Przejdź do głównej zawartości

5.22 Monitorowanie, przegląd i zarządzanie zmianami usług dostawców

W skrócie: organizacja na bieżąco sprawdza, czy dostawca dotrzymuje uzgodnionych warunków bezpieczeństwa, i kontroluje zmiany w jego usługach.

Cel: utrzymanie uzgodnionego poziomu bezpieczeństwa informacji i świadczenia usług zgodnie z umowami z dostawcami.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Identify (identyfikacja)
Zdolności operacyjne#Supplier_relationships_security (bezpieczeństwo relacji z dostawcami), #Information_security_assurance (zapewnienie bezpieczeństwa informacji)
Domeny bezpieczeństwa#Governance_and_Ecosystem (ład i ekosystem), #Protection (ochrona), #Defence (obrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Monitorowanie obejmuje poziom usług i zgodność z umową, raporty dostawcy, spotkania przeglądowe, audyty dostawcy i weryfikację niezależnych raportów.
  • Organizacja analizuje incydenty i problemy operacyjne związane z dostawcą, w tym awarie i błędy, i wymaga działań korygujących.
  • Sprawdza, czy dostawca utrzymuje zdolność do świadczenia usług, w tym plany ciągłości.
  • Ocenia zmiany po stronie dostawcy: nowe technologie, zmiany lokalizacji, nowi podwykonawcy, zmiany w politykach — pod kątem ich wpływu na bezpieczeństwo.
  • Zmiany w umowach i usługach przechodzą przez ponowną ocenę ryzyka.
  • Odpowiedzialność za zarządzanie relacją z dostawcą przypisuje się konkretnej osobie lub zespołowi.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Coroczny przegląd dostawców krytycznych z aktualizacją oceny ryzyka i sprawdzeniem ważności certyfikatów.
  • Subskrypcja stron statusu i powiadomień o incydentach dostawców chmurowych.
  • Monitoring ratingów bezpieczeństwa dostawców jako sygnał pomocniczy, a nie zamiennik oceny.

Powiązania​