ISO 27001:2022 Anexo A 5.19 – Seguridad de la información en las relaciones con proveedores

Propósito de ISO 27001:2022 Anexo A 5.19

ISO 27001:2002 Anexo A Control 5.19 se ocupa de la obligación de una organización de garantizar que, al utilizar productos y servicios del lado del proveedor (incluidos los proveedores de servicios en la nube), se dé la consideración adecuada al nivel de riesgo inherente al uso de sistemas externos, y a la impacto consecuente que pueda tener en su propio cumplimiento de la seguridad de la información.

Una buena política describe la segmentación, selección, gestión, salida de proveedores, cómo activos de información alrededor de los proveedores se controlan para mitigar los riesgos asociados y, al mismo tiempo, permitir que se alcancen las metas y objetivos comerciales. Las organizaciones inteligentes envolverán sus política de seguridad de la información para los proveedores en un marco de relación más amplio y evitar concentrarse sólo en la seguridad per se, examinando también los demás aspectos.

El Control 5.19 del Anexo A es un control preventivo que modifica el riesgo manteniendo procedimientos que abordan los riesgos de seguridad inherentes asociados con el uso de productos y servicios proporcionados por terceros.

¿Quién es propietario del Anexo A 5.19?

Mientras controlas ISO 27001 El Anexo A 5.19 contiene mucha orientación sobre el uso de servicios TIC, el alcance más amplio del control abarca muchos otros aspectos de la relación de una organización con su base de proveedores, incluidos los tipos de proveedores, logística, servicios públicos, servicios financieros y componentes de infraestructura).

Como tal, la propiedad del Control 5.19 del Anexo A debe recaer en un miembro de la alta dirección que supervise las operaciones comerciales de una organización y mantenga una relación directa con los proveedores de una organización, como un Chief Operating Officer .

Orientación general sobre ISO 27001:2022 Anexo A 5.19

El cumplimiento del Control 5.19 del Anexo A implica adherirse a lo que se conoce como enfoque 'temático específico' a la seguridad de la información en las relaciones con proveedores.

Una organización puede querer que los proveedores accedan y contribuyan a ciertos activos de información de alto valor (por ejemplo, desarrollo de códigos de software, información contable de nómina). Por lo tanto, necesitarían tener acuerdos claros sobre exactamente qué acceso les permiten, para poder controlar la seguridad a su alrededor.

Esto es especialmente importante dado que cada vez se subcontratan más servicios de gestión, procesamiento y tecnología de la información. Eso significa tener un lugar para mostrar que se está gestionando la relación; contratos, contactos, incidencias, actividad relacional y Gestión sistemática del riesgo, etc. Cuando el proveedor también está íntimamente involucrado en la organización, pero puede no tener su propio SGSI certificado, entonces también vale la pena demostrar el cumplimiento para asegurarse de que el personal del proveedor esté capacitado y sea consciente de la seguridad, capacitado en sus políticas, etc.

Los enfoques temáticos específicos alientan a las organizaciones a crear políticas relacionadas con los proveedores que se adapten a funciones comerciales individuales, en lugar de adherirse a una política general de gestión de proveedores que se aplique a todas y cada una de las relaciones con terceros en todas las operaciones comerciales de una organización.

Es importante tener en cuenta que el Control 27001 del Anexo A de ISO 5.19 solicita a la organización que implemente políticas y procedimientos que no solo rijan el uso de los recursos de los proveedores y las plataformas en la nube por parte de la organización, sino que también formen la base de cómo esperan que sus proveedores se comporten antes y durante toda la vigencia de la relación comercial.

Como tal, el Control 5.19 del Anexo A puede verse como el documento de calificación esencial que dicta cómo se maneja la gobernanza de la seguridad de la información durante el transcurso de un contrato con un proveedor.

ISO 27001 Anexo A Control 5.19 contiene 14 puntos de orientación principales que se deben seguir:

1) Mantener un registro preciso de los tipos de proveedores (por ejemplo, servicios financieros, hardware de TIC, telefonía) que tienen el potencial de afectar la integridad de la seguridad de la información.

Cumplimiento normativo – Redacte una lista de todos y cada uno de los proveedores con los que trabaja su organización, clasifíquelos según su función comercial y agregue categorías a dichos tipos de proveedores cuando sea necesario.

2) Comprender cómo examinar a los proveedores, según el nivel de riesgo inherente a su tipo de proveedor.

Cumplimiento normativo – Los diferentes tipos de proveedores requerirán diferentes controles de diligencia debida. Considere el uso de métodos de verificación proveedor por proveedor (por ejemplo, referencias de la industria, estados financieros, evaluaciones in situ, certificaciones específicas del sector, como asociaciones con Microsoft).

3) Identificar proveedores que cuenten con controles de seguridad de la información preexistentes.

Cumplimiento normativo – Solicite ver copias de los procedimientos de gobierno de seguridad de la información relevantes de los proveedores, para evaluar el riesgo para su propia organización. Si no tienen ninguno, no es buena señal.

4) Identifique y defina las áreas específicas de la infraestructura TIC de su organización a las que sus proveedores podrán acceder, monitorear o utilizar ellos mismos.

Cumplimiento normativo – Es importante establecer desde el principio con precisión cómo van a interactuar sus proveedores con sus activos TIC (ya sean físicos o virtuales) y qué niveles de acceso se les conceden de acuerdo con sus obligaciones contractuales.

5) Defina cómo la propia infraestructura TIC de los proveedores puede afectar sus propios datos y los de sus clientes.

Cumplimiento normativo – La primera obligación de una organización es cumplir con su propio conjunto de estándares de seguridad de la información. Los activos de TIC de los proveedores deben revisarse de acuerdo con su potencial para afectar el tiempo de actividad y la integridad en toda su organización.

6) Identificar y gestionar los diversos riesgos de seguridad de la información asociados a:

a. Uso por parte del proveedor de información confidencial o activos protegidos (por ejemplo, limitado a uso malicioso y/o intención delictiva).

b. Hardware del proveedor defectuoso o plataforma de software que no funciona correctamente asociada con servicios locales o basados ​​en la nube.

Cumplimiento normativo – Las organizaciones deben estar continuamente conscientes de los riesgos de seguridad de la información asociados con eventos catastróficos, como actividades nefastas de los usuarios del lado del proveedor o incidentes de software importantes e imprevistos, y su impacto en la seguridad de la información de la organización.

7) Supervisar el cumplimiento de la seguridad de la información por tema específico o tipo de proveedor.

Cumplimiento normativo – La necesidad de la organización de apreciar la seguridad de la información implicaciones inherentes a cada tipo de proveedor y ajustar su actividad de seguimiento para adaptarse a los distintos niveles de riesgo.

8) Limitar la cantidad de daños y/o perturbaciones causadas por el incumplimiento.

Cumplimiento normativo – La actividad del proveedor debe ser monitoreada de manera adecuada, y en distintos grados, de acuerdo con su nivel de riesgo. Cuando se descubre un incumplimiento, ya sea de forma proactiva o reactiva, se deben tomar medidas inmediatas.

9) Mantener una sólida la gestión de incidencias procedimiento que aborde una cantidad razonable de contingencias.

Cumplimiento normativo – Las organizaciones deben entender con precisión cómo reaccionar cuando se enfrentan a una amplia gama de eventos relacionados con el suministro de productos y servicios de terceros, y delinear acciones correctivas que incluyan tanto al proveedor como a la organización.

10) Adoptar medidas que atiendan la disponibilidad y el procesamiento de la información del proveedor, dondequiera que se utilice, garantizando así la integridad de la propia información de la organización.

Cumplimiento normativo – Se deben tomar medidas para garantizar que los sistemas y datos de los proveedores se manejen de una manera que no comprometa la disponibilidad y seguridad de los propios sistemas e información de la organización.

11) Redactar un plan de capacitación exhaustivo que ofrezca orientación sobre cómo el personal debe interactuar con el personal del proveedor e información proveedor por proveedor o tipo por tipo.

Cumplimiento normativo – La capacitación debe cubrir todo el espectro de la gobernanza entre una organización y sus proveedores, incluido el compromiso, los controles granulares de gestión de riesgos y los procedimientos temáticos específicos.

12) Comprender y gestionar el nivel de riesgo inherente al transferir información y activos físicos y virtuales entre la organización y sus proveedores.

Cumplimiento normativo – Las organizaciones deben trazar cada etapa del proceso de transferencia y educar al personal sobre los riesgos asociados con el traslado de activos e información de una fuente a otra.

13) Garantizar que las relaciones con los proveedores finalicen teniendo en cuenta la seguridad de la información, incluida la eliminación de los derechos de acceso y la capacidad de acceder a la información de la organización.

Cumplimiento normativo – Sus equipos de TIC deben tener una comprensión clara de cómo revocar el acceso de un proveedor a la información, incluyendo:

• Análisis granular de cualquier dominio asociado y/o cuentas basadas en la nube.
• Distribución de la propiedad intelectual.
• La transferencia de información entre proveedores o de regreso a su organización.
• Gestión de registros.
• Devolver los bienes a su propietario original.
• Disposición adecuada de los activos físicos y virtuales, incluida la información.
• Cumplimiento de cualquier requisito contractual, incluidas cláusulas de confidencialidad y/o acuerdos externos.

14) Describa con precisión cómo espera que se comporte el proveedor con respecto a las medidas de seguridad físicas y virtuales.

Cumplimiento normativo – Las organizaciones deben establecer expectativas claras desde el inicio de cualquier relación comercial, que especifiquen cómo se espera que se comporte el personal del proveedor al interactuar con su personal o cualquier activo relevante.

Orientación complementaria sobre el Anexo A 5.19

ISO reconoce que no siempre es posible imponer un conjunto completo de políticas a un proveedor que cumpla con todos y cada uno de los requisitos de la lista anterior, como pretende ISO 27001 Anexo A Control 5.19, especialmente cuando se trata de organizaciones rígidas del sector público.

Dicho esto, el Control 5.19 del Anexo A establece claramente que las organizaciones deben utilizar la guía anterior al establecer relaciones con proveedores y considerar el incumplimiento caso por caso.

Cuando no se puede lograr el cumplimiento total, el Control 5.19 del Anexo A brinda a las organizaciones margen de maniobra al recomendar “controles compensatorios” que logran niveles adecuados de gestión de riesgos, en función de las circunstancias únicas de una organización.

¿Cuáles son los cambios con respecto a ISO 27001:2013?

ISO 27001:2022 Anexo A 5.19 reemplaza a ISO 27001:2013 Anexo A 15.1.1 (Política de seguridad de la información para las relaciones con proveedores).

ISO 27001:2022 Anexo A 5.19 se adhiere en términos generales a los mismos conceptos subyacentes contenidos en el control de 2013, pero contiene varias áreas de orientación adicionales que se omiten en ISO 27001:2013 Anexo A 5.1.1, o al menos no están cubiertas en tantos detalles, incluyendo:

• La investigación de proveedores en función de su tipo de proveedor y nivel de riesgo.
• La necesidad de garantizar la integridad de la información de los proveedores para proteger sus propios datos y garantizar la continuidad del negocio.
• Los diversos pasos necesarios para finalizar una relación con un proveedor, incluido el desmantelamiento de los derechos de acceso, la distribución de propiedad intelectual, acuerdos contractuales, etc.

El Anexo A 27001 de ISO 2022:5.19 también es explícito al reconocer la naturaleza altamente variable de las relaciones con los proveedores (según el tipo, sector y nivel de riesgo) y brinda a las organizaciones un cierto grado de margen de maniobra al considerar la posibilidad de incumplimiento de cualquier guía determinada. punto, según la naturaleza de la relación (consulte la 'Orientación complementaria' más arriba).

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada ISO 27001:2022 individual. anexo A Control:

¿Cómo ayuda ISMS.online con las relaciones con los proveedores?

ISMS.online ha hecho que este objetivo de control sea muy fácil al proporcionar evidencia de que sus relaciones se eligen cuidadosamente y se administran bien en la vida, incluido el seguimiento y la revisión. Nuestra área de relaciones de cuentas (por ejemplo, proveedores), fácil de usar, hace precisamente eso. Los espacios de trabajo de proyectos colaborativos son ideales para la incorporación de proveedores importantes, iniciativas conjuntas, bajas, etc., todo lo cual el auditor también puede ver con facilidad cuando sea necesario.

ISMS.online también ha facilitado este objetivo de control para su organización al permitirle proporcionar evidencia de que el proveedor se ha comprometido formalmente a cumplir con los requisitos y ha comprendido sus responsabilidades en materia de seguridad de la información a través de nuestros Paquetes de Políticas. Paquetes de pólizas son ideales cuando la organización tiene políticas y controles específicos que quiere que el personal del proveedor siga y confía en que los ha leído y se ha comprometido a cumplirlos, más allá de los acuerdos más amplios entre el cliente y el proveedor.

Dependiendo de la naturaleza del cambio (es decir, para cambios más importantes), puede haber un requisito más amplio para alinearse con A.6.1.5 Seguridad de la información en la Gestión de Proyectos.

Usando ISMS.online usted puede:

• Implementar rápidamente un Sistema de Gestión de Seguridad de la Información (SGSI).
• Gestiona fácilmente la documentación de tu SGSI.
• Agilizar el cumplimiento de todos los estándares relevantes.
• Administre todos los aspectos de la seguridad de la información, desde la gestión de riesgos hasta la capacitación en concientización sobre seguridad.
• Comuníquese de manera efectiva en toda su organización utilizando nuestra funcionalidad de comunicación incorporada.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.