Bezpečnostná politika pre dodávateľov a tretie strany – SME

P26S – Bezpečnostná politika pre dodávateľov a tretie strany je špecificky prispôsobená pre SME a odráža model správy, v ktorom typicky chýbajú vyhradené IT roly ako riaditeľ informačnej bezpečnosti (CISO) alebo centrum bezpečnostných operácií (SOC). Zodpovednosť je namiesto toho centralizovaná pod generálnym manažérom (GM), čo zjednodušuje zodpovednosť pri zachovaní silného súladu s ISO/IEC 27001:2022 a ďalšími kľúčovými regulačnými rámcami. Tento návrh zabezpečuje robustný bezpečnostný dohľad aj pre menšie organizácie bez špecializovaného personálu. Hlavným účelom politiky je formalizovať a vynucovať základné bezpečnostné opatrenia pri zapájaní, riadení alebo ukončovaní vzťahov s tretími stranami a dodávateľmi, ktorí interagujú s údajmi, systémami alebo službami organizácie alebo na ne majú vplyv. Pokrytí dodávatelia zahŕňajú poskytovateľov IT a cloudových služieb, vývojárov, ako aj konzultantov v oblasti HR alebo financií. Spresnením bezpečnostných očakávaní, dokumentovaním dodávateľských rizík pred udelením prístupu a vyžadovaním vynútiteľných zmluvných ochranných opatrení politika minimalizuje riziká únikov údajov, neschválených úprav systémov, regulačných porušení a narušenia podnikania. Politika výslovne definuje rozsah tak, aby zahŕňal všetky tretie strany s potenciálnym prístupom k aktívam organizácie, ako aj interný personál zapojený do výberu dodávateľa, dohľadu, zavedenia dodávateľa, uzatvárania zmlúv alebo preskúmania. Centralizované roly zahŕňajú generálneho manažéra, IT poskytovateľa alebo interný bezpečnostný kontakt a kontakty pre obstarávanie alebo administratívu, čím sa zabezpečuje jasná zodpovednosť počas celého životného cyklu dodávateľa. Dodávateľ je povinný písomne súhlasiť s dodržiavaním bezpečnostných povinností a nahlasovaním incidentov. Kľúčové požiadavky správy zahŕňajú preskúmania dodávateľského rizika pred zapojením, povinné bezpečnostné doložky vo všetkých zmluvách, vedenie podrobného registra dodávateľov a postupy na monitorovanie zmien vo vlastníctve, rozsahu služby alebo subdodávkach. Kroky implementácie vyžadujú, aby žiadnemu dodávateľovi nebol nikdy udelený prístup pred due diligence a bez výslovného schválenia, aby bol poskytovaný len minimálny prístup k systémom/údajom a aby bol všetok prenos údajov riadne šifrovaný. Priebežné požiadavky zahŕňajú pravidelný audit a preskúmanie, aspoň raz ročne pre vysokorizikových dodávateľov, spolu s prísnymi postupmi na ukončenie zmlúv a odoberanie prístupových práv. Politika integruje štruktúrovaný proces ošetrenia rizík a riadenia výnimiek, čím zabezpečuje, že akékoľvek medzery sú riadené kompenzačnými kontrolami a že žiadna výnimka nemôže porušiť zákonné alebo regulačné povinnosti (napr. požiadavky GDPR alebo DORA). Vynucovanie je jasne opísané, vrátane sankcií až po ukončenie zmluvy a právne kroky. Pripravenosť na audit je zabudovaná, pričom sa vyžaduje dokumentácia dostatočná na úspešné absolvovanie auditov podľa ISO 27001, GDPR a súvisiacich noriem. Napokon, ročný cyklus preskúmania a prepojenie s úzko súvisiacimi politikami informačnej bezpečnosti zabezpečujú, že politika zostáva aktuálna, účinná a integrovaná v širšom rámci bezpečnosti.