ISO 27001:2022 Anexo A 5.22 – Monitoreo, revisión y gestión de cambios de los servicios de proveedores

¿Cuál es el propósito del Anexo A 27001 de la norma ISO 2022:5.22?

El control 5.22 del Anexo A tiene como objetivo garantizar que se cumpla un acuerdo nivel de seguridad de la información y se mantiene la prestación de servicios. Esto está de acuerdo con los contratos de proveedores con respecto al desarrollo de servicios de proveedores.

Los servicios de los proveedores son monitoreados y revisados

En el Anexo A 5.22, se describe que las organizaciones monitorean, revisan y auditan periódicamente los procesos de prestación de servicios de sus proveedores. Es mejor realizar revisiones y monitoreo de acuerdo con la información en riesgo, ya que una talla única no se adapta a todas las situaciones.

Al realizar sus revisiones de acuerdo con la segmentación de proveedores propuesta, la organización puede optimizar sus recursos y asegurar que sus esfuerzos se concentren en monitorear y revisar dónde se puede lograr el impacto más significativo.

Al igual que con el Anexo A 5.19, a veces es necesario el pragmatismo: las organizaciones pequeñas no necesariamente recibirán una auditoría, una revisión de recursos humanos o mejoras de servicios específicas al utilizar AWS. Para asegurarse de que sigan siendo adecuados para su propósito, puede consultar (por ejemplo) sus informes SOC II y certificaciones de seguridad que se publican anualmente.

El seguimiento debe documentarse en función de su poder, riesgos y valor, para que su auditor pueda confirmar que se ha completado. Esto se debe a que todos los cambios necesarios se han gestionado mediante un procedimiento formal de control de cambios.

Gestión de cambios en el servicio de proveedores

Los proveedores deben mantener y mejorar las políticas, procedimientos y controles de seguridad de la información existentes para gestionar cualquier cambio en la prestación de servicios por parte de los proveedores. El proceso considera la criticidad de la información comercial, la naturaleza del cambio, los tipos de proveedores afectados, los procesos y sistemas involucrados y una reevaluación de riesgos.

Al realizar cambios en los servicios de los proveedores, también es importante considerar la intimidad de la relación. Esto se suma a la capacidad de la organización para influir o controlar un cambio dentro del proveedor.

El Control 5.22 especifica cómo las organizaciones deben monitorear, revisar y Gestionar cambios en las prácticas y servicios de seguridad de un proveedor. estándares de entrega. También evalúa cómo impactan las propias prácticas de seguridad de la organización.

Al gestionar las relaciones con sus proveedores, una organización debe esforzarse por mantener un nivel básico de seguridad de la información que cumpla con los acuerdos que haya firmado.

De acuerdo con la norma ISO 27001:2022, el Anexo A 5.22 es un control preventivo diseñado para minimizar el riesgo ayudando al proveedor a mantener un “nivel acordado de seguridad de la información y prestación de servicios.

Propiedad del control del Anexo A 5.22

Un miembro de la alta dirección que supervise las operaciones comerciales de una organización y mantenga una relación directa con los proveedores de la organización debería ser responsable del Control 5.22.

ISO 27001:2022 Anexo A 5.22 Orientación general

Según la revista ISO 27001:2022 Anexo A Control 5.22, se deben considerar 13 áreas clave al gestionar las relaciones con los proveedores y cómo estos factores afectan sus propias medidas de seguridad de la información.

Una organización debe garantizar que los empleados responsables de gestionar los acuerdos de nivel de servicio y las relaciones con los proveedores posean las habilidades y los recursos técnicos necesarios. Esto es para garantizar que puedan evaluar adecuadamente el desempeño de los proveedores y que no se viole el estándar de seguridad de la información.

Las políticas y procedimientos de una organización deben ser redactados por:

1. Supervise continuamente los niveles de servicio de acuerdo con los acuerdos de nivel de servicio publicados y aborde cualquier deficiencia tan pronto como surja.
2. El proveedor debe ser monitoreado para detectar cualquier cambio en su propia operación, incluidos (pero no limitados a): (1) Mejoras del servicio (2) Nuevas aplicaciones, sistemas o procesos de software (3) Revisiones relevantes y significativas de los documentos de gobierno interno del proveedor, y (4) cualquier cambio en los procedimientos de gestión de incidentes o intentos de mejorar el nivel de seguridad de la información.
3. Cualquier cambio que involucre el servicio, incluidos (pero no limitados a): a) Cambios en la infraestructura b) Aplicaciones de tecnologías emergentes c) Actualizaciones de productos y mejoras de versión d) Cambios en el entorno de desarrollo e) Cambios logísticos y físicos en las instalaciones del proveedor, incluidas nuevas ubicaciones f) Cambios de socios de subcontratación o subcontratistas g) Intenciones de subcontratar, cuando tal práctica no se haya practicado anteriormente.
4. Asegúrese de que los informes de servicio se entreguen periódicamente, que los datos se analicen y que las reuniones de revisión se lleven a cabo de acuerdo con los niveles de servicio acordados.
5. Asegúrese de que los socios de subcontratación y subcontratistas sean auditados y aborden cualquier área de preocupación.
6. Realizar una revisión de los incidentes de seguridad con base en el estándar y prácticas acordadas por el proveedor y de acuerdo con los estándares de gestión de incidentes.
7. Se deben mantener registros de todos los incidentes de seguridad de la información, problemas operativos tangibles, registros de fallas y barreras generales para cumplir con los estándares de prestación de servicios acordados.
8. Tomar medidas proactivas en respuesta a incidentes relacionados con la seguridad de la información.
9. Identificar cualquier vulnerabilidad en la seguridad de la información y mitigarla en la mayor medida posible.
10. Realizar un análisis de cualquier factor de seguridad de la información relevante asociado a la relación del proveedor con sus proveedores y subcontratistas.
11. En caso de una interrupción significativa por parte del proveedor, incluido un esfuerzo de recuperación ante desastres, asegúrese de que la prestación del servicio se entregue a niveles aceptables.
12. Proporcione una lista del personal clave en la operación del proveedor responsable de mantener el cumplimiento y apegarse a los términos del contrato.
13. Asegúrese de que un proveedor mantenga periódicamente un estándar básico de seguridad de la información.

Controles de apoyo del Anexo A

• ISO 27001:2022 Anexo A 5.29
• ISO 27001:2022 Anexo A 5.30
• ISO 27001:2022 Anexo A 5.35
• ISO 27001:2022 Anexo A 5.36
• ISO 27001:2022 Anexo A 8.14

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.

¿Cuál es el beneficio de utilizar ISMS.online para gestionar las relaciones con los proveedores?

ISMS.online ha simplificado mucho este objetivo de control del Anexo A. Esto se debe a que ISMS.online proporciona evidencia de que sus relaciones son cuidadosamente seleccionadas, bien administradas, monitoreadas y revisadas. Esto se hace en nuestra área de Relaciones de cuentas (por ejemplo, proveedores) fácil de usar. Los espacios de trabajo de proyectos de colaboración permiten al auditor ver fácilmente la incorporación de proveedores importantes, iniciativas conjuntas, bajas, etc.

Además de ayudar a su organización con este objetivo de control del Anexo A, ISMS.online también le proporciona la posibilidad para proporcionar evidencia de que el proveedor ha aceptado formalmente los requisitos y ha comprendido sus responsabilidades en materia de seguridad de la información a través de nuestros Paquetes de Políticas. Como resultado de sus políticas y controles específicos, Los paquetes de políticas garantizan a los proveedores que su personal ha leído y se ha comprometido a cumplir las políticas y controles de la organización.

Puede haber un requisito más amplio para alinearse con el Anexo A.5.8 Seguridad de la información en la gestión de proyectos., dependiendo de la naturaleza del cambio (por ejemplo, para cambios más importantes).

Implementar ISO 27001 es más fácil con nuestra lista de verificación paso a paso, que lo guía desde la definición del alcance de su SGSI hasta la identificación de riesgos y la implementación de controles.

ISMS.online ofrece los siguientes beneficios:

• La plataforma le permite crear un SGSI compatible con ISO 27001 • Requisitos.
• Los usuarios pueden completar tareas y enviar pruebas para demostrar el cumplimiento del estándar.
• El proceso de delegar responsabilidades y monitorear el progreso del cumplimiento es sencillo.
• Como resultado de la integral evaluación de riesgos conjunto de herramientas, el proceso se acelera y ahorra tiempo.
• Un equipo dedicado de consultores puede ayudarle durante todo el proceso de cumplimiento.

Póngase en contacto con nosotros hoy para programa una demostración.