Contrôle 5.21 – Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC

Orientations générales sur le contrôle 5.21

L'ISO stipule 13 points d'orientation liés aux TIC qui doivent être pris en compte aux côtés de tout autre contrôle qui dicte la relation d'une organisation avec son(ses) fournisseur(s).

Compte tenu de l’expansion des services multiplateformes sur site et cloud au cours de la dernière décennie, Control 5.21 s’occupe de la fourniture à la fois de matériel et ,software-composants et services associés (à la fois sur site et basés sur le cloud), et fait rarement une distinction entre les deux.

Outre la relation entre le fournisseur et l'organisation, plusieurs contrôles portent également sur les obligations d'un fournisseur lorsqu'il sous-traite des éléments de la chaîne d'approvisionnement à des organisations tierces.

1. Les organisations doivent rédiger un ensemble clair de sécurité de l'information normes qui s'appliquent à leurs besoins individuels, pour définir des attentes claires sur la manière dont les fournisseurs doivent se comporter lorsqu'ils fournissent des produits et services TIC.
2. Si le fournisseur de TIC sous-traite un élément de la chaîne d'approvisionnement, il doit prendre des mesures pour garantir que les sous-traitants et leur personnel connaissent parfaitement les normes uniques de sécurité de l'information de l'organisation.
3. S'il est nécessaire d'acquérir des composants (physiques ou virtuels) achetés auprès d'un tiers, le fournisseur doit diffuser les exigences de sécurité de l'organisation à tous les vendeurs ou fournisseurs qu'il utilise lui-même.
4. Il convient de demander aux fournisseurs de fournir des informations sur la nature et la fonction des composants logiciels qu'ils utilisent pour fournir un service à l'organisation.
5. Les organisations doivent identifier les fonctions de sécurité sous-jacentes de tout produit ou service fourni, et comment exploiter ledit produit ou service de manière à ce que ne compromet pas la sécurité des informations.
6. Les organisations ne doivent pas prendre les niveaux de risque pour acquis et rédiger des procédures garantissant que les produits ou services fournis par un fournisseur sont de nature sécurisée et conformes aux normes acceptées de l'industrie. Les méthodes peuvent inclure des contrôles de certification, des tests internes et des documents de conformité à l’appui.
7. Lors de la réception d'un produit ou d'un service, les organisations doivent adhérer à un processus consistant d'abord à identifier puis à enregistrer tous les éléments jugés essentiels au maintien des fonctionnalités de base, en particulier si ces composants proviennent d'un accord de sous-traitance/d'externalisation.
8. Les fournisseurs doivent être en mesure de fournir des assurances concrètes que les « composants critiques » bénéficient d'une évaluation approfondie. journal d'audit qui retrace leur mouvement tout au long de la chaîne d'approvisionnement des TIC, de la création à la livraison.
9. Au fur et à mesure que les produits et services TIC sont fournis, les organisations doivent rechercher l'assurance catégorique que lesdits produits et services non seulement fonctionnent dans le cadre de leur portée, mais ne contiennent pas de fonctionnalités supplémentaires pouvant présenter une garantie. risque de sécurité.
10. Les spécifications des composants sont essentielles pour garantir qu'une organisation comprend les composants matériels et logiciels qu'elle introduit sur son réseau. Les fournisseurs doivent envisager des mesures anti-falsification tout au long du cycle de développement, et les organisations doivent exiger des stipulations qui vérifient la légitimité des composants à la livraison.
11. Des assurances doivent être recherchées pour confirmer que les produits TIC sont conformes aux normes industrielles et/ou spécifiques au secteur. exigences de sécurité, en fonction de chaque produit. Les méthodes courantes pour y parvenir incluent l'obtention d'un niveau minimum de certification de sécurité formelle ou l'adhésion à un ensemble de normes d'information internationalement reconnues (telles que l'accord de reconnaissance des critères communs) par produit.
12. Les organisations devraient prendre des mesures pour garantir que les fournisseurs sont au courant de leurs obligations lors du partage d'informations et/ou de données concernant le fonctionnement mutuel de la chaîne d'approvisionnement, y compris la reconnaissance de tout conflit ou problème potentiel pouvant survenir entre les deux parties, et la manière de les traiter à la source.
13. Les organisations doivent rédiger des procédures qui gèrent les risques lorsqu'elles fonctionnent avec des composants indisponibles, non pris en charge ou existants, où qu'ils se trouvent. Lorsque les composants entrent dans l’une de ces catégories, les organisations doivent être capables de s’adapter en conséquence et d’identifier des alternatives.

Conseils supplémentaires

Il est important de noter que la gouvernance de la chaîne d'approvisionnement des TIC ne doit pas être considérée de manière isolée, conformément à ce contrôle. Control 5.21 est conçu pour compléter les procédures de gestion de la chaîne d'approvisionnement existantes et offrir un contexte pour les produits et services spécifiques aux TIC.

L'ISO reconnaît que, notamment lorsqu'il s'agit de composants logiciels, le contrôle qualité dans le domaine des produits et services TIC ne s'étend pas à une inspection granulaire de l'ensemble de procédures de conformité du fournisseur.

À ce titre, les organisations sont encouragées à identifier des contrôles spécifiques au fournisseur qui vérifient que le fournisseur est une « source fiable » et à rédiger des accords qui énoncent catégoriquement les obligations du fournisseur en matière de sécurité des informations, lors de l'exécution d'un contrat, d'une commande ou de la fourniture d'un service.

Contrôle 5.21 Modifications par rapport à la norme ISO 27002:2013

ISO 27002:2022-5.21 remplace ISO 27002:2013-15.1.3 (Chaîne d'approvisionnement des technologies de l'information et de la communication).

L'ISO 27002:2022-5.21 adhère au même ensemble de règles générales d'orientation que l'ISO 27002:2013-15.1.3, mais met beaucoup plus l'accent sur l'obligation du fournisseur de fournir et de vérifier les informations relatives aux composants au point de livraison, notamment :

• Fournisseurs de TIC fournissant des informations sur les composants.
• Fournisseurs de TIC décrivant les fonctions de sécurité d'un produit et la meilleure façon de l'exploiter du point de vue de la sécurité.
• Assurances concernant les niveaux de sécurité requis.

ISO 27002:2022-5.21 demande également à l'organisation de créer des informations supplémentaires spécifiques aux composants pour augmenter les niveaux généraux de sécurité des informations lors de l'introduction de produits et de services, notamment :

• Identifier et documenter les composants essentiels à la fonctionnalité de base du produit ou du service.
• Garantir que les composants sont authentiques et inchangés.

Comment ISMS.online vous aide

At ISMS.en ligne, nous avons construit un système complet et facile à utiliser qui peut vous aider à mettre en œuvre les contrôles ISO 27002 et à gérer l'ensemble de votre SMSI.

Notre plateforme cloud offre :

• Un système de gestion de documentation facile à utiliser et à personnaliser.
• Accès à une bibliothèque de modèles de documentation raffinés et pré-écrits.
• Un processus simplifié pour réaliser des audits internes.
• Une méthode efficace pour communiquer avec la direction et les parties prenantes.
• Un module de workflow pour rationaliser le processus de mise en œuvre.

ISMS.online possède toutes ces fonctionnalitéset plus encore.

Contactez-nous dès aujourd'hui pour réserver une démo.