Politika varnosti dobaviteljev in tretjih oseb

Politika varnosti dobaviteljev in tretjih oseb (P26) zagotavlja celovit okvir upravljanja za vzpostavljanje, upravljanje in stalno nadzorovanje varnih odnosov z dobavitelji tretjih oseb, pogodbenimi izvajalci, ponudniki v oblaku in storitvenimi organizacijami. Politika je namenjena organizacijam, ki so zavezane ohranjanju strogih standardov informacijske varnosti pri zunanjem izvajanju ali nabavi storitev, ki dostopajo do, obdelujejo ali se integrirajo s kritičnimi poslovnimi sredstvi in sistemi. Politika velja za vse angažmaje dobaviteljev, ki vključujejo občutljive podatke, produkcijsko okolje ali podporo ključnim poslovnim funkcijam, in zajema tako neposredne dobavitelje kot njihove podizvajalce. Opredeljuje podrobne vloge in odgovornosti za vodjo informacijske varnosti (CISO), nabavo in upravljanje dobaviteljev, vodje informacijske varnosti in tveganj, lastnike poslovnih odnosov ter funkciji pravo in skladnost. Vsaka vloga prispeva k varnemu upravljanju življenjskega cikla dostopov dobaviteljev, od začetne ocene tveganja in pogajanj o pogodbi do stalnega spremljanja in varnega izstopa. Osrednji del politike je zahteva po formalnem modelu klasifikacije tretjih oseb in razvrščanja tveganj, ki dobavitelje razvršča glede na dostop do podatkov, kritičnost storitev, regulativne izpostavljenosti in odvisnosti od tretjih oseb. Vsi angažmaji tretjih oseb morajo slediti opredeljenemu pristopu življenjskega cikla: dobavitelji opravijo skrbni pregled pred pogodbo, oceno tveganja in pogodbeni varnostni pregled; pogodbe morajo vsebovati izvršljive varnostne kontrole, vključno z obveznostmi poročanja o kršitvah, določili o pravici do revizije, ravnanjem s podatki in specifičnimi zahtevami za uporabo podizvajalcev. Dobavitelje se nato stalno spremlja prek certifikatov, sporazumov o ravni storitev, poročanja o varnostnih incidentih in sprememb njihovih storitev ali osebja. Če dobavitelj ne more v celoti izpolniti varnostnih zahtev, politika zahteva formalni postopek zahtevka za izjemo, z dokumentacijo, nadomestnimi kontrolami in odobritvijo najvišjega vodstva. Status izjeme sproži pogoste preglede in lahko vodi do ponovno dogovorjenih pogojev ali dodatnih presoj. Dobavitelji, pri katerih se ugotovi neskladnost, se soočijo s pogodbenimi kaznimi, začasno ustavitvijo ali prenehanjem storitev in dostopa. Strogo uveljavljanje je zagotovljeno z načrtovanimi presojami skladnosti, pregledi uspešnosti dobaviteljev in disciplinskimi ukrepi za notranje obhode politike. Politika se pregleda najmanj letno ali ob pomembnih spremembah strategije nabave, regulativnega okolja ali po večjih incidentih dobaviteljev. Vse spremembe in rezultati presoj so dokumentirani in sporočeni po organizaciji, s čimer se ohranja v celoti sledljiv in skladen program upravljanja tretjih oseb.