Trešo pušu un piegādātāju drošības politika

Trešo pušu un piegādātāju drošības politika (P26) nodrošina visaptverošu pārvaldības ietvaru drošu attiecību izveidei, pārvaldībai un nepārtrauktai uzraudzībai ar trešo pušu piegādātājiem, līgumslēdzējiem, mākoņpakalpojumu sniedzējiem un pakalpojumu organizācijām. Šī politika ir paredzēta organizācijām, kas ir apņēmušās uzturēt stingrus informācijas drošības standartus ārpakalpojumu ietvaros vai iepērkot pakalpojumus, kas piekļūst kritiski svarīgām sistēmām, apstrādā tās vai integrējas ar tām. Politika attiecas uz visām piegādātāju iesaistēm, kas ietver sensitīvus datus, ražošanas vidi vai atbalstu galvenajām biznesa funkcijām, aptverot gan tiešos piegādātājus, gan to apakšuzņēmējus. Tā nosaka detalizētas lomas un pienākumus Galvenajam informācijas drošības vadītājam (CISO), iepirkumam un piegādātāju pārvaldībai, informācijas drošības un risku vadītājiem, biznesa attiecību īpašniekiem, kā arī juridisko lietu un atbilstības funkcijām. Katra loma veicina piegādātāju drošu dzīves cikla pārvaldību — no sākotnējā riska novērtējuma un līguma sarunām līdz pastāvīgai uzraudzībai un drošai attiecību izbeigšanai. Politikas centrā ir prasība pēc formāla trešo pušu klasifikācijas un riska līmeņu iedalīšanas modeļa, grupējot piegādātājus pēc datu piekļuves, pakalpojuma kritiskuma, regulatīvās ekspozīcijas un trešo pušu atkarības. Visām trešo pušu iesaistēm jāievēro definēta dzīves cikla pieeja: piegādātāji veic pirmslīguma pienācīgu pārbaudi, riska novērtēšanu un līgumisko drošības pārskatīšanu; līgumiem jābūt aprīkotiem ar izpildāmiem drošības kontroles pasākumiem, tostarp paziņošanu par pārkāpumiem, audita tiesību noteikumiem, datu apstrādi, kā arī specifiskām prasībām apakšuzņēmēju izmantošanai. Pēc tam piegādātāji tiek nepārtraukti uzraudzīti, izmantojot sertifikācijas, SLA veiktspēju, drošības incidentu ziņošanu un izmaiņas to pakalpojumos vai personālā. Ja piegādātājs nevar pilnībā izpildīt drošības prasības, politika nosaka formālu izņēmuma pieprasījumu, iekļaujot dokumentāciju, kompensējošās kontroles un izpildu vadības apstiprinājumu. Izņēmuma statuss aktivizē biežus pārskatus un var izraisīt pārskatītus nosacījumus vai papildu auditus. Piegādātāji, kas tiek atzīti par neatbilstošiem, saskaras ar līgumiskām sankcijām, apturēšanu vai pakalpojumu un piekļuves izbeigšanu. Stingra izpilde tiek nodrošināta, izmantojot plānotus atbilstības auditus, piegādātāju veiktspējas pārskatus un disciplināros pasākumus par iekšēju politikas apiešanu. Politika tiek pārskatīta vismaz reizi gadā vai būtisku izmaiņu gadījumā iepirkuma stratēģijā, normatīvajā vidē vai pēc būtiskiem piegādātāju incidentiem. Visas izmaiņas un auditu rezultāti tiek dokumentēti un izziņoti visā organizācijā, uzturot pilnībā izsekojamu un atbilstošu trešo pušu pārvaldības programmu.