Bezpečnostná politika pre dodávateľov a tretie strany

Bezpečnostná politika pre dodávateľov a tretie strany (P26) poskytuje komplexný rámec správy a riadenia na zriaďovanie, riadenie a nepretržitý dohľad nad bezpečnými vzťahmi s dodávateľmi tretích strán, dodávateľmi, cloudovými poskytovateľmi a servisnými organizáciami. Táto politika je určená pre organizácie, ktoré sa zaväzujú udržiavať prísne normy informačnej bezpečnosti pri outsourcingu alebo obstarávaní služieb, ktoré pristupujú ku kritickým podnikovým aktívam a systémom, spracúvajú ich alebo sa s nimi integrujú. Politika sa vzťahuje na všetky zapojenia dodávateľov, ktoré zahŕňajú citlivé údaje, produkčné prostredie alebo podporu kľúčových obchodných funkcií, a pokrýva priamych dodávateľov aj ich subdodávateľov. Vymedzuje podrobné roly a zodpovednosti pre riaditeľa informačnej bezpečnosti (CISO), obstarávanie a riadenie dodávateľov, vedúcich informačnej bezpečnosti a rizík, vlastníkov obchodných vzťahov a funkcie právne záležitosti a súlad s predpismi. Každá rola prispieva k bezpečnému riadeniu životného cyklu dodávateľov – od počiatočného posúdenia rizík a rokovaní o zmluve až po priebežné monitorovanie a bezpečné ukončenie spolupráce. Kľúčovou súčasťou politiky je požiadavka na formálny model klasifikácie tretích strán a stupňovania rizík, ktorý zoskupuje dodávateľov podľa prístupu k údajom, kritickosti služby, regulačných expozícií a závislostí od tretích strán. Všetky zapojenia tretích strán musia dodržiavať definovaný prístup životného cyklu: dodávatelia prechádzajú due diligence dodávateľov pred uzatvorením zmluvy, posúdením rizík a zmluvným bezpečnostným preskúmaním; zmluvy musia obsahovať vynútiteľné bezpečnostné kontrolné opatrenia vrátane oznamovacích povinností, práv na audit, nakladania s údajmi a špecifických požiadaviek na využívanie subdodávateľov. Dodávatelia sú následne nepretržite monitorovaní prostredníctvom certifikácií, výkonnosti podľa dohody o úrovni služieb (SLA), nahlasovania incidentov a zmien v ich službách alebo personále. Ak dodávateľ nedokáže plne splniť bezpečnostné požiadavky, politika nariaďuje formálny proces žiadosti o výnimku s dokumentáciou, kompenzačné kontroly a schválenie vrcholovým vedením. Stav výnimky spúšťa časté revízie a môže viesť k opätovnému vyjednaniu podmienok alebo doplnkovým auditom. Dodávatelia, u ktorých sa zistí nesúlad tretej strany, čelia zmluvným sankciám, pozastaveniu alebo ukončeniu služieb a prístupu. Prísne vynucovanie sa zabezpečuje prostredníctvom plánovaných auditov súladu, preskúmaní výkonnosti dodávateľov a disciplinárnych opatrení za interné obchádzanie politiky. Politika sa preskúmava aspoň raz ročne alebo pri významných zmenách v stratégii obstarávania, regulačnom prostredí alebo po závažných incidentoch dodávateľov. Všetky zmeny a výsledky auditu sú zdokumentované a komunikované naprieč organizáciou, čím sa udržiava plne vysledovateľný a súladný program správy a riadenia tretích strán.