ISO 27002:2022, Control 5.19 – Seguridad de la información en las relaciones con proveedores

Propiedad del Control 5.19

Si bien el Control 5.19 contiene mucha orientación sobre el uso de servicios TIC, el alcance más amplio del control abarca muchos otros aspectos de la relación de una organización con su base de proveedores, incluidos los tipos de proveedores, logística, servicios públicos, servicios financieros y componentes de infraestructura.

Como tal, la propiedad del Control 5.19 debe recaer en un miembro de la alta dirección que supervise las operaciones comerciales de una organización y mantenga una relación directa con los proveedores de una organización, como un Director de Operaciones.

Orientación general

El cumplimiento del Control 5.19 implica adherirse a lo que se conoce como enfoque 'temático específico' a la seguridad de la información en las relaciones con proveedores.

Los enfoques temáticos específicos alientan a las organizaciones a crear políticas relacionadas con los proveedores que se adapten a funciones comerciales individuales, en lugar de adherirse a un marco general. política de gestión de proveedores que se aplica a todas y cada una de las relaciones con terceros a lo largo de la operación comercial de una organización.

Es importante tener en cuenta que el Control 5.19 solicita a la organización que implemente políticas y procedimientos que no solo rijan el uso de los recursos de los proveedores y las plataformas en la nube por parte de la organización, sino que también formen la base de cómo esperan que sus proveedores se comporten antes y durante la vigencia del contrato. la relación comercial.

Como tal, el Control 5.19 puede verse como el documento de calificación esencial que dicta cómo se maneja la gobernanza de la seguridad de la información durante el transcurso de un contrato con un proveedor.

El Control 5.19 contiene 14 puntos de orientación principales a seguir:

1) Mantener un registro preciso de los tipos de proveedores (por ejemplo, servicios financieros, hardware de TIC, telefonía) que tienen el potencial de afectar la integridad de la seguridad de la información.

Cumplimiento – Redacte una lista de todos y cada uno de los proveedores con los que trabaja su organización, clasifíquelos según su función comercial y agregue categorías a dichos tipos de proveedores cuando sea necesario.

2) Comprenda cómo examinar a los proveedores, según el nivel de riesgo inherente a su tipo de proveedor.

Cumplimiento – Los diferentes tipos de proveedores requerirán diferentes controles de diligencia debida. Considere el uso de métodos de verificación proveedor por proveedor (por ejemplo, referencias de la industria, estados financieros, evaluaciones in situ, certificaciones específicas del sector, como asociaciones con Microsoft).

3) Identifique proveedores que cuenten con controles de seguridad de la información preexistentes.

Cumplimiento – Solicite ver copias de los procedimientos de gobierno de seguridad de la información relevantes de los proveedores, para evaluar el riesgo para su propia organización. Si no tienen ninguno, no es buena señal.

4) Identifique y defina las áreas específicas de la infraestructura TIC de su organización a las que sus proveedores podrán acceder, monitorear o utilizar por sí mismos.

Cumplimiento – Es importante establecer desde el principio con precisión cómo van a interactuar sus proveedores con sus activos TIC (ya sean físicos o virtuales) y qué niveles de acceso se les conceden de acuerdo con sus obligaciones contractuales.

5) Defina cómo la propia infraestructura TIC de los proveedores puede afectar sus propios datos y los de sus clientes.

Cumplimiento – La primera obligación de una organización es cumplir con su propio conjunto de estándares de seguridad de la información. Los activos de TIC de los proveedores deben revisarse de acuerdo con su potencial para afectan el tiempo de actividad y la integridad en toda su organización.

6) Identificar y gestionar los distintos riesgos de seguridad de la información adjunto a:

a. Uso por parte del proveedor de información confidencial o activos protegidos (por ejemplo, limitado a uso malicioso y/o intención delictiva).

b. Hardware del proveedor defectuoso o plataforma de software que no funciona correctamente asociada con servicios locales o basados ​​en la nube.

Cumplimiento – Las organizaciones deben estar continuamente conscientes de los riesgos de seguridad de la información asociados con eventos catastróficos, como actividades nefastas de los usuarios del lado del proveedor o incidentes de software importantes e imprevistos, y su impacto en la seguridad de la información de la organización.

Continuación de la orientación general

7) Supervise el cumplimiento de la seguridad de la información por tema específico o tipo de proveedor.

Cumplimiento – La necesidad de la organización de apreciar las implicaciones de seguridad de la información inherentes a cada tipo de proveedor y ajustar su actividad de monitoreo para adaptarse a los diferentes niveles de riesgo.

8) Limitar la cantidad de daño y/o interrupción causada por el incumplimiento.

Cumplimiento – La actividad del proveedor debe ser monitoreada de manera adecuada, y en distintos grados, de acuerdo con su nivel de riesgo. Cuando se descubre un incumplimiento, ya sea de forma proactiva o reactiva, se deben tomar medidas inmediatas.

9) Mantener un sólido procedimiento de gestión de incidentes que aborde una cantidad razonable de contingencias.

Cumplimiento – Las organizaciones deben entender con precisión cómo reaccionar cuando se enfrentan a una amplia gama de eventos relacionados con el suministro de productos y servicios de terceros, y delinear acciones correctivas que incluyan tanto al proveedor como a la organización.

10). Adoptar medidas que atiendan la disponibilidad y el procesamiento de la información del proveedor, dondequiera que se utilice, garantizando así la integridad de la propia información de la organización.

Cumplimiento – Se deben tomar medidas para garantizar que los sistemas y datos de los proveedores se manejen de una manera que no comprometa la disponibilidad y seguridad de los propios sistemas e información de la organización.

11). Redacte un plan de capacitación exhaustivo que ofrezca orientación sobre cómo el personal debe interactuar con el personal del proveedor e información proveedor por proveedor o tipo por tipo.

Cumplimiento – La capacitación debe cubrir todo el espectro de la gobernanza entre una organización y sus proveedores, incluido el compromiso, la granularidad. controles de gestión de riesgos y procedimientos temáticos específicos.

12). Comprender y gestionar el nivel de riesgo inherente al transferir información y activos físicos y virtuales entre la organización y sus proveedores.

Cumplimiento – Las organizaciones deben trazar cada etapa del proceso de transferencia y educar al personal sobre las riesgos asociados con el movimiento de activos e información de una fuente a otra.

13). Asegúrese de que las relaciones con los proveedores finalicen teniendo en cuenta la seguridad de la información, incluida la eliminación de los derechos de acceso y la capacidad de acceder a la información de la organización.

Cumplimiento – Sus equipos de TIC deben tener una comprensión clara de cómo revocar el acceso de un proveedor a la información, incluyendo:

• Análisis granular de cualquier dominio asociado y/o cuentas basadas en la nube.
• Distribución de propiedad intelectual.
• La transferencia de información entre proveedores o de regreso a su organización.
• Gestión de registros.
• Devolver los bienes a su propietario original.
• Disposición adecuada de los activos físicos y virtuales, incluida la información.
• Cumplimiento de cualquier requisito contractual, incluidas cláusulas de confidencialidad y/o acuerdos externos.

14). Describa con precisión cómo espera que se comporte el proveedor con respecto a las medidas de seguridad físicas y virtuales.

Cumplimiento – Las organizaciones deben establecer expectativas claras desde el inicio de cualquier relación comercial, que especifiquen cómo se espera que se comporte el personal del proveedor al interactuar con su personal o cualquier activo relevante.

Orientación complementaria

ISO reconoce que no siempre es posible imponer un conjunto completo de políticas a un proveedor que cumpla con todos y cada uno de los requisitos de la lista anterior, como pretende el Control 5.19, especialmente cuando se trata de organizaciones rígidas del sector público.

Dicho esto, el Control 5.19 establece claramente que las organizaciones deben utilizar la guía anterior al establecer relaciones con proveedores y considerar el incumplimiento caso por caso.

Cuando no se puede lograr el cumplimiento total, el Control 5.19 da a las organizaciones margen de maniobra al recomendar "controles compensatorios" que logran niveles adecuados de gestión de riesgos, en función de las circunstancias únicas de una organización.

Cambios desde ISO 27002:2013

27002:2022-5.19 reemplaza a 27002:2013-5.1.1 (Política de seguridad de la información para las relaciones con proveedores).

27002:2022-5.19 se adhiere en términos generales a los mismos conceptos subyacentes contenidos en el control de 2013, pero contiene varias áreas de orientación adicionales que se omiten en 27002:2013-5.1.1 o, al menos, no se cubren con tanto detalle. incluido:

• La investigación de proveedores en función de su tipo de proveedor y nivel de riesgo.
• La necesidad de garantizar la integridad de la información de los proveedores para proteger sus propios datos y garantizar la continuidad del negocio.
• Los diversos pasos necesarios para finalizar una relación con un proveedor, incluido el desmantelamiento de los derechos de acceso, la distribución de propiedad intelectual, acuerdos contractuales, etc.

27002:2022-5.19 también es explícito al reconocer la naturaleza altamente variable de las relaciones con los proveedores (según el tipo, sector y nivel de riesgo) y brinda a las organizaciones un cierto grado de libertad al considerar la posibilidad de incumplimiento de cualquier punto de orientación determinado. según la naturaleza de la relación (consulte la 'Orientación complementaria' más arriba).

Cómo ayuda ISMS.online

Usar SGSI.online usted puede:

• Implementar rápidamente un Sistema de Gestión de Seguridad de la Información (SGSI).
• Gestiona fácilmente la documentación de tu SGSI.
• Agilizar el cumplimiento de todos los estándares relevantes.
• Administre todos los aspectos de la seguridad de la información, desde la gestión de riesgos hasta la capacitación en concientización sobre seguridad.
• Comuníquese de manera efectiva en toda su organización utilizando nuestra funcionalidad de comunicación incorporada.

Es una simple cuestión de crear una cuenta de prueba gratuita y seguir los pasos que le proporcionamos.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.