5.19 Bezpieczeństwo informacji w relacjach z dostawcami
W skrócie: organizacja ma proces zarządzania ryzykiem związanym z dostawcami produktów i usług — od wyboru, przez współpracę, po zakończenie.
Cel: utrzymanie uzgodnionego poziomu bezpieczeństwa informacji w relacjach z dostawcami.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Identify (identyfikacja) |
| Zdolności operacyjne | #Supplier_relationships_security (bezpieczeństwo relacji z dostawcami) |
| Domeny bezpieczeństwa | #Governance_and_Ecosystem (ład i ekosystem), #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Organizacja ustanawia politykę tematyczną relacji z dostawcami i stosuje ją przy pozyskiwaniu produktów i usług.
- Identyfikuje i dokumentuje rodzaje dostawców (np. ICT, logistyka, media, usługi finansowe), które mogą wpływać na poufność, integralność i dostępność jej informacji.
- Ocenia i wybiera dostawców na podstawie wrażliwości ich produktów lub usług i ryzyka. Określa, do jakich informacji i zasobów dostawca będzie miał dostęp.
- Definiuje minimalne wymagania bezpieczeństwa dla każdego typu dostawcy i rodzaju dostępu, a także sposób weryfikacji ich spełnienia.
- Proces obejmuje obsługę incydentów i zdarzeń związanych z dostawcą, plany na wypadek, gdy dostawca przestanie działać, odporność i ciągłość.
- Zarządza zmianami i zakończeniem współpracy: zwrot lub usunięcie informacji, odebranie dostępu, przeniesienie usług.
- Gdy dostawcy nie da się narzucić wymagań, organizacja stosuje zabezpieczenia kompensujące albo akceptuje ryzyko świadomie.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Klasyfikacja dostawców (np. krytyczny, istotny, pozostały) i proporcjonalna ocena: od kwestionariusza po audyt na miejscu.
- Akceptacja certyfikatu ISO/IEC 27001 lub raportu SOC 2 jako dowodu — po sprawdzeniu zakresu certyfikatu.
- Dla podmiotów objętych DORA i NIS2 — rejestr umów z dostawcami ICT i ocena ryzyka koncentracji.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.5.19 — wykaz zabezpieczeń organizacyjnych.
- Pokrewne zabezpieczenia: 5.20 Uwzględnianie bezpieczeństwa informacji w umowach z dostawcami, 5.21 Zarządzanie bezpieczeństwem informacji w łańcuchu dostaw ICT, 5.22 Monitorowanie, przegląd i zarządzanie zmianami usług dostawców, 5.23 Bezpieczeństwo informacji przy korzystaniu z usług chmurowych.
- ISO/IEC 27002:2013: 15.1.1.
- Dalsza lektura: ISO/IEC 27036 (bezpieczeństwo w relacjach z dostawcami).