Harmadik fél és beszállítói biztonsági szabályzat

A Harmadik fél és beszállítói biztonsági szabályzat (P26) átfogó irányítási keretrendszert biztosít a harmadik fél beszállítókkal, vállalkozókkal, felhőszolgáltatókkal és szolgáltató szervezetekkel fennálló biztonságos kapcsolatok létrehozásához, kezeléséhez és folyamatos felügyeletéhez. A szabályzat azon szervezetek számára készült, amelyek elkötelezettek a szigorú információbiztonsági szabványok fenntartása mellett, amikor olyan szolgáltatásokat szerveznek ki vagy szereznek be, amelyek hozzáférnek, feldolgoznak vagy integrálódnak kritikus üzleti eszközökhöz és rendszerekhez. A szabályzat minden olyan beszállítói együttműködésre vonatkozik, amely érzékeny adatokat, éles környezetet vagy kulcsfontosságú üzleti funkciók támogatását érinti, lefedve mind a közvetlen beszállítókat, mind azok alvállalkozóit. Részletes szerepköröket és felelősségeket határoz meg az információbiztonsági vezető (CISO), a beszerzés és beszállítókezelés, az információbiztonsági és kockázati vezetők, az üzleti kapcsolattulajdonosok, valamint a jogi és megfelelési funkciók számára. Minden szerepkör hozzájárul a beszállítók biztonságos életciklus-kezeléséhez, a kezdeti kockázatértékeléstől és szerződéses tárgyalástól a folyamatos monitorozásig és a biztonságos leválásig. A szabályzat központi eleme egy formális harmadik fél osztályozási és kockázati szintezési modell követelménye, amely a beszállítókat az adathozzáférés, a szolgáltatás kritikussága, a szabályozási kitettségek és a harmadik felektől való függőségek alapján csoportosítja. Minden harmadik féllel kapcsolatos együttműködésnek egy meghatározott életciklus-megközelítést kell követnie: a beszállítók szerződéskötés előtti beszállítói átvilágításon, kockázatértékelésen és szerződéses biztonsági felülvizsgálaton esnek át; a szerződéseknek kikényszeríthető biztonsági kontrollokkal kell rendelkezniük, beleértve a bejelentésköteles incidensek bejelentését, az auditálási jogot, az adatkezelést, valamint az alvállalkozók igénybevételére vonatkozó konkrét követelményeket. Ezt követően a beszállítókat folyamatosan monitorozzák tanúsítások, SLA-teljesítmény, információbiztonsági incidensbejelentés és a szolgáltatásaikban vagy személyzetükben bekövetkező változások alapján. Ha egy beszállító nem tudja teljes mértékben teljesíteni a biztonsági követelményeket, a szabályzat formális kivételkérelmet ír elő, dokumentációval, kompenzáló kontrollokkal és vezetői jóváhagyással. A kivétel státusz gyakoribb felülvizsgálatokat vált ki, és újratárgyalt feltételekhez vagy kiegészítő auditokhoz vezethet. A meg nem felelő beszállítók szerződéses szankciókkal, felfüggesztéssel vagy a szolgáltatások és hozzáférések megszüntetésével szembesülnek. A szigorú érvényesítést ütemezett megfelelőségi auditok, beszállítói teljesítmény-felülvizsgálatok és a belső szabályzat-megkerülések esetén alkalmazott fegyelmi intézkedések biztosítják. A szabályzatot legalább évente, vagy a beszerzési stratégia, a szabályozási környezet jelentős változásai esetén, illetve jelentős beszállítói incidensek után felülvizsgálják. Minden változtatást és audit-eredményt dokumentálnak és a szervezet egészében kommunikálnak, fenntartva egy teljes mértékben nyomon követhető és megfelelőségi harmadik fél irányítási programot.