Mục đích của Kiểm soát 5.21
Kiểm soát 5.21 điều chỉnh cách các tổ chức quản lý rủi ro bảo mật thông tin trong toàn bộ chuỗi cung ứng ICT của mình bằng cách triển khai các quy trình và thủ tục mạnh mẽ trước khi cung cấp bất kỳ sản phẩm hoặc dịch vụ nào.
5.21 là biện pháp kiểm soát phòng ngừa giúp duy trì rủi ro bằng cách thiết lập “mức độ bảo mật đã thỏa thuận” giữa cả hai bên trong toàn bộ chuỗi cung ứng ICT .
Bảng thuộc tính kiểm soát 5.21
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật #Toàn vẹn #Khả dụng | #Nhận dạng | #Bảo mật mối quan hệ nhà cung cấp | #Quản trị và Hệ sinh thái #Bảo vệ |
Quyền sở hữu kiểm soát 5.21
Tiêu chuẩn kiểm soát 5.21 tập trung rõ ràng vào việc cung cấp dịch vụ CNTT thông qua nhà cung cấp hoặc nhóm nhà cung cấp.
Do đó, quyền sở hữu phải thuộc về người chịu trách nhiệm mua lại, quản lý và gia hạn mối quan hệ với nhà cung cấp ICT trên mọi chức năng kinh doanh, chẳng hạn như Giám đốc kỹ thuật hoặc Trưởng phòng CNTT .
Hướng dẫn chung về Kiểm soát 5.21
ISO quy định 13 điểm hướng dẫn liên quan đến ICT cần được xem xét cùng với bất kỳ biện pháp kiểm soát nào khác chi phối mối quan hệ của tổ chức với nhà cung cấp của mình.
Với sự mở rộng của các dịch vụ tại chỗ và đám mây đa nền tảng trong thập kỷ qua, Control 5.21 xử lý việc cung cấp cả các thành phần và dịch vụ liên quan đến phần cứng và phần mềm (cả tại chỗ và trên đám mây) và hiếm khi phân biệt giữa hai dịch vụ này.
Ngoài mối quan hệ giữa nhà cung cấp và tổ chức, một số biện pháp kiểm soát cũng đề cập đến nghĩa vụ của nhà cung cấp khi giao thầu các yếu tố của chuỗi cung ứng cho các tổ chức bên thứ ba.
- Các tổ chức nên soạn thảo một bộ tiêu chuẩn bảo mật thông tin rõ ràng áp dụng cho nhu cầu riêng của mình, để đặt ra kỳ vọng rõ ràng về cách nhà cung cấp nên ứng xử khi cung cấp các sản phẩm và dịch vụ ICT.
- Nếu nhà cung cấp ICT ký hợp đồng phụ cho bất kỳ yếu tố nào của chuỗi cung ứng, nhà cung cấp phải thực hiện các biện pháp để đảm bảo rằng các nhà thầu và nhân viên của họ nắm rõ các tiêu chuẩn bảo mật thông tin riêng của tổ chức.
- Nếu cần phải mua các thành phần (vật lý hoặc ảo) từ bên thứ ba, nhà cung cấp phải phổ biến các yêu cầu bảo mật của tổ chức cho bất kỳ nhà cung cấp hoặc nhà cung ứng nào mà họ sử dụng.
- Các nhà cung cấp nên được yêu cầu cung cấp thông tin về bản chất và chức năng của các thành phần phần mềm mà họ sử dụng để cung cấp dịch vụ cho tổ chức.
- Các tổ chức cần xác định các chức năng bảo mật cơ bản của bất kỳ sản phẩm hoặc dịch vụ nào được cung cấp và cách vận hành sản phẩm hoặc dịch vụ đó theo cách không gây ảnh hưởng đến bảo mật thông tin .
- Các tổ chức không nên coi nhẹ mức độ rủi ro và phải soạn thảo các quy trình đảm bảo mọi sản phẩm hoặc dịch vụ mà nhà cung cấp cung cấp đều có bản chất an toàn và tuân thủ các tiêu chuẩn công nghiệp được chấp nhận. Các phương pháp có thể bao gồm kiểm tra chứng nhận, thử nghiệm nội bộ và hỗ trợ tài liệu tuân thủ.
- Khi tiếp nhận sản phẩm hoặc dịch vụ, các tổ chức phải tuân thủ quy trình đầu tiên là xác định sau đó ghi lại bất kỳ yếu tố nào được coi là cần thiết để duy trì chức năng cốt lõi – đặc biệt nếu các thành phần đó có nguồn gốc từ thỏa thuận thuê ngoài/thầu phụ.
- Các nhà cung cấp phải có khả năng đưa ra sự đảm bảo cụ thể rằng “các thành phần quan trọng” sẽ được hưởng lợi từ nhật ký kiểm toán toàn diện theo dõi hoạt động của chúng trong toàn bộ chuỗi cung ứng ICT, từ khâu tạo ra đến khi giao hàng.
- Khi cung cấp các sản phẩm và dịch vụ ICT, các tổ chức cần tìm kiếm sự đảm bảo chắc chắn rằng các sản phẩm và dịch vụ đó không chỉ hoạt động trong phạm vi mà còn không chứa bất kỳ tính năng bổ sung nào có thể gây ra rủi ro bảo mật .
- Thông số kỹ thuật thành phần là chìa khóa để đảm bảo rằng một tổ chức hiểu được các thành phần phần cứng và phần mềm mà họ đang đưa vào mạng của mình. Các nhà cung cấp nên xem xét các biện pháp chống giả mạo trong suốt vòng đời phát triển và các tổ chức nên yêu cầu các điều khoản xác minh các thành phần là hợp pháp khi giao hàng.
- Cần tìm kiếm sự đảm bảo để xác nhận rằng các sản phẩm ICT phù hợp với các yêu cầu bảo mật theo tiêu chuẩn ngành và/hoặc theo từng lĩnh vực cụ thể , tùy theo từng sản phẩm. Các phương pháp phổ biến để đạt được điều này bao gồm đạt được mức chứng nhận bảo mật chính thức tối thiểu hoặc tuân thủ một bộ tiêu chuẩn thông tin được quốc tế công nhận (như Thỏa thuận công nhận tiêu chuẩn chung) cho mỗi sản phẩm.
- Các tổ chức nên thực hiện các bước để đảm bảo rằng các nhà cung cấp nhận thức được nghĩa vụ của mình khi chia sẻ thông tin và/hoặc dữ liệu liên quan đến hoạt động chuỗi cung ứng chung, bao gồm cả việc thừa nhận mọi xung đột hoặc vấn đề tiềm ẩn có thể phát sinh giữa hai bên và cách giải quyết chúng ngay từ đầu.
- Các tổ chức cần soạn thảo các quy trình quản lý rủi ro khi vận hành với các thành phần không khả dụng, không được hỗ trợ hoặc cũ, bất kể chúng nằm ở đâu. Khi các thành phần rơi vào một trong các loại này, các tổ chức phải có khả năng thích ứng phù hợp và xác định các giải pháp thay thế.
Hướng dẫn bổ sung
Điều quan trọng cần lưu ý là quản trị chuỗi cung ứng ICT không nên được thực hiện riêng lẻ, theo biện pháp kiểm soát này. Biện pháp kiểm soát 5.21 được thiết kế để bổ sung cho các quy trình quản lý chuỗi cung ứng hiện có và cung cấp bối cảnh cho các sản phẩm và dịch vụ cụ thể của ICT.
ISO thừa nhận rằng, đặc biệt khi nói đến các thành phần phần mềm, kiểm soát chất lượng trong lĩnh vực sản phẩm và dịch vụ ICT không mở rộng đến việc kiểm tra chi tiết bộ quy trình tuân thủ của riêng nhà cung cấp.
Do đó, các tổ chức được khuyến khích xác định các cuộc kiểm tra cụ thể đối với nhà cung cấp để xác minh nhà cung cấp là “nguồn đáng tin cậy” và soạn thảo các thỏa thuận nêu rõ nghĩa vụ bảo mật thông tin của nhà cung cấp khi thực hiện hợp đồng, đơn đặt hàng hoặc cung cấp dịch vụ.
Kiểm soát 5.21 Thay đổi từ ISO 27002:2013
ISO 27002 :2022-5.21 thay thế ISO 27002:2013-15.1.3 (Chuỗi cung ứng công nghệ thông tin và truyền thông).
ISO 27002:2022-5.21 tuân thủ cùng một bộ quy tắc hướng dẫn chung như ISO 27002:2013-15.1.3, nhưng nhấn mạnh nhiều hơn vào nghĩa vụ của nhà cung cấp trong việc cung cấp và xác minh thông tin liên quan đến thành phần tại điểm cung cấp, bao gồm:
- Nhà cung cấp ICT cung cấp thông tin về linh kiện.
- Các nhà cung cấp ICT phác thảo các chức năng bảo mật của sản phẩm và cách vận hành tốt nhất theo quan điểm bảo mật.
- Đảm bảo về mức độ bảo mật cần thiết.
ISO 27002:2022-5.21 cũng yêu cầu tổ chức tạo thêm thông tin cụ thể cho từng thành phần để tăng mức độ bảo mật thông tin chung khi giới thiệu sản phẩm và dịch vụ, bao gồm:
- Xác định và ghi chép các thành phần quan trọng đối với chức năng cốt lõi của sản phẩm hoặc dịch vụ.
- Đảm bảo các thành phần là chính hãng và không bị thay đổi.
