Tredjeparts- og leverandørsikkerhedspolitik

Tredjeparts- og leverandørsikkerhedspolitik (P26) giver et omfattende styringsrammeværk til at etablere, styre og løbende føre tilsyn med sikre relationer med tredjepartsleverandører, kontrahenter, cloud-udbydere og serviceorganisationer. Denne politik er designet til organisationer, der er forpligtet til at opretholde strenge standarder for informationssikkerhed ved udlicitering eller anskaffelse af tjenester, der tilgår, behandler eller integrerer med kritiske forretningsaktiver og systemer. Politikken gælder for alle leverandørengagementer, der involverer følsomme data, produktionsmiljøer eller understøttelse af centrale forretningsfunktioner, og dækker både direkte leverandører og deres underleverandører. Den beskriver detaljerede roller og ansvar for informationssikkerhedschef (CISO), indkøb og leverandørstyring, informationssikkerhed og risikofunktioner, ejere af forretningsrelationer samt juridisk og compliance-funktionerne. Hver rolle bidrager til sikker livscyklusstyring af leverandører – fra indledende risikovurdering og kontraktforhandling til løbende overvågning og sikker frakobling. Centralt i politikken er kravet om en formel model for tredjepartsklassificering og risikoniveauinddeling, der grupperer leverandører baseret på dataadgang, tjenestekritikalitet, regulatoriske eksponeringer og tredjepartsafhængigheder. Alle tredjepartsengagementer skal følge en defineret livscyklustilgang: Leverandører gennemgår leverandør-due diligence før kontrakt, risikovurdering og kontraktlig sikkerhedsgennemgang; kontrakter skal være udstyret med håndhævelige sikkerhedskontroller, herunder underretning om brud, vilkår for revisionsret, datahåndtering og specifikke krav til brug af underleverandører. Leverandører overvåges derefter løbende gennem certificeringer, SLA-præstation, hændelsesrapportering og ændringer i deres tjenester eller personale. Hvis en leverandør ikke fuldt ud kan opfylde sikkerhedskrav, kræver politikken en formel proces for undtagelsesanmodninger med dokumentation, kompenserende kontroller og godkendelse fra øverste ledelse. Undtagelsesstatus udløser hyppige gennemgange og kan resultere i genforhandlede vilkår eller supplerende revisioner. Leverandører, der konstateres at være i tredjeparts manglende overholdelse, møder kontraktlige sanktioner, suspension eller ophør af tjenester og adgang. Streng håndhævelse sikres gennem planlagte compliance-audits, leverandørpræstationsgennemgange og disciplinære foranstaltninger for interne omgåelser af politikken. Politikken gennemgås mindst årligt eller ved væsentlige ændringer i indkøbsstrategien, det regulatoriske landskab eller efter større leverandørhændelser. Alle ændringer og revisionsresultater dokumenteres og kommunikeres på tværs af organisationen, hvilket opretholder et fuldt sporbar og compliant tredjepartsstyringsprogram.