Trečiųjų šalių ir tiekėjų saugumo politika

Trečiųjų šalių ir tiekėjų saugumo politika (P26) pateikia išsamią valdysenos sistemą, skirtą sukurti, valdyti ir nuolat prižiūrėti saugius santykius su trečiųjų šalių tiekėjais, rangovais, debesijos paslaugų teikėjais ir paslaugų organizacijomis. Ši politika skirta organizacijoms, siekiančioms išlaikyti griežtus informacijos saugumo standartus, kai paslaugos yra išorinės arba įsigyjamos ir jos turi prieigą prie kritinių verslo turtų ir sistemų, juos tvarko arba su jais integruojasi. Politika taikoma visiems tiekėjų įsitraukimams, susijusiems su jautriais duomenimis, gamybos aplinka arba pagrindinių verslo funkcijų palaikymu, apimant tiek tiesioginius tiekėjus, tiek jų subrangovus. Joje apibrėžiami išsamūs vaidmenys ir atsakomybės vyriausiajam informacijos saugumo pareigūnui (CISO), pirkimams ir tiekėjų valdymui, informacijos saugumo ir rizikos vadovams, verslo santykių savininkams bei teisės ir atitikties funkcijoms. Kiekvienas vaidmuo prisideda prie saugaus tiekėjų gyvavimo ciklo valdymo – nuo pradinio rizikos vertinimo ir sutarčių derybų iki nuolatinės stebėsenos ir saugaus atsitraukimo. Politikos pagrindas – reikalavimas turėti formalų trečiųjų šalių klasifikavimo ir rizikos suskirstymo į lygius modelį, grupuojant tiekėjus pagal duomenų prieigą, paslaugos kritiškumą, reglamentavimo ekspozicijas ir priklausomybę nuo trečiųjų šalių. Visi trečiųjų šalių įsitraukimai turi laikytis apibrėžto gyvavimo ciklo požiūrio: tiekėjai atlieka priešsutartinį tiekėjų deramą patikrinimą, rizikos vertinimą ir sutartinę saugumo peržiūrą; sutartyse turi būti numatytos vykdytinos saugumo kontrolės priemonės, įskaitant praneštinus pažeidimus, teises atlikti auditą, duomenų tvarkymą ir konkrečius reikalavimus dėl subrangovų naudojimo. Vėliau tiekėjai nuolat stebimi per sertifikatus, paslaugų lygio susitarimų (SLA) veiklos rodiklius, saugumo incidentų pranešimo kanalą ir paslaugų ar personalo pokyčius. Jei tiekėjas negali visiškai atitikti saugumo reikalavimų, politika numato formalų išimties prašymo procesą, su dokumentacija, kompensacinėmis kontrolės priemonėmis ir vykdomosios vadovybės patvirtinimu. Išimties būsena sukelia dažnesnes peržiūras ir gali lemti perderėtas sąlygas arba papildomus auditus. Tiekėjai, kuriems nustatoma neatitiktis, susiduria su sutartinėmis sankcijomis, paslaugų ir prieigos sustabdymu arba nutraukimu. Griežtas vykdymo užtikrinimas užtikrinamas per suplanuotus atitikties auditus, tiekėjų veiklos peržiūras ir drausmines priemones už vidinius politikos apėjimus. Politika peržiūrima bent kartą per metus arba įvykus reikšmingiems pirkimų strategijos, reglamentavimo aplinkos pokyčiams arba po didelių tiekėjų incidentų. Visi pakeitimai ir audito rezultatai dokumentuojami ir komunikuojami visoje organizacijoje, išlaikant visiškai atsekamą ir atitiktį užtikrinančią trečiųjų šalių valdysenos programą.