Bezpečnostní politika dodavatelů a třetích stran

Bezpečnostní politika dodavatelů a třetích stran (P26) poskytuje komplexní rámec správy a řízení pro navazování, řízení a průběžný dohled nad bezpečnými vztahy s dodavateli třetích stran, dodavateli, cloudovými poskytovateli a poskytovateli služeb třetích stran. Tato politika je určena pro organizace, které se zavazují udržovat přísné standardy bezpečnosti informací při outsourcingu nebo pořizování služeb, které přistupují ke kritickým podnikovým aktivům a systémům, zpracovávají je nebo se s nimi integrují. Politika se vztahuje na všechny dodavatelské vztahy, které zahrnují citlivá data, produkční prostředí nebo podporu klíčových obchodních funkcí, a pokrývá jak přímé dodavatele, tak jejich subdodavatele. Vymezuje podrobné role a odpovědnosti pro ředitele informační bezpečnosti (CISO), pořizování a řízení dodavatelů, vedoucí bezpečnosti informací a řízení rizik, vlastníky obchodních vztahů a funkce právní a compliance. Každá role přispívá k bezpečnému řízení životního cyklu dodavatelů – od počátečního posouzení rizik a vyjednávání smluv až po průběžné monitorování a bezpečné ukončení spolupráce. Stěžejním požadavkem politiky je formální model klasifikace třetích stran a rozdělení rizik do úrovní, který seskupuje dodavatele podle přístupu k datům, kritičnosti služby, regulačních expozic a závislostí na třetích stranách. Všechny vztahy s třetími stranami musí dodržovat definovaný přístup životního cyklu: dodavatelé procházejí před uzavřením smlouvy prověrkou dodavatelů, posouzením rizik a smluvním přezkumem bezpečnosti; smlouvy musí být vybaveny vymahatelnými bezpečnostními opatřeními, včetně oznamovacích povinností při porušení zabezpečení dat, smluvních ustanovení o právu auditu, nakládání s daty a specifických požadavků na využívání subdodavatelů. Dodavatelé jsou následně průběžně monitorováni prostřednictvím certifikací, plnění dohody o úrovni služeb (SLA), hlášení incidentů a změn jejich služeb nebo personálu. Pokud dodavatel nemůže plně splnit bezpečnostní požadavky, politika nařizuje formální proces žádosti o výjimku, včetně dokumentace, kompenzačních opatření a schválení vrcholovým vedením. Stav výjimky spouští časté přezkumy a může vést k přejednání podmínek nebo doplňkovým auditům. Dodavatelé, u nichž je zjištěn nesoulad, čelí smluvním sankcím, pozastavení nebo ukončení služeb a přístupu. Přísné vynucování je zajištěno prostřednictvím plánovaných auditů souladu, přezkumů výkonnosti dodavatelů a disciplinárních opatření za interní obcházení politik. Politika je přezkoumávána nejméně jednou ročně nebo při významných změnách strategie pořizování, regulačního prostředí nebo po závažných incidentech dodavatelů. Všechny změny a výsledky auditu jsou dokumentovány a komunikovány napříč organizací, čímž je udržován plně dohledatelný a vyhovující program správy třetích stran.