Politika sigurnosti dobavljača i trećih strana - SME

P26S – Politika sigurnosti dobavljača i trećih strana posebno je prilagođena za SME, odražavajući strukturu upravljanja u kojoj namjenske IT uloge poput glavnog službenika za informacijsku sigurnost (CISO) ili centra za sigurnosne operacije (SOC) tipično ne postoje. Umjesto toga, odgovornost je centralizirana pod glavnim izvršnim direktorom (GM), čime se pojednostavljuje odgovornost uz zadržavanje snažne usklađenosti s ISO/IEC 27001:2022 i drugim ključnim regulatornim okvirima. Ovaj dizajn osigurava robustan sigurnosni nadzor čak i za manje organizacije bez specijaliziranog osoblja. Glavna svrha politike je formalizirati i provoditi ključne sigurnosne mjere pri angažiranju, upravljanju ili prestanku odnosa s trećim stranama i dobavljačima koji komuniciraju s podacima, sustavima ili uslugama organizacije ili na njih utječu. Obuhvaćeni dobavljači uključuju IT i pružatelje usluga treće strane, pružatelje usluga u oblaku, razvijatelje softvera te savjetnike za odjel ljudskih resursa ili financijsko osoblje. Razjašnjavanjem sigurnosnih očekivanja, dokumentiranjem rizika dobavljača prije dodjele pristupa i zahtijevanjem provedivih ugovornih zaštitnih mjera, politika smanjuje rizike od curenja podataka, neodobrenih izmjena sustava, regulatornih prekršaja i prekida poslovanja. Politika izričito definira svoj opseg tako da uključuje sve treće strane s potencijalnim pristupom organizacijskim informacijskim sustavima i korporativnoj IT imovini, kao i interno svo osoblje uključeno u odabir dobavljača, nadzor, uvođenje dobavljača, ugovaranje ili pregled. Centralizirane uloge uključuju glavnog izvršnog direktora, IT pružatelja ili internu sigurnosnu kontaktnu osobu te kontakte iz nabave ili administracije, čime se osigurava jasna odgovornost kroz životni ciklus dobavljača. Dobavljač je obvezan pisanim putem pristati na poštivanje obveza sigurnosti i prijavljivanje incidenata. Ključni zahtjevi upravljanja obuhvaćaju preglede rizika dobavljača prije angažmana, obvezne sigurnosne klauzule u svim ugovorima, održavanje detaljnog registra dobavljača te postupke za praćenje promjena vlasništva, opsega usluge ili podugovaranja. Koraci implementacije zahtijevaju da se nijednom dobavljaču nikada ne dodijeli pristup prije dubinske analize dobavljača i bez izričitog odobrenja, da se dodjeljuje samo minimalni pristup sustavima/podacima te da je sav prijenos podataka pravilno šifriran. Kontinuirani zahtjevi uključuju periodičnu reviziju i pregled, najmanje godišnje za dobavljače visokog rizika, uz stroge postupke za prestanak ugovora i ukidanje pristupa. Politika integrira strukturirani proces za obradu rizika i upravljanje iznimkama, osiguravajući da se sve praznine upravljaju kompenzacijskim kontrolama te da nijedna iznimka ne može kršiti pravne obveze ili regulatorne obveze (npr. zahtjeve GDPR-a ili DORA-e). Provedba je jasno opisana, s navedenim sankcijama do i uključujući prestanak ugovora i pravne radnje. Spremnost za reviziju ugrađena je kroz zahtjev za dokumentacijom dovoljnom za prolazak revizija prema ISO 27001, GDPR-u i povezanim standardima. Konačno, godišnji ciklus pregleda i povezanost s blisko povezanim politikama informacijske sigurnosti osiguravaju da politika ostane aktualna, učinkovita i integrirana u širi okvir sigurnosti.