể áp dụng toàn bộ các chính sách đối với nhà cung cấp để đáp ứng mọi yêu cầu trong danh sách trên như Mục 5.19 đã nêu, đặc biệt là khi làm việc với các tổ chức khu vực công cứng nhắc.
Như đã nói, Kiểm soát 5.19 nêu rõ rằng các tổ chức nên sử dụng hướng dẫn trên khi xây dựng mối quan hệ với nhà cung cấp và xem xét việc không tuân thủ theo từng trường hợp cụ thể.
Khi không thể tuân thủ đầy đủ, Kiểm soát 5.19 sẽ cho phép các tổ chức có sự linh hoạt bằng cách đề xuất “các biện pháp kiểm soát bù trừ” giúp đạt được mức quản lý rủi ro phù hợp, dựa trên hoàn cảnh cụ thể của tổ chức.
Những thay đổi từ ISO 27002:2013
27002:2022-5.19 thay thế 27002:2013-5.1.1 (Chính sách bảo mật thông tin cho mối quan hệ với nhà cung cấp).
27002:2022-5.19 về cơ bản tuân thủ các khái niệm cơ bản giống như trong bản kiểm soát năm 2013, nhưng có chứa một số lĩnh vực hướng dẫn bổ sung bị loại bỏ khỏi 27002:2013-5.1.1 hoặc ít nhất là không được đề cập chi tiết, bao gồm:
- Kiểm tra nhà cung cấp dựa trên loại nhà cung cấp và mức độ rủi ro của họ.
- Nhu cầu đảm bảo tính toàn vẹn của thông tin nhà cung cấp để bảo mật dữ liệu của họ và đảm bảo tính liên tục của hoạt động kinh doanh.
- Các bước khác nhau cần thực hiện khi chấm dứt mối quan hệ với nhà cung cấp, bao gồm việc chấm dứt quyền truy cập, phân phối IP, thỏa thuận hợp đồng, v.v.
Tiêu chuẩn 27002:2022-5.19 cũng nêu rõ bản chất rất khác nhau của các mối quan hệ với nhà cung cấp (dựa trên loại hình, lĩnh vực và mức độ rủi ro) và trao cho các tổ chức một mức độ tự do nhất định khi xem xét khả năng không tuân thủ bất kỳ điểm hướng dẫn nào, dựa trên bản chất của mối quan hệ (xem ‘Hướng dẫn bổ sung’ ở trên).
