ISO 27002 : 2022 – Contrôle 5.22 – Surveillance, révision et gestion du changement des services des fournisseurs

Objectif du contrôle 5.22

Le contrôle 5.22 stipule les méthodes que les organisations doivent adopter pour surveiller, examiner et gérer les changements dans les pratiques de sécurité de l'information et les normes de prestation de services d'un fournisseur, et évaluer l'impact sur les propres niveaux de sécurité de l'information de l'organisation.

Lors de la gestion du relation avec leurs fournisseurs, une organisation doit chercher à maintenir un niveau de base de sécurité des informations qui adhère à tous les accords conclus.

5.22 est un contrôle préventif qui modifie le risque en maintenant un « niveau convenu de sécurité de l’information et de prestation de services » de la part du fournisseur.

Attributs du contrôle 5.22

Propriété du contrôle 5.22

La propriété du contrôle 5.22 devrait appartenir à un membre de l'équipe senior. direction qui supervise les opérations commerciales d’une organisation, et entretient une relation directe avec les fournisseurs d'une organisation, comme un Chef de la direction des opérations.

Orientations générales sur le contrôle 5.22

Le contrôle 5.22 contient 13 domaines principaux qui les organisations ont besoin à prendre en compte lors de la gestion des relations avec les fournisseurs, et l'effet qu'elles ont sur leurs propres normes de sécurité de l'information.

Les organisations doivent prendre des mesures pour garantir que les employés responsables de la gestion des SLA et des relations avec les fournisseurs disposent des niveaux de compétences et de ressources techniques requis pour pouvoir évaluer correctement les performances des fournisseurs, et que les normes de sécurité des informations ne sont pas enfreintes.

Les organisations doivent rédiger des politiques et des procédures qui :

1. Surveillez constamment les niveaux de service conformément aux SLA publiés, et toute lacune est comblée.
2. Surveiller toutes les modifications apportées par le fournisseur à ses propres opérations, y compris (mais sans s'y limiter) :

   a) Améliorations des services
   b) L’introduction de nouvelles applications, systèmes ou processus logiciels
   c) Révisions pertinentes et significatives des documents de gouvernance interne des fournisseurs
   d) Toutes la gestion des incidents changements de procédure ou efforts visant à accroître les niveaux de sécurité de l’information

3. Surveillez toutes les modifications spécifiques au service, y compris (mais sans s'y limiter) :

   a) Modifications des infrastructures
   b) L'application des technologies émergentes
   c) Le déploiement de mises à jour de produits ou de mises à niveau de version
   d) Changements dans l'environnement de développement
   e) Modifications logistiques et physiques des installations des fournisseurs, y compris de nouveaux emplacements
   f) Tout changement concernant les partenaires d'externalisation ou les sous-traitants
   g) L’intention de sous-traiter, là où cette pratique n’existait pas auparavant

4. Demandez des rapports de service réguliers, analysez les données et assistez aux réunions d'examen conformément aux niveaux de prestation de services convenus.
5. Auditer les partenaires d’externalisation et les sous-traitants et poursuivre tout sujet de préoccupation.
6. Examiner les incidents de sécurité conformément aux normes et pratiques convenues en matière de gestion des incidents et à l'accord du fournisseur.
7. Tenir un registre complet des événements de sécurité de l'information, des problèmes opérationnels tangibles, des journaux de pannes et des obstacles généraux aux normes de prestation de services qui ont été convenues.
8. Répondre de manière proactive et prendre des mesures correctives face aux événements liés à la sécurité des informations.
9. Mettez en surbrillance n'importe quel vulnérabilités en matière de sécurité de l'information et les atténuer au maximum.
10. Analyser tous les facteurs pertinents de sécurité de l'information inhérents à la relation fournisseur avec ses propres fournisseurs et sous-traitants.
11. Veiller à ce que la prestation de services soit assurée à des niveaux acceptables après une perturbation importante du côté du fournisseur, y compris la reprise après sinistre.
12. Décrivez le personnel clé des opérations du fournisseur qui est responsable du maintien de la conformité et du respect des termes d'un accord.
13. Auditer régulièrement la capacité d'un fournisseur à maintenir une norme de base en matière de sécurité des informations.

Contrôles pris en charge

• 5.29
• 5.30
• 5.35
• 5.36
• 8.14

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

ISO 27002 la mise en œuvre est plus simple grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus, depuis la définition de la portée de votre SMSI jusqu'à l'identification des risques et la mise en œuvre des contrôles.

Certains des principaux avantages de l’utilisation d’ISMS.online incluent :

• Vous pouvez construisez votre SMSI conforme à la norme ISO 27001 au sein de la plateforme.
• Les utilisateurs peuvent effectuer des tâches et soumettre des preuves pour démontrer leur conformité à la norme.
• Il est facile de déléguer des responsabilités et de suivre les progrès vers la conformité.
• L’ensemble complet d’outils d’évaluation des risques permet d’économiser du temps et des efforts tout au long du processus.
• Nous avons un une équipe de consultants à votre disposition pour vous accompagner tout au long de votre parcours vers la conformité.

Contactez-nous dès aujourd'hui pour réserver une démo.