5.20 Uwzględnianie bezpieczeństwa informacji w umowach z dostawcami
W skrócie: wymagania bezpieczeństwa wobec dostawcy są zapisane w umowie, tak by obie strony wiedziały, czego się od nich oczekuje.
Cel: utrzymanie uzgodnionego poziomu bezpieczeństwa informacji w relacjach z dostawcami.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Identify (identyfikacja) |
| Zdolności operacyjne | #Supplier_relationships_security (bezpieczeństwo relacji z dostawcami) |
| Domeny bezpieczeństwa | #Governance_and_Ecosystem (ład i ekosystem), #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Umowa opisuje informacje, które zostaną udostępnione dostawcy, sposób dostępu do nich oraz ich klasyfikację i mapowanie na schemat dostawcy.
- Zawiera wymagania prawne i regulacyjne, w tym dotyczące ochrony danych osobowych i praw własności intelektualnej.
- Określa zabezpieczenia, które każda strona musi wdrożyć: kontrola dostępu, monitorowanie, raportowanie, audyt.
- Ustala zasady dopuszczalnego użycia informacji, obsługę incydentów (powiadamianie, współpraca), szkolenia personelu dostawcy, weryfikację jego pracowników.
- Obejmuje kwestię podwykonawców — czy są dozwoleni i na jakich warunkach przenosi się na nich wymagania.
- Zapewnia prawo do audytu procesów i zabezpieczeń dostawcy oraz do otrzymywania niezależnych raportów o skuteczności zabezpieczeń.
- Reguluje zakończenie umowy: zwrot lub zniszczenie informacji, przekazanie usług, ciągłość działania i kopie zapasowe w czasie przejścia.
- Organizacja prowadzi rejestr umów i okresowo je przegląda.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Załącznik bezpieczeństwa (security schedule) jako standardowy element wzoru umowy, z wariantami dla różnych klas dostawców.
- Konkretny termin powiadomienia o incydencie, ustalony tak, by organizacja zdążyła z własnymi zgłoszeniami — np. przy NIS2 wczesne ostrzeżenie trzeba wysłać w ciągu 24 godzin, więc dostawca powinien zgłaszać szybciej.
- Prawo do testów penetracyjnych lub wymóg przekazywania wyników testów wykonywanych przez dostawcę.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.5.20 — wykaz zabezpieczeń organizacyjnych.
- Pokrewne zabezpieczenia: 5.19 Bezpieczeństwo informacji w relacjach z dostawcami, 5.21 Zarządzanie bezpieczeństwem informacji w łańcuchu dostaw ICT, 5.22 Monitorowanie, przegląd i zarządzanie zmianami usług dostawców, 6.6 Umowy o zachowaniu poufności.
- ISO/IEC 27002:2013: 15.1.2.