5.21 Zarządzanie bezpieczeństwem informacji w łańcuchu dostaw ICT
W skrócie: organizacja zarządza ryzykiem nie tylko bezpośrednich dostawców ICT, ale całego łańcucha, z którego pochodzą komponenty jej systemów.
Cel: utrzymanie uzgodnionego poziomu bezpieczeństwa informacji w relacjach z dostawcami w łańcuchu dostaw produktów i usług ICT.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Identify (identyfikacja) |
| Zdolności operacyjne | #Supplier_relationships_security (bezpieczeństwo relacji z dostawcami) |
| Domeny bezpieczeństwa | #Governance_and_Ecosystem (ład i ekosystem), #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Organizacja określa wymagania bezpieczeństwa dla pozyskiwanych produktów i usług ICT, oprócz ogólnych wymagań wobec dostawców (5.19).
- Wymaga, by dostawcy usług przenosili wymagania bezpieczeństwa na swoich podwykonawców, a dostawcy produktów — na kolejne ogniwa łańcucha.
- Prosi dostawców o informacje o komponentach oprogramowania używanych w produktach oraz o funkcjach bezpieczeństwa i sposobie bezpiecznej konfiguracji.
- Wdraża proces identyfikacji komponentów krytycznych i ich śledzenia w łańcuchu dostaw.
- Uzyskuje zapewnienie, że produkty działają zgodnie z oczekiwaniami i nie mają niepożądanych funkcji, np. przez weryfikację integralności, podpisy, certyfikację.
- Zarządza ryzykiem dostępności komponentów i wycofania wsparcia: alternatywni dostawcy, przekazanie wiedzy i oprogramowania przy zmianie dostawcy.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Wymaganie od dostawcy wykazu składników oprogramowania (SBOM w formacie CycloneDX lub SPDX).
- Weryfikacja podpisów artefaktów (np. Sigstore cosign) i poziomów SLSA dla procesu budowania.
- Śledzenie dat końca wsparcia (EOL) komponentów i planowanie migracji z wyprzedzeniem.
- Lekcje z ataków na łańcuch dostaw (SolarWinds, xz-utils) pokazują, że zaufany dostawca nie oznacza zaufanego komponentu.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.5.21 — wykaz zabezpieczeń organizacyjnych.
- Pokrewne zabezpieczenia: 5.19 Bezpieczeństwo informacji w relacjach z dostawcami, 5.20 Uwzględnianie bezpieczeństwa informacji w umowach z dostawcami, 5.22 Monitorowanie, przegląd i zarządzanie zmianami usług dostawców, 8.8 Zarządzanie podatnościami technicznymi, 8.30 Wytwarzanie zlecone na zewnątrz.
- ISO/IEC 27002:2013: 15.1.3.
- Dalsza lektura: ISO/IEC 27036-3 (łańcuch dostaw ICT).