ISO 27002 :2022, Contrôle 5.19 – Sécurité des informations dans les relations avec les fournisseurs

Propriété du contrôle 5.19

Bien que le contrôle 5.19 contienne de nombreuses indications sur l'utilisation des services TIC, la portée plus large du contrôle englobe de nombreux autres aspects de la relation d'une organisation avec sa base de fournisseurs, y compris les types de fournisseurs, la logistique, les services publics, les services financiers et les composants d'infrastructure).

En tant que tel, la propriété du Contrôle 5.19 devrait appartenir à un membre de la haute direction qui supervise les opérations commerciales d'une organisation et entretient une relation directe avec les fournisseurs d'une organisation, comme un Directeur des Opérations.

Orientation générale

La conformité au contrôle 5.19 implique le respect de ce que l'on appelle un approche « thématique » à la sécurité de l’information dans les relations avec les fournisseurs.

Les approches thématiques encouragent les organisations à créer des politiques liées aux fournisseurs adaptées aux fonctions commerciales individuelles, plutôt que d'adhérer à une politique générale. politique de gestion des fournisseurs cela s'applique à toutes les relations avec des tiers dans le cadre des opérations commerciales d'une organisation.

Il est important de noter que le contrôle 5.19 demande à l'organisation de mettre en œuvre des politiques et des procédures qui non seulement régissent l'utilisation par l'organisation des ressources des fournisseurs et des plateformes cloud, mais constituent également la base de la manière dont elles attendent de leurs fournisseurs qu'ils se comportent avant et pendant la durée du contrat. la relation commerciale.

En tant que tel, le contrôle 5.19 peut être considéré comme le document de qualification essentiel qui dicte la manière dont la gouvernance de la sécurité de l'information est gérée au cours d'un contrat avec un fournisseur.

Le contrôle 5.19 contient 14 points d’orientation principaux à respecter :

1) Tenir un registre précis des types de fournisseurs (par exemple, services financiers, matériel informatique, téléphonie) susceptibles d'affecter l'intégrité de la sécurité des informations.

Conformité – Rédigez une liste de tous les fournisseurs avec lesquels votre organisation travaille, catégorisez-les en fonction de leur fonction commerciale et ajoutez des catégories auxdits types de fournisseurs selon les besoins.

2) Comprendre comment évaluer les fournisseurs, en fonction du niveau de risque inhérent à leur type de fournisseur.

Conformité – Différents types de fournisseurs nécessiteront différents contrôles de diligence raisonnable. Envisagez d'utiliser des méthodes de vérification fournisseur par fournisseur (par exemple, références industrielles, états financiers, évaluations sur site, certifications spécifiques à un secteur telles que les partenariats Microsoft).

3) Identifiez les fournisseurs qui ont déjà mis en place des contrôles de sécurité des informations.

Conformité – Demandez à voir des copies des procédures pertinentes de gouvernance de la sécurité de l'information des fournisseurs, afin d'évaluer le risque pour votre propre organisation. S’ils n’en ont pas, ce n’est pas bon signe.

4) Identifiez et définissez les domaines spécifiques de l'infrastructure TIC de votre organisation auxquels vos fournisseurs pourront accéder, surveiller ou utiliser eux-mêmes.

Conformité – Il est important d'établir dès le départ précisément comment vos fournisseurs vont interagir avec vos actifs TIC – qu'ils soient physiques ou virtuels – et quels niveaux d'accès leur sont accordés conformément à leurs obligations contractuelles.

5) Définissez l'impact de l'infrastructure TIC des fournisseurs sur vos propres données et sur celles de vos clients.

Conformité – La première obligation d'une organisation est de respecter son propre ensemble de normes de sécurité de l'information. Les actifs TIC des fournisseurs doivent être examinés en fonction de leur potentiel à affecter la disponibilité et l’intégrité dans toute votre organisation.

6) Identifier et gérer les différents risques liés à la sécurité de l'information attaché à:

a. Utilisation par le fournisseur d'informations confidentielles ou d'actifs protégés (par exemple limitée à une utilisation malveillante et/ou à une intention criminelle).

b. Matériel du fournisseur défectueux ou plate-forme logicielle défectueuse associée à des services sur site ou basés sur le cloud.

Conformité – Les organisations doivent être continuellement conscientes des risques de sécurité des informations associés à des événements catastrophiques, tels qu’une activité néfaste des utilisateurs du côté des fournisseurs ou des incidents logiciels imprévus majeurs, et de leur impact sur la sécurité des informations de l’organisation.

Conseils généraux (suite)

7) Surveiller la conformité en matière de sécurité des informations sur une base spécifique à un sujet ou à un type de fournisseur.

Conformité – La nécessité pour l'organisation d'apprécier les implications en matière de sécurité de l'information inhérentes à chaque type de fournisseur et d'ajuster son activité de surveillance pour s'adapter aux différents niveaux de risque.

8) Limiter le montant des dommages et/ou des perturbations causés par le non-respect.

Conformité – L’activité des fournisseurs doit être surveillée de manière appropriée et à des degrés divers, en fonction de son niveau de risque. Lorsqu’une non-conformité est découverte, de manière proactive ou réactive, des mesures immédiates doivent être prises.

9) Maintenir un procédure robuste de gestion des incidents qui répond à un nombre raisonnable d’éventualités.

Conformité – Les organisations doivent comprendre précisément comment réagir lorsqu’elles sont confrontées à un large éventail d’événements liés à la fourniture de produits et de services de tiers, et définir des mesures correctives impliquant à la fois le fournisseur et l’organisation.

10) Adopter des mesures qui garantissent la disponibilité et le traitement des informations du fournisseur, quel que soit le lieu où elles sont utilisées, garantissant ainsi l'intégrité des propres informations de l'organisation.

Conformité – Des mesures doivent être prises pour garantir que les systèmes et les données des fournisseurs sont traités d'une manière qui ne compromet pas la disponibilité et la sécurité des propres systèmes et informations de l'organisation.

11) Rédigez un plan de formation approfondi qui offre des conseils sur la manière dont le personnel doit interagir avec le personnel des fournisseurs et des informations sur une base fournisseur par fournisseur ou sur une base type par type.

Conformité – La formation doit couvrir tout le spectre de la gouvernance entre une organisation et ses fournisseurs, y compris l'engagement, les contrôles de gestion des risques et des procédures spécifiques à un sujet.

12) Comprendre et gérer le niveau de risque inhérent au transfert d'informations et d'actifs physiques et virtuels entre l'organisation et ses fournisseurs.

Conformité – Les organisations doivent cartographier chaque étape du processus de transfert et sensibiliser le personnel aux risques associés au déplacement d’actifs et les informations d'une source à une autre.

13) Assurez-vous que les relations avec les fournisseurs prennent fin en gardant à l’esprit la sécurité des informations, notamment en supprimant les droits d’accès et la possibilité d’accéder aux informations de l’organisation.

Conformité – Vos équipes informatiques doivent bien comprendre comment révoquer l'accès d'un fournisseur à l'information, notamment :

• Analyse granulaire de tout domaine associé et/ou comptes cloud.
• Répartition de la propriété intellectuelle.
• Le portage des informations entre fournisseurs ou vers votre organisation.
• La gestion des dossiers.
• Restituer les actifs à leur propriétaire d'origine.
• Élimination adéquate des actifs physiques et virtuels, y compris les informations.
• Respect de toutes les exigences contractuelles, y compris les clauses de confidentialité et/ou les accords externes.

14) Décrivez précisément comment vous attendez du fournisseur qu'il se comporte en ce qui concerne les mesures de sécurité physiques et virtuelles.

Conformité – Les organisations doivent définir des attentes claires dès le début de toute relation commerciale, spécifiant comment le personnel du fournisseur doit se comporter lorsqu'il interagit avec votre personnel ou tout actif pertinent.

Conseils supplémentaires

L'ISO reconnaît qu'il n'est pas toujours possible d'imposer à un fournisseur un ensemble complet de politiques qui répondent à toutes les exigences de la liste ci-dessus, comme le prévoit le contrôle 5.19, en particulier lorsqu'il s'agit d'organisations rigides du secteur public.

Cela étant dit, le contrôle 5.19 indique clairement que les organisations doivent utiliser les directives ci-dessus lorsqu'elles établissent des relations avec des fournisseurs et envisager le non-respect au cas par cas.

Lorsqu'une conformité totale n'est pas réalisable, le contrôle 5.19 donne une marge de manœuvre aux organisations en recommandant des « contrôles compensatoires » qui permettent d'atteindre des niveaux adéquats de gestion des risques, en fonction des circonstances uniques d'une organisation.

Modifications par rapport à la norme ISO 27002:2013

27002:2022-5.19 remplace 27002:2013-5.1.1 (Politique de sécurité des informations pour les relations avec les fournisseurs).

27002:2022-5.19 adhère globalement aux mêmes concepts sous-jacents contenus dans le contrôle de 2013, mais contient plusieurs domaines d'orientation supplémentaires qui sont soit omis de 27002:2013-5.1.1, soit à tout le moins pas couverts avec autant de détails, y compris:

• La vérification des fournisseurs en fonction de leur type de fournisseur et de leur niveau de risque.
• La nécessité de garantir l’intégrité des informations des fournisseurs afin de sécuriser leurs propres données et d’assurer la continuité des activités.
• Les différentes étapes nécessaires à la fin d'une relation fournisseur, y compris la mise hors service des droits d'accès, la distribution de la propriété intellectuelle, les accords contractuels, etc.

27002:2022-5.19 reconnaît également explicitement la nature très variable des relations avec les fournisseurs (en fonction du type, du secteur et du niveau de risque) et donne aux organisations une certaine marge de manœuvre lorsqu'elles envisagent la possibilité de non-conformité à un point d'orientation donné, en fonction de la nature de la relation (voir « Orientations supplémentaires » ci-dessus).

Comment ISMS.online vous aide

En utilisant ISMS.en ligne vous pouvez:

• Mettre en œuvre rapidement un Système de gestion de la sécurité de l'information (SMSI).
• Gérez facilement la documentation de votre SMSI.
• Rationalisez la conformité à toutes les normes pertinentes.
• Gérez tous les aspects de la sécurité des informations, de la gestion des risques à la formation de sensibilisation à la sécurité.
• Communiquez efficacement au sein de votre organisation grâce à notre fonctionnalité de communication intégrée.

Il suffit de créer un compte d'essai gratuit et de suivre les étapes que nous vous proposons.

Contactez-nous dès aujourd'hui pour réserver une démo.