ISO 27001:2022 Anexo A Control 5.20

ISO 27001:2022 Anexo A 5.20 Orientación general

El control 5.20 del Anexo A contiene 25 puntos de orientación que según ISO son “posibles de considerar” (es decir, no necesariamente todos) para que las organizaciones cumplan con sus requisitos de seguridad de la información.

El Anexo A Control 5.20 especifica que, independientemente de las medidas adoptadas, ambas partes deben salir del proceso con un “claro entendimiento” de las obligaciones de seguridad de la información de cada uno.

1. Es esencial proporcionar una descripción clara de la información a la que se debe acceder y cómo se accederá a esa información.
2. Las organizaciones deben clasificar la información según sus esquemas de clasificación publicados (consulte los Controles 5.10, 5.12 y 5.13 del Anexo A).
3. Clasificación de la información del lado del proveedor debe considerarse junto con su relación con el del lado de la organización.
4. Generalmente, los derechos de ambas partes se pueden dividir en cuatro categorías: legales, estatutarios, regulatorios y contractuales. Como es habitual en los acuerdos comerciales, se deben delinear claramente varias obligaciones dentro de estas cuatro áreas, incluido el acceso a la información personal, los derechos de propiedad intelectual y las disposiciones de derechos de autor. El contrato también debe cubrir cómo se abordarán estas áreas clave por separado.
5. Como parte del sistema de control del Anexo A, se debe exigir a cada parte que implemente medidas concurrentes diseñadas para monitorear, evaluar y gestionar los riesgos de seguridad de la información (como políticas de control de acceso, revisiones contractuales, monitoreo, informes y auditorías periódicas). Además, el acuerdo debe establecer claramente que el personal del proveedor debe cumplir con los estándares de seguridad de la información de la organización (ver ISO 27001 Anexo A Control 5.20).
6. Ambas partes deben comprender claramente qué constituye un uso aceptable e inaceptable de la información, así como de los activos físicos y virtuales.
7. Para garantizar que el personal del proveedor pueda acceder y ver la información de una organización, se deben implementar procedimientos (por ejemplo, auditorías del proveedor y controles de acceso al servidor).
8. Además de considerar la infraestructura TIC del proveedor, es importante comprender cómo se relaciona con el tipo de información a la que accederá la organización. Esto se suma al conjunto básico de requisitos comerciales de la organización.
9. Si el proveedor incumple el contrato o no cumple con los términos individuales, la organización debe considerar qué medidas puede tomar.
10. Específicamente, el acuerdo debe describir un procedimiento mutuo de gestión de incidentes que aclare cómo se deben manejar los problemas cuando surjan. Esto incluye cómo ambas partes deben comunicarse cuando ocurre un incidente.
11. Ambas partes deben proporcionar una formación de concientización adecuada (cuando la formación estándar no sea suficiente) en áreas clave del acuerdo, particularmente en áreas de riesgo como la gestión de incidentes y el intercambio de información.
12. Debería abordarse adecuadamente el uso de subcontratistas. Las organizaciones deben garantizar que, si al proveedor se le permite utilizar subcontratistas, dichas personas o empresas cumplan con los mismos estándares de seguridad de la información que el proveedor.
13. En la medida en que sea legal y operativamente posible, las organizaciones deberían considerar cómo se examina al personal de los proveedores antes de interactuar con su información. Además, deben considerar cómo se registran y notifican a la organización los exámenes de detección, incluido el personal no examinado y las áreas de preocupación.
14. Certificación de terceros, como independientes informes y auditorías de terceros, deberían ser exigidos por las organizaciones a los proveedores que cumplan con sus requisitos de seguridad de la información.
15. ISO 27001:2022 Anexo A El Control 5.20 requiere que las organizaciones tengan derecho a evaluar y auditar los procedimientos de sus proveedores.
16. Se debe exigir a un proveedor que proporcione informes periódicos (a intervalos variables) que resuma la efectividad de sus procesos y procedimientos y cómo pretende abordar cualquier problema planteado.
17. Durante la relación, el acuerdo debe incluir medidas para garantizar que cualquier defecto o conflicto se resuelva oportuna y completamente.
18. El proveedor debe implementar una política BUDR adecuada, diseñada para satisfacer las necesidades de la organización, que aborde tres consideraciones clave: a) tipo de copia de seguridad (servidor completo, archivos y carpetas, incremental), b) frecuencia de la copia de seguridad (diaria, semanal, etc.). ) C) Ubicación de la copia de seguridad y medio de origen (en el sitio, fuera del sitio).
19. Es esencial garantizar la resiliencia de los datos operando desde una instalación de recuperación de desastres separada del sitio principal de TIC del proveedor. Esta instalación no está sujeta al mismo nivel de riesgo que el sitio principal de TIC.
20. Los proveedores deben mantener una política integral de gestión de cambios que permita a la organización rechazar por adelantado cualquier cambio que pueda afectar la seguridad de la información.
21. Controles de seguridad física debe implementarse dependiendo de a qué información se les permite acceder (acceso al edificio, acceso de visitantes, acceso a la sala, seguridad del escritorio).
22. Siempre que se transfieran datos entre activos, sitios, servidores o ubicaciones de almacenamiento, los proveedores deben asegurarse de que los datos y los activos estén protegidos contra pérdidas, daños o corrupción.
23. Como parte del acuerdo, se debe exigir a cada parte que tome una lista extensa de acciones en caso de terminación (ver Anexo A Control 5.20). Estas acciones incluyen (pero no se limitan a): a) disposición de activos y/o reubicación, b) eliminación de información, c) devolución de propiedad intelectual, d) eliminación de derechos de acceso e) continuidad de las obligaciones de confidencialidad.
24. Además del punto 23, el proveedor debe discutir en detalle cómo piensa destruir/eliminar permanentemente la información de la organización cuando ya no sea necesaria (es decir, al finalizar el contrato).
25. Siempre que finaliza un contrato y surge la necesidad de transferir soporte y/o servicios a otro proveedor que no figura en el contrato, se toman medidas para garantizar que no se interrumpan las operaciones comerciales.

Controles adjuntos al Anexo A

• ISO 27001:2022 Anexo A 5.10
• ISO 27001:2022 Anexo A 5.12
• ISO 27001:2022 Anexo A 5.13
• ISO 27001:2022 Anexo A 5.20

Orientación complementaria sobre el Anexo A 5.20

El Anexo A Control 5.20 recomienda que las organizaciones mantengan un registro de acuerdos para ayudarlas en la gestión de sus relaciones con los proveedores.

Se deben mantener registros de todos los acuerdos celebrados con otras organizaciones, categorizados según la naturaleza de la relación. Esto incluye contratos, memorandos de entendimiento y acuerdos relacionados con el intercambio de información.

¿Cuáles son los cambios con respecto a ISO 27001:2013?

Se ha realizado una enmienda al Anexo A 27001 de ISO 2013:15.1.2 (Abordando la seguridad dentro de los acuerdos con proveedores) para ISO 27001:2022 Anexo A Control 5.20.

En el Anexo A Control 5.20 de ISO 27001:2022 se incluyen varias pautas adicionales que abordan una amplia gama de cuestiones técnicas, legales y relacionadas con el cumplimiento, que incluyen:

• El procedimiento de entrega.
• Destrucción de información.
• Disposiciones por rescisión.
• Controles de seguridad física.
• Gestión del cambio.
• Redundancia de información y respaldos.

Como regla general, el Anexo A 27001 de la norma ISO 2022:5.20 enfatiza cómo un proveedor logra redundancia e integridad de los datos a lo largo de un contrato.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.

¿Cuáles son los beneficios de utilizar ISMS.online para las relaciones con los proveedores?

Una lista de verificación paso a paso lo guiará a través de todo el Proceso de implementación ISO 27001, desde definir el alcance de su SGSI hasta identificar riesgos e implementar controles.

A través del área de relaciones de cuentas (por ejemplo, proveedores) fácil de usar de ISMS.online, puede asegurarse de que sus relaciones se seleccionen cuidadosamente, se gestionen bien en la vida y se supervisen y revisen. Los espacios de trabajo colaborativo de proyectos de ISMS.online han cumplido fácilmente este objetivo de control. Estos espacios de trabajo son útiles para altas de proveedores, iniciativas conjuntas, bajas, etc., que el auditor también puede visualizar fácilmente cuando sea necesario.

También hemos facilitado este objetivo de control para su organización al permitirle demostrar que el proveedor se ha comprometido formalmente a cumplir con los requisitos. Esto se hace a través de nuestro Paquetes de pólizas. Estos paquetes de políticas son especialmente útiles para organizaciones con políticas y controles específicos que desean que sus proveedores cumplan para que puedan tener la confianza de que sus proveedores han leído estas políticas y se han comprometido a cumplirlas.

Puede ser necesario alinear el cambio con A.6.1.5 Seguridad de la información en la gestión de proyectos dependiendo de la naturaleza del cambio (por ejemplo, para cambios más sustanciales).

Reserve una demostración hoy.