Politika sigurnosti dobavljača i trećih strana

Politika sigurnosti dobavljača i trećih strana (P26) pruža sveobuhvatan okvir upravljanja za uspostavu, upravljanje i kontinuirani nadzor sigurnih odnosa s dobavljačima trećih strana, izvođačima, pružateljima usluga u oblaku i uslužnim organizacijama. Ova je politika namijenjena organizacijama koje su posvećene održavanju strogih standarda informacijske sigurnosti pri izdvojenim uslugama ili nabavi usluga koje pristupaju, obrađuju ili se integriraju s kritičnim poslovnim resursima i sustavima. Politika se primjenjuje na sve angažmane dobavljača koji uključuju osjetljive podatke, produkcijsko okruženje ili podršku ključnim poslovnim funkcijama, obuhvaćajući i izravne dobavljače i njihove podizvođače. Definira detaljne uloge i odgovornosti za glavnog službenika za informacijsku sigurnost (CISO), Nabavu i upravljanje dobavljačima, voditelje informacijske sigurnosti i rizika, vlasnike poslovnih odnosa te funkcije Pravni poslovi i usklađenost. Svaka uloga doprinosi sigurnom upravljanju životnim ciklusom dobavljača, od početne procjene rizika i pregovora o ugovoru do kontinuiranog praćenja i sigurnog razdruživanja. Središnji zahtjev politike je formalni model klasifikacije trećih strana i razvrstavanja rizika po razinama, kojim se dobavljači grupiraju prema pristupu podacima, kritičnosti usluge, regulatornim izloženostima i ovisnostima o trećim stranama. Svi angažmani trećih strana moraju slijediti definirani pristup životnog ciklusa: dobavljači prolaze dubinsku analizu dobavljača prije ugovaranja, procjenu rizika i ugovorni sigurnosni pregled; ugovori moraju sadržavati provedive sigurnosne kontrole, uključujući obavješćivanje o povredi, prava na reviziju, postupanje s podacima te specifične zahtjeve za korištenje podizvođača. Nakon toga se dobavljači kontinuirano prate kroz certifikacije, uspješnost, sporazume o razini usluge (SLA), prijavljivanje sigurnosnih incidenata te promjene njihovih usluga ili osoblja. Ako dobavljač ne može u potpunosti ispuniti sigurnosne zahtjeve, politika propisuje formalni postupak podnošenja zahtjeva za iznimkom, uz dokumentaciju, kompenzacijske kontrole i odobrenje najvišeg rukovodstva. Status iznimke pokreće učestalije preglede te može rezultirati ponovno pregovorenim uvjetima ili dodatnim revizijama. Dobavljači za koje se utvrdi nesukladnost suočavaju se s ugovornim kaznama, suspenzijom ili prestankom usluga i pristupa. Stroga provedba osigurava se kroz planirane revizije usklađenosti, preglede uspješnosti dobavljača i disciplinske mjere za interno zaobilaženje politike. Politika se preispituje najmanje jednom godišnje ili pri značajnim promjenama u strategiji nabave, regulatornom okruženju ili nakon većih incidenata dobavljača. Sve izmjene i ishodi revizije dokumentiraju se i komuniciraju u cijeloj organizaciji, čime se održava potpuno sljediv i usklađen program upravljanja trećim stranama.