Kolmandate osapoolte ja tarnijate turbepoliitika

Kolmandate osapoolte ja tarnijate turbepoliitika (P26) pakub terviklikku juhtimisraamistikku turvaliste suhete loomiseks, haldamiseks ja pidevaks järelevalveks kolmanda osapoole tarnijate, töövõtjate, pilveteenuseosutajate ja teenuseorganisatsioonidega. See poliitika on mõeldud organisatsioonidele, kes on pühendunud rangete infoturbe standardite säilitamisele, kui teenuseid sisse ostetakse või hangitakse ning need teenused pääsevad ligi kriitilistele ärivaradele ja süsteemidele, töötlevad neid või integreeruvad nendega. Poliitika kehtib kõigile tarnijasuhetele, mis hõlmavad tundlikke andmeid, tootmiskeskkondi või võtmetähtsusega ärifunktsioonide tuge, hõlmates nii otseseid tarnijaid kui ka nende alltöövõtjaid. See kirjeldab üksikasjalikult rollid ja vastutused infoturbejuhile, hanke- ja tarnijahaldusfunktsioonidele, infoturbe- ja riskijuhtidele, ärisuhete omanikele ning õigus- ja vastavusfunktsioonidele. Iga roll panustab tarnijate turvalisse elutsükli haldusse alates esmasest riskihindamisest ja lepingu läbirääkimistest kuni pideva seire ja turvalise lõpetamiseni. Poliitika keskmes on nõue ametliku kolmanda osapoole klassifitseerimise ja riskide tasemetesse jaotamise mudeli järele, mis rühmitab tarnijaid andmetele juurdepääsu, teenuse kriitilisuse, regulatiivse kokkupuute ja kolmandate osapoolte sõltuvuste alusel. Kõik kolmanda osapoole suhted peavad järgima määratletud elutsükli lähenemist: tarnijad läbivad lepingueelse tarnija hoolsuskontrolli, riskihindamise ja lepingulise turbeülevaatuse; lepingud peavad sisaldama jõustatavaid turvakontrolle, sh rikkumisest teavitamist, auditeerimisõiguse tingimusi, andmekäitlust ning konkreetseid nõudeid alltöövõtjate kasutamisele. Seejärel seiratakse tarnijaid pidevalt sertifitseerimiste, teenustaseme lepingute (SLA-de) toimivuse, turbeintsidentidest teavitamise ja nende teenuste või personali muudatuste kaudu. Kui tarnija ei suuda turvanõudeid täielikult täita, nõuab poliitika ametlikku eranditaotlust koos dokumentatsiooni, kompenseerivate kontrollimeetmete ja juhtkonna heakskiiduga. Erandi staatus käivitab sagedased ülevaatused ning võib viia tingimuste ümberläbirääkimiseni või täiendavate audititeni. Tarnijad, kelle puhul tuvastatakse mittevastavus, seisavad silmitsi lepinguliste sanktsioonide, peatamise või teenuste ja juurdepääsu lõpetamisega. Range jõustamine tagatakse ajastatud vastavusauditite, tarnijate tulemuslikkuse ülevaatuste ja distsiplinaarmeetmetega sisemiste poliitikast möödahiilimise juhtumite korral. Poliitika vaadatakse läbi vähemalt kord aastas või oluliste muudatuste korral hankestrateegias, regulatiivses keskkonnas või pärast suuremaid tarnijaintsidente. Kõik muudatused ja auditi tulemused dokumenteeritakse ja edastatakse kogu organisatsioonis, säilitades täielikult jälgitava ja nõuetele vastava kolmandate osapoolte juhtimisprogrammi.