ISO 27001:2022 Annexe A Contrôle 5.19

Orientations générales sur la norme ISO 27001:2022 Annexe A 5.19

La conformité au contrôle 5.19 de l'annexe A implique le respect de ce que l'on appelle un approche « thématique » à la sécurité de l’information dans les relations avec les fournisseurs.

Une organisation peut souhaiter que ses fournisseurs accèdent à certains actifs informationnels de grande valeur et y contribuent (par exemple, développement de code logiciel, informations comptables sur la paie). Ils devraient donc avoir des accords clairs sur l’accès exact qu’ils leur autorisent, afin de pouvoir contrôler la sécurité autour de cet accès.

Ceci est particulièrement important à l’heure où de plus en plus de services de gestion, de traitement et de technologie de l’information sont externalisés. Cela signifie avoir un endroit pour montrer que la gestion de la relation est en cours ; contrats, contacts, incidents, activités relationnelles et la gestion des risques etc. Lorsque le fournisseur est également étroitement impliqué dans l'organisation, mais ne dispose pas de son propre SMSI certifié, il est également utile de s'assurer que le personnel du fournisseur est formé et conscient de la sécurité, formé à vos politiques, etc.

Les approches thématiques encouragent les organisations à créer des politiques liées aux fournisseurs adaptées aux fonctions commerciales individuelles, plutôt que d'adhérer à une politique globale de gestion des fournisseurs qui s'applique à toutes les relations avec des tiers dans le cadre des opérations commerciales d'une organisation.

Il est important de noter que la norme ISO 27001 Annexe A Contrôle 5.19 demande à l'organisation de mettre en œuvre des politiques et des procédures qui non seulement régissent l'utilisation par l'organisation des ressources des fournisseurs et des plateformes cloud, mais constituent également la base de la façon dont elles attendent de leurs fournisseurs qu'ils se comportent avant et pendant toute la durée de la relation commerciale.

En tant que telle, l'Annexe A Contrôle 5.19 peut être considérée comme le document de qualification essentiel qui dicte la manière dont la gouvernance de la sécurité de l'information est gérée au cours d'un contrat avec un fournisseur.

La norme ISO 27001 Annexe A Contrôle 5.19 contient 14 points d'orientation principaux à respecter :

1) Tenir un registre précis des types de fournisseurs (par exemple, services financiers, matériel informatique, téléphonie) susceptibles d'affecter l'intégrité de la sécurité de l'information.

Conformité – Rédigez une liste de tous les fournisseurs avec lesquels votre organisation travaille, catégorisez-les en fonction de leur fonction commerciale et ajoutez des catégories auxdits types de fournisseurs selon les besoins.

2) Comprendre comment évaluer les fournisseurs, en fonction du niveau de risque inhérent à leur type de fournisseur.

Conformité – Différents types de fournisseurs nécessiteront différents contrôles de diligence raisonnable. Envisagez d'utiliser des méthodes de vérification fournisseur par fournisseur (par exemple, références industrielles, états financiers, évaluations sur site, certifications spécifiques à un secteur telles que les partenariats Microsoft).

3) Identifiez les fournisseurs qui ont déjà mis en place des contrôles de sécurité des informations.

Conformité – Demandez à voir des copies des procédures pertinentes de gouvernance de la sécurité de l'information des fournisseurs, afin d'évaluer le risque pour votre propre organisation. S’ils n’en ont pas, ce n’est pas bon signe.

4) Identifiez et définissez les domaines spécifiques de l'infrastructure TIC de votre organisation auxquels vos fournisseurs pourront accéder, surveiller ou utiliser eux-mêmes.

Conformité – Il est important d'établir dès le départ précisément comment vos fournisseurs vont interagir avec vos actifs TIC – qu'ils soient physiques ou virtuels – et quels niveaux d'accès leur sont accordés conformément à leurs obligations contractuelles.

5) Définissez l'impact de l'infrastructure TIC des fournisseurs sur vos propres données et sur celles de vos clients.

Conformité – La première obligation d'une organisation est de respecter son propre ensemble de normes de sécurité de l'information. Les actifs TIC des fournisseurs doivent être examinés en fonction de leur potentiel à affecter la disponibilité et l'intégrité dans l'ensemble de votre organisation.

6) Identifier et gérer les différents risques de sécurité de l'information liés à :

un. Utilisation par le fournisseur d'informations confidentielles ou d'actifs protégés (par exemple limitée à une utilisation malveillante et/ou à une intention criminelle).

b. Matériel du fournisseur défectueux ou plate-forme logicielle défectueuse associée à des services sur site ou basés sur le cloud.

Conformité – Les organisations doivent être continuellement conscientes des risques de sécurité des informations associés à des événements catastrophiques, tels qu’une activité néfaste des utilisateurs du côté des fournisseurs ou des incidents logiciels imprévus majeurs, et de leur impact sur la sécurité des informations de l’organisation.

7) Surveiller la conformité en matière de sécurité des informations sur une base spécifique à un sujet ou à un type de fournisseur.

Conformité – La nécessité pour l'organisation d'apprécier sécurité de l'information implications inhérentes à chaque type de fournisseur, et ajuster leur activité de surveillance pour s'adapter aux différents niveaux de risque.

8) Limiter le montant des dommages et/ou des perturbations causés par le non-respect.

Conformité – L’activité des fournisseurs doit être surveillée de manière appropriée et à des degrés divers, en fonction de son niveau de risque. Lorsqu’une non-conformité est découverte, de manière proactive ou réactive, des mesures immédiates doivent être prises.

9) Maintenir une structure robuste la gestion des incidents procédure qui répond à un nombre raisonnable d’éventualités.

Conformité – Les organisations doivent comprendre précisément comment réagir lorsqu’elles sont confrontées à un large éventail d’événements liés à la fourniture de produits et de services de tiers, et définir des mesures correctives impliquant à la fois le fournisseur et l’organisation.

10) Adopter des mesures qui garantissent la disponibilité et le traitement des informations du fournisseur, quel que soit le lieu où elles sont utilisées, garantissant ainsi l'intégrité des propres informations de l'organisation.

Conformité – Des mesures doivent être prises pour garantir que les systèmes et les données des fournisseurs sont traités d'une manière qui ne compromet pas la disponibilité et la sécurité des propres systèmes et informations de l'organisation.

11) Rédiger un plan de formation approfondi qui offre des conseils sur la manière dont le personnel doit interagir avec le personnel du fournisseur et des informations sur une base fournisseur par fournisseur ou sur une base type par type.

Conformité – La formation doit couvrir l’ensemble de la gouvernance entre une organisation et ses fournisseurs, y compris l’engagement, les contrôles granulaires de gestion des risques et les procédures spécifiques à un sujet.

12) Comprendre et gérer le niveau de risque inhérent au transfert d'informations et d'actifs physiques et virtuels entre l'organisation et ses fournisseurs.

Conformité – Les organisations doivent cartographier chaque étape du processus de transfert et sensibiliser le personnel aux risques associés au déplacement d’actifs et d’informations d’une source à une autre.

13) Veiller à ce que les relations avec les fournisseurs prennent fin en gardant à l'esprit la sécurité des informations, notamment en supprimant les droits d'accès et la possibilité d'accéder aux informations de l'organisation.

Conformité – Vos équipes informatiques doivent bien comprendre comment révoquer l'accès d'un fournisseur à l'information, notamment :

• Analyse granulaire de tout domaine associé et/ou comptes cloud.
• répartition des propriété intellectuelle.
• Le portage des informations entre fournisseurs ou vers votre organisation.
• La gestion des dossiers.
• Restituer les actifs à leur propriétaire d'origine.
• Élimination adéquate des actifs physiques et virtuels, y compris les informations.
• Respect de toutes les exigences contractuelles, y compris les clauses de confidentialité et/ou les accords externes.

14) Décrivez précisément comment vous attendez du fournisseur qu'il se comporte en ce qui concerne les mesures de sécurité physiques et virtuelles.

Conformité – Les organisations doivent définir des attentes claires dès le début de toute relation commerciale, spécifiant comment le personnel du fournisseur doit se comporter lorsqu'il interagit avec votre personnel ou tout actif pertinent.

Orientations supplémentaires sur l'Annexe A 5.19

L'ISO reconnaît qu'il n'est pas toujours possible d'imposer à un fournisseur un ensemble complet de politiques qui répondent à toutes les exigences de la liste ci-dessus, comme le prévoit l'ISO 27001 Annexe A Contrôle 5.19, en particulier lorsqu'il s'agit d'organisations rigides du secteur public.

Cela étant dit, l'annexe A, Contrôle 5.19, indique clairement que les organisations doivent utiliser les directives ci-dessus lorsqu'elles établissent des relations avec des fournisseurs et envisager le non-respect au cas par cas.

Lorsqu'une conformité totale n'est pas réalisable, l'Annexe A Contrôle 5.19 donne aux organisations une marge de manœuvre en recommandant des « contrôles compensatoires » qui atteignent des niveaux adéquats de gestion des risques, en fonction des circonstances uniques d'une organisation.

Quels sont les changements par rapport à la norme ISO 27001:2013 ?

ISO 27001:2022 Annexe A 5.19 remplace ISO 27001:2013 Annexe A 15.1.1 (Politique de sécurité des informations pour les relations avec les fournisseurs).

L'ISO 27001:2022 Annexe A 5.19 adhère globalement aux mêmes concepts sous-jacents contenus dans le contrôle de 2013, mais contient plusieurs domaines d'orientation supplémentaires qui sont soit omis de l'ISO 27001:2013 Annexe A 5.1.1, soit à tout le moins non couverts dans autant de détails, notamment :

• La vérification des fournisseurs en fonction de leur type de fournisseur et de leur niveau de risque.
• La nécessité de garantir l’intégrité des informations des fournisseurs afin de sécuriser leurs propres données et d’assurer la continuité des activités.
• Les différentes étapes nécessaires à la fin d'une relation fournisseur, y compris la mise hors service des droits d'accès, la distribution de la propriété intellectuelle, les accords contractuels, etc.

L'Annexe A 27001 de l'ISO 2022:5.19 reconnaît également explicitement la nature très variable des relations avec les fournisseurs (en fonction du type, du secteur et du niveau de risque) et donne aux organisations une certaine marge de manœuvre lorsqu'elles envisagent la possibilité de non-conformité à une directive donnée. point, en fonction de la nature de la relation (voir « Conseils supplémentaires » ci-dessus).

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque norme ISO 27001:2022. Annexe A Contrôle.

Comment ISMS.online aide-t-il dans les relations avec les fournisseurs ?

ISMS.online a rendu cet objectif de contrôle très simple en fournissant la preuve que vos relations sont soigneusement choisies, bien gérées dans la vie, y compris en étant surveillées et examinées. C'est exactement ce que fait notre zone de relations avec les comptes (par exemple, les fournisseurs), facile à utiliser. Les espaces de travail des projets collaboratifs sont parfaits pour l'intégration de fournisseurs importants, les initiatives conjointes, le départ, etc., que l'auditeur peut également visualiser facilement en cas de besoin.

ISMS.online a également facilité cet objectif de contrôle pour votre organisation en vous permettant de fournir la preuve que le fournisseur s'est formellement engagé à se conformer aux exigences et a compris ses responsabilités en matière de sécurité des informations via nos packs de politiques. Packs de politiques sont idéales lorsque l'organisation dispose de politiques et de contrôles spécifiques qu'elle souhaite que le personnel des fournisseurs suive et soit assuré qu'il les a lu et qu'il s'est engagé à s'y conformer – au-delà des accords plus larges entre le client et le fournisseur.

Selon la nature du changement (c'est-à-dire pour des changements plus importants), il peut y avoir une exigence plus large de s'aligner sur A.6.1.5 Sécurité de l'information dans la gestion de projet.

En utilisant ISMS.online, vous pouvez :

• Implémentez rapidement un système de gestion de la sécurité de l’information (ISMS).
• Gérez facilement la documentation de votre SMSI.
• Rationalisez la conformité à toutes les normes pertinentes.
• Gérez tous les aspects de la sécurité des informations, de la gestion des risques à la formation de sensibilisation à la sécurité.
• Communiquez efficacement au sein de votre organisation grâce à notre fonctionnalité de communication intégrée.

Contactez-nous dès aujourd'hui pour réserver une démo.