Polityka bezpieczeństwa dostawców i stron trzecich

Polityka bezpieczeństwa dostawców i stron trzecich (P26) zapewnia kompleksowe ramy zarządzania dla ustanawiania, zarządzania i ciągłego nadzoru nad bezpiecznymi relacjami z zewnętrznymi dostawcami, wykonawcami, dostawcami usług stron trzecich w chmurze obliczeniowej oraz organizacjami usługowymi. Polityka jest przeznaczona dla organizacji, które dążą do utrzymania rygorystycznych standardów bezpieczeństwa informacji podczas outsourcingu lub pozyskiwania usług, które uzyskują dostęp do, przetwarzają lub integrują się z krytycznymi aktywami i systemami biznesowymi. Polityka ma zastosowanie do wszystkich współprac z dostawcami, które obejmują dane wrażliwe, środowisko produkcyjne lub wsparcie kluczowych funkcji biznesowych, obejmując zarówno bezpośrednich dostawców, jak i ich podwykonawców. Określa szczegółowe role i odpowiedzialności dla Dyrektora ds. bezpieczeństwa informacji (CISO), zakupów i należytej staranności wobec dostawców, kierowników ds. bezpieczeństwa informacji i ryzyka, właścicieli relacji biznesowych oraz funkcji prawo i zgodność. Każda rola wnosi wkład w bezpieczne zarządzanie cyklem życia dostawców — od wstępnej oceny ryzyka i negocjacji umowy po bieżące monitorowanie i bezpieczne zakończenie współpracy. Kluczowym elementem polityki jest wymóg formalnego modelu klasyfikacji stron trzecich i klasyfikacji ryzyka, grupującego dostawców na podstawie dostępu do danych, krytyczności usług, ekspozycji regulacyjnych oraz zależności od stron trzecich. Wszystkie współprace ze stronami trzecimi muszą stosować zdefiniowane podejście cyklu życia: dostawcy przechodzą due diligence przed zawarciem umowy, ocenę ryzyka oraz umowny przegląd bezpieczeństwa; umowy muszą zawierać egzekwowalne zabezpieczenia bezpieczeństwa, w tym powiadamianie o naruszeniach, prawo do audytu, postępowanie z danymi oraz szczegółowe wymagania dotyczące korzystania z podwykonawców. Następnie dostawcy są stale monitorowani poprzez certyfikacje, realizację umowy o poziomie usług (SLA), kanał zgłaszania incydentów bezpieczeństwa oraz zmiany w ich usługach lub personelu. Jeżeli dostawca nie może w pełni spełnić wymagań bezpieczeństwa, polityka wymaga formalnego procesu wnioskowania o odstępstwo, wraz z dokumentacją, kontrolami kompensacyjnymi oraz zatwierdzeniem przez najwyższe kierownictwo. Status odstępstwa uruchamia częste przeglądy i może skutkować renegocjacją warunków lub dodatkowymi audytami. Dostawcy uznani za niezgodnych podlegają karom umownym, zawieszeniu lub zakończeniu świadczenia usług oraz dostępu. Ścisłe egzekwowanie jest zapewniane poprzez zaplanowane audyty zgodności, przeglądy wydajności dostawców oraz środki dyscyplinarne za wewnętrzne omijanie polityki. Polityka jest przeglądana co najmniej corocznie lub po istotnych zmianach w strategii zakupów, otoczeniu regulacyjnym lub po poważnych incydentach dostawców. Wszystkie zmiany oraz wyniki audytu są dokumentowane i komunikowane w całej organizacji, utrzymując w pełni możliwy do prześledzenia i zgodny program zarządzania stronami trzecimi.