Trečiųjų šalių ir tiekėjų saugumo politika – SME

P26S – Trečiųjų šalių ir tiekėjų saugumo politika yra specialiai pritaikyta SME, atspindint valdysenos struktūrą, kurioje paprastai nėra dedikuotų IT vaidmenų, tokių kaip vyriausiasis informacijos saugumo pareigūnas (CISO) ar Saugumo operacijų centras (SOC). Vietoje to atsakomybė centralizuojama vyriausiajam vykdomajam pareigūnui (GM), supaprastinant atskaitomybę ir išlaikant tvirtą atitiktį ISO/IEC 27001:2022 ir kitiems pagrindiniams reglamentavimo reikalavimams. Toks dizainas užtikrina patikimą saugumo priežiūrą net mažesnėms organizacijoms be specializuoto personalo. Pagrindinis politikos tikslas – formalizuoti ir užtikrinti esmines saugumo priemones, kai įtraukiami, valdomi ar nutraukiami santykiai su trečiosiomis šalimis ir tiekėjais, kurie sąveikauja su organizacijos duomenimis, sistemomis ar paslaugomis arba daro joms poveikį. Apimami tiekėjai – nuo IT ir debesijos paslaugų teikėjų iki programinės įrangos kūrėjų ir personalo skyriaus ar finansų konsultantų. Aiškiai apibrėžiant saugumo lūkesčius, dokumentuojant tiekėjų rizikas prieš suteikiant prieigą ir reikalaujant vykdytinų sutartinių apsaugos priemonių, politika mažina duomenų nutekėjimo, nepatvirtintų sistemų pakeitimų, reglamentavimo pažeidimų ir veiklos sutrikdymo riziką. Politika aiškiai apibrėžia taikymo sritį, įtraukdama tiek visas trečiąsias šalis, galinčias turėti prieigą prie organizacijos turto, tiek vidinį personalą, dalyvaujantį tiekėjų atrankoje, priežiūroje, tiekėjų įtraukime, sutarčių sudaryme ar peržiūroje. Centralizuoti vaidmenys apima vyriausiąjį vykdomąjį pareigūną, IT paslaugų teikėją arba vidinį saugumo kontaktą ir pirkimų ar administracinius kontaktus, užtikrinant aiškią atskaitomybę per visą tiekėjo gyvavimo ciklą. Tiekėjas privalo raštu sutikti laikytis saugumo įsipareigojimų ir pranešti apie incidentus. Pagrindiniai valdysenos reikalavimai apima tiekėjų rizikos peržiūras prieš įtraukimą, privalomas saugumo sąlygas visose sutartyse, detalaus tiekėjų registro palaikymą ir procedūras, skirtas stebėti nuosavybės, paslaugų apimties ar subrangos pokyčius. Įgyvendinimo žingsniai reikalauja, kad nė vienam tiekėjui nebūtų suteikiama prieiga prieš tiekėjų deramą patikrinimą ir be aiškaus patvirtinimo, kad būtų suteikiama tik minimali sistemų / duomenų prieiga ir kad visi duomenų perdavimai būtų tinkamai šifruojami. Nuolatiniai reikalavimai apima periodinį auditą ir peržiūrą, bent kasmet didelės rizikos tiekėjams, taip pat griežtas sutarčių nutraukimo ir prieigos teisių atšaukimo procedūras. Politika integruoja struktūrizuotą rizikos tvarkymo ir išimčių procesą, užtikrindama, kad bet kokie trūkumai būtų valdomi kompensacinėmis kontrolės priemonėmis ir kad jokia išimtis negalėtų pažeisti teisinių ar reglamentavimo įpareigojimų (pvz., GDPR ar DORA reikalavimų). Vykdymo užtikrinimas aprašytas aiškiai, numatant sankcijas iki sutarties nutraukimo ir teisinių veiksmų. Pasirengimas auditui yra integruotas, reikalaujant dokumentacijos, pakankamos auditams pagal ISO 27001, GDPR ir susijusius standartus. Galiausiai, metinis peržiūros ciklas ir sąsajos su glaudžiai susijusiomis informacijos saugumo politikomis užtikrina, kad politika išliktų aktuali, veiksminga ir integruota į platesnę saugumo sistemą.