Politica de securitate a furnizorilor și a părților terțe

Politica de securitate a furnizorilor și a părților terțe (P26) oferă un cadru cuprinzător de guvernanță pentru stabilirea, gestionarea și supravegherea continuă a relațiilor securizate cu furnizori terți, contractanți, furnizori cloud și organizații de servicii. Această politică este concepută pentru organizațiile angajate să mențină standarde riguroase de securitate a informației atunci când externalizează sau achiziționează servicii care accesează, prelucrează sau se integrează cu active și sisteme critice de afaceri. Politica se aplică tuturor angajamentelor cu furnizori care implică date sensibile, mediu de producție sau suport pentru funcții-cheie de afaceri, acoperind atât furnizorii direcți, cât și subcontractanții acestora. Ea descrie roluri și responsabilități detaliate pentru Ofițerul-șef pentru securitatea informațiilor (CISO), Achiziții și managementul furnizorilor, responsabilii de securitate a informațiilor și de risc, proprietarii relațiilor de afaceri și funcțiile Juridic și Conformitate. Fiecare rol contribuie la managementul securizat al ciclului de viață al furnizorilor, de la evaluarea inițială a riscului și negocierea contractului până la monitorizarea continuă și încetarea colaborării în condiții de securitate. Un element central al politicii este cerința pentru un model formal de clasificare a terților și de clasificare pe niveluri de risc, care grupează furnizorii în funcție de accesul la date, criticitatea serviciului, expunerile de reglementare și dependențe de terți. Toate angajamentele cu terți trebuie să respecte o abordare definită pe ciclul de viață: furnizorii trec prin verificarea prealabilă a furnizorilor înainte de contract, evaluarea riscurilor și revizuirea securității contractuale; contractele trebuie să includă controale de securitate aplicabile, inclusiv notificarea încălcărilor, drepturi de audit, gestionarea datelor și cerințe specifice pentru utilizarea subcontractanților. Furnizorii sunt apoi monitorizați continuu prin certificări, performanța acordurilor privind nivelul de serviciu (SLA), raportarea incidentelor de securitate și schimbări ale serviciilor sau personalului. Dacă un furnizor nu poate îndeplini integral cerințele de securitate, politica impune un proces formal de solicitare a excepțiilor, cu documentație, controale compensatorii și aprobare executivă. Statutul de excepție declanșează revizuiri frecvente și poate conduce la renegocierea termenilor sau audituri suplimentare. Furnizorii identificați ca neconformi se confruntă cu penalități contractuale, suspendare sau încetarea serviciilor și a accesului. Aplicarea strictă este asigurată prin audituri de conformitate programate, revizuiri ale performanței furnizorilor și măsuri disciplinare pentru ocolirea internă a politicii. Politica este revizuită cel puțin anual sau la schimbări semnificative în strategia de achiziții, peisajul de reglementare sau după incidente majore ale furnizorilor. Toate modificările și rezultatele auditurilor sunt documentate și comunicate în întreaga organizație, menținând un program de guvernanță a terților complet trasabil și conform.