Erfüllung der Anforderungen an das Fremdrisiko nach ISO 27001
Die Einhaltung der ISO 27001 bietet eine größere Gewissheit, dass ein Unternehmen seine Cybersicherheitspraktiken, wie z. B. den Schutz personenbezogener Daten und anderer Arten sensibler Daten, angemessen verwaltet.
Third-Party-Risk-Management-Programme (TPRM) können von der Implementierung der relevanten ISO-270001-Kontrollen immens profitieren, um das Risiko erheblicher Sicherheitsvorfälle und Datenschutzverletzungen zu mindern.
Die Entwicklung eines robusten TPRM-Programms ist jedoch bereits eine zeit- und ressourcenintensive Aufgabe, ohne die Anforderungen des Frameworks überhaupt zu berücksichtigen.
In diesem Beitrag wird beschrieben, welche ISO-Kontrollen für TPRM relevant sind und wie die UpGuard-Plattform dazu beitragen kann, die Ziele der einzelnen Kontrollen zu erreichen.
Wenn Sie bereits mit ISO 27001 vertraut sind, klicken Sie hier, um zu den Anforderungen an das Risiko von Drittanbietern zu gelangen.
Was ist ISO 27001?
ISO 27001 ist eine internationale Norm, die die Entwicklung eines Informationssicherheitsmanagementsystems (ISMS) leitet, um die Datensicherheit und die Informationssicherheit effektiv zu verwalten.
Das von der Internationalen Organisation für Normung (ISO) und der Internationalen Elektrotechnischen Kommission (IEC) entwickelte Rahmenwerk ist auch als ISO/IEC 27001 bekannt.
Sie wurde erstmals im Jahr 2005 veröffentlicht - die neueste Version wurde im Februar 2022 veröffentlicht und überarbeitet die langjährige ISO/IEC 27001:2013.
Die Norm besteht aus zwei Teilen:
- 11 Klauseln (0-10): Die Klauseln 0-3 führen die ISO 27001 ein, und die Klauseln 4-10 beschreiben die Mindestanforderungen an die Einhaltung der Vorschriften während des Zertifizierungsprozesses.
- Anhang A: Definiert die 114 unterstützenden Kontrollen, die für die Einhaltung der Vorschriften erforderlich sind.
Die Kontrollen in Anhang A sind in 14 Bereiche unterteilt, die von A.5 bis A.18 reichen:
- A.5: Richtlinien zur Informationssicherheit
- A.6: Organisation der Informationssicherheit
- A.7: Sicherheit der Humanressourcen
- A.8: Vermögensverwaltung
- A.9: Zutrittskontrolle
- A.10: Kryptographie
- A.11: Physische Sicherheit und Umweltsicherheit
- A.12: Betriebssicherheit
- A.13: Sicherheit der Kommunikation
- A.14: Beschaffung, Entwicklung und Wartung des Systems
- A.15: Lieferantenbeziehungen
- A.16: Management von Informationssicherheitsvorfällen
- A.17: Informationssicherheitsaspekte des Business Continuity Managements
- A.18: Einhaltung der Vorschriften
Der Bereich A.15: Lieferantenbeziehungen deckt die Anforderungen von Drittanbietern nach ISO 27001 ab.
Erfahren Sie mehr über die nächsten Schritte nach einem ISO 27001-Audit >
ISO 27001 Anforderungen an das Risikomanagement von Drittanbietern
Die Sicherheitskontrollen, die für das Risikomanagement von Drittanbietern gelten, sind in Anhang 15 der Rahmenwerke ISO 27001 und ISO 27002 enthalten.
Anhang 15 enthält die folgenden Hinweise für das Risikomanagement von Drittanbietern:
- Entwickeln Sie eine Informationssicherheitsrichtlinie, in der die Sicherheitskontrollen und -richtlinien aufgeführt sind, die für ein effektives Risikomanagement von Anbietern implementiert werden müssen.
- Bereitstellung vertraglicher Anforderungen für alle Drittanbieter, die auf die Daten einer Organisation zugreifen, diese verarbeiten, speichern, kommunizieren oder IT-Infrastrukturkomponenten für diese bereitstellen können.
- Stellen Sie sicher, dass Lieferantenvereinbarungen die Informationssicherheitsrisiken im Zusammenhang mit Informations- und Kommunikationstechnologiediensten und der Produktlieferkette abdecken.
- Überwachen, überprüfen und auditieren Sie die Erbringung von Lieferantendienstleistungen regelmäßig.
Erfahren Sie, wie Sie das Risiko von Drittanbietern an den Vorstand kommunizieren können >
15.1 - Informationssicherheit in Lieferantenbeziehungen
"Um den Schutz der Vermögenswerte des Unternehmens zu gewährleisten, die für Lieferanten zugänglich sind."
UpGuard erkennt automatisch potenzielle Lieferantenrisiken über 70+ Angriffsvektoren hinweg und ermöglicht es Unternehmen, potenzielle Datenschutzverletzungen durch Echtzeitberichte und automatisierte Abhilfe-Workflows zu verhindern.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.1.1 Informationssicherheitsrichtlinie für Lieferantenbeziehungen
"Anforderungen an die Informationssicherheit zur Minderung der Risiken, die mit dem Zugriff des Lieferanten auf die Vermögenswerte des Unternehmens verbunden sind, sollten mit dem Lieferanten vereinbart und dokumentiert werden. "
UpGuard ordnet die Antworten auf den Sicherheitsfragebogen jedes Anbieters anerkannten Sicherheits-Frameworks und regulatorischen Anforderungen zu, einschließlich ISO 27001, Datenschutz-Grundverordnung (DSGVO) und dem Payment Card Industry Data Security Standard (PCI DSS).
Dieser Prozess ermöglicht es Unternehmen, Compliance-Lücken schnell zu identifizieren und den gesamten Abhilfe-Workflow des Anbieters über die Plattform zu verfolgen.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.1.1 a)
"Identifizierung und Dokumentation der Arten von Lieferanten, z. B. IT-Dienstleistungen, Logistikunternehmen, Finanzdienstleistungen, IT-Infrastrukturkomponenten, denen die Organisation den Zugriff auf ihre Informationen gestattet. "
Die Vendor Tiering-Funktion von UpGuard ermöglicht es Unternehmen, Anbieter basierend auf dem von ihnen ausgehenden Risikoniveau entweder durch manuelles oder fragebogenbasiertes Tiering zu klassifizieren, sodass Sicherheitsteams Abhilfemaßnahmen priorisieren können.
Manuelles Tiering ist ideal für Stakeholder, die eine strenge Kontrolle über ihre Risikomanagementprogramme benötigen.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.1.1 b)
"Ein standardisierter Prozess und Lebenszyklus für das Management von Lieferantenbeziehungen. "
UpGuard ermöglicht es Unternehmen, den Risikomanagementprozess von Drittanbietern zu überwachen, zu bewerten und zu verwalten, indem der gesamte Lebenszyklus des Risikomanagements von Anbietern automatisiert wird, vom Onboarding bis zum Offboarding.
Die Plattform kombiniert automatisierte Sicherheitsfragebögen mit Echtzeit-Risikoidentifikation über die gesamte Angriffsfläche von Drittanbietern, um genaue Einblicke in die Sicherheitslage der Anbieter zu erhalten.
>Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.1.1 e)
"Prozesse und Verfahren zur Überwachung der Einhaltung der festgelegten Informationssicherheitsanforderungen für jede Art von Anbieter und Art des Zugriffs, einschließlich der Überprüfung durch Dritte und der Produktvalidierung."
Die Fragebogenbibliothek von UpGuard enthält 20+ vorgefertigte Fragebögen, die internationalen Sicherheitsrahmen und -vorschriften, einschließlich ISO-Normen, entsprechen. Der benutzerdefinierte Fragebogen-Builder der Plattform ermöglicht es Unternehmen, Fragebögen zu erstellen und zu versenden, die die individuellen Anforderungen jedes Anbieters abdecken.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.1.1 Std.)
"Umgang mit Vorfällen und Eventualitäten im Zusammenhang mit dem Lieferantenzugang, einschließlich der Verantwortlichkeiten sowohl der Organisation als auch der Lieferanten. "
Das zentralisierte Dashboard von UpGuard nutzt Echtzeitdaten, um den Behebungsprozess von Drittanbietern zu rationalisieren und Unternehmen zu warnen, wenn Risiken von Drittanbietern gefunden und von Anbietern behoben werden.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.1.1 i)
"Resilienz und, falls erforderlich, Wiederherstellungs- und Notfallvorkehrungen, um die Verfügbarkeit der von einer der Parteien bereitgestellten Informationen oder die Informationsverarbeitung sicherzustellen."
Die Compliance-Reporting-Funktion von UpGuard bildet den Grad der Compliance eines Anbieters mit anerkannten Sicherheitsrahmenwerken und -vorschriften, wie z. B. ISO 27001, ab. Unternehmen können diese Informationen nutzen, um Compliance-Lücken in Zusammenarbeit mit Anbietern proaktiv zu identifizieren und zu beheben und robuste Incident-Response-Pläne zu erstellen.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.1.1 l)
"Bedingungen, unter denen die Anforderungen und Kontrollen der Informationssicherheit in einer von beiden Parteien unterzeichneten Vereinbarung dokumentiert werden."
Das Shared Profile von UpGuard ermöglicht es Anbietern, ihre Sicherheitslage und die zugehörige Dokumentation, wie z. B. SOC 2-Berichte, proaktiv zu teilen, um den Risikobewertungsprozess mit aktuellen und potenziellen Kunden zu optimieren. Integriertes Messaging und die Möglichkeit, Erinnerungen festzulegen und den Status des Ausfüllens des Fragebogens zu verfolgen, ermöglichen eine transparentere Kommunikation der Erwartungen beider Parteien.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15,1,1 m)
"Verwaltung der notwendigen Übergänge von Informationen, Informationsverarbeitungseinrichtungen und allem anderen, was verschoben werden muss, und Sicherstellung, dass die Informationssicherheit während der gesamten Übergangszeit aufrechterhalten wird. "
Der benutzerdefinierte Fragebogen-Builder von UpGuard ermöglicht es Unternehmen, die Prozesse, Richtlinien und Verfahren zu validieren, die ihre Anbieter eingerichtet haben, um wichtige Anforderungen an Informationstechnologie und Datensicherheit abzudecken.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.1.2 Adressierung der Sicherheit in Lieferantenvereinbarungen
"Alle relevanten Anforderungen an die Informationssicherheit sollten mit jedem Lieferanten festgelegt und vereinbart werden, der auf die Informationen des Unternehmens zugreifen, diese verarbeiten, speichern, kommunizieren oder IT-Infrastrukturkomponenten bereitstellen kann."
UpGuard ermöglicht es Unternehmen, zusätzliche Nachweise wie Auditberichte und ausgefüllte Sicherheitsfragebögen hochzuladen, um identifizierte Risiken zu erfassen. Diese Risiken können in das Risikoprofil des Lieferanten aufgenommen und während des Risikobewertungsprozesses verwendet werden.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.1.2 d)
"Verpflichtung jeder Vertragspartei, ein vereinbartes Set von Kontrollen zu implementieren, einschließlich Zugangskontrolle, Leistungsüberprüfung, Überwachung, Berichterstattung und Auditing."
Die Compliance-Reporting-Funktion von UpGuard ordnet die Compliance von Anbietern der ISO 27001 zu und ermöglicht es Unternehmen, Nichtkonformitäten zu identifizieren und Abhilfemaßnahmen anzufordern.
Das Audit-Protokoll der Plattform ermöglicht es Administratoren, wichtige Ereignisse anzuzeigen und zu filtern und zu sehen, wer sie durchgeführt hat, einschließlich der Onboarding-Daten von Anbietern, des Ausfüllens von Fragebögen, Änderungen der Risikobewertung von Anbietern und Änderungen des Status von Lieferantenbehebungen.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.1.2 g)
"Informationssicherheitsrichtlinien, die für den jeweiligen Vertrag relevant sind. "
Die Bibliothek von UpGuard mit vorgefertigten Fragebögen und dem benutzerdefinierten Fragebogen-Builder ermöglicht es Unternehmen, die Einhaltung von 20+ gängigen Sicherheits-Frameworks, einschließlich ISO 27001, durch ihre Anbieter zu bewerten, um die Einhaltung zu validieren.
Alle relevanten vertraglichen Nachweise, einschließlich der Dokumentationen der relevanten Zertifizierungsstellen, können zentral in der Plattform gespeichert werden, um einen einheitlichen Zugriff zu ermöglichen.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.1.2 (m)
"Recht auf Prüfung der Lieferantenprozesse und -kontrollen im Zusammenhang mit der Vereinbarung. "
UpGuard sorgt für Transparenz über den gesamten Lieferantenlebenszyklus. Das Audit-Protokoll der Plattform zeichnet alle Aktionen auf, die zwischen einem Unternehmen und seinen Lieferanten durchgeführt wurden, und liefert wichtige Beweise für interne Audits.
Compliance Reporting identifiziert Bereiche mit Verstößen, um die Einhaltung von ISO 27001 und anderen anerkannten Rahmenwerken und Vorschriften sicherzustellen und so die Behebungsabläufe zu optimieren.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.1.2 Buchstabe n
"Fehlerlösungs- und Konfliktlösungsprozesse."
Die zentralisierte Plattform von UpGuard ermöglicht es Sicherheitsteams, Sicherheitsfragebögen zu erstellen und zu versenden, Nachweise von Anbietern anzufordern und den Behebungsprozess durch automatisierte Workflows nahtlos zu verwalten.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.1.2 p)
"Die Verpflichtungen des Lieferanten zur Einhaltung der Sicherheitsanforderungen der Organisation."
UpGuard entlastet Unternehmen von dem zeitaufwändigen Hin und Her bei der Durchführung eines effektiven Third-Party-Risikomanagement-Programms (TPRM) mit Managed Services.
Ein Team von externen Risikoanalysten kann mühsame Aufgaben bewältigen, wie z. B. das Anfordern von Risikobewertungen, das Suchen von Nachweisen und das Verwalten des Behebungsprozesses, sodass Unternehmen TPRM skalieren können, wenn ihr Lieferantenbestand wächst.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.1.3 Lieferkette der Informations- und Kommunikationstechnologie
"Vereinbarungen mit Lieferanten sollten Anforderungen enthalten, um die Informationssicherheitsrisiken im Zusammenhang mit Informations- und Kommunikationstechnologiediensten und der Produktlieferkette anzugehen."
UpGuard bietet eine umfassende Lösung zur Überwachung und Verwaltung von Risikoangriffsflächen von Drittanbietern. Die Plattform generiert Sicherheitsbewertungen, um ein verdauliches Maß für die Sicherheitslage der Anbieter zu erhalten, indem sie Fragebögen und Echtzeit-Risikowarnungen für 70+ Angriffsvektoren nutzt, darunter Phishing, Ransomware-Anfälligkeit (wie WannaCry), Man-in-the-Middle-Angriffe, DNSSEC, Schwachstellen, E-Mail-Spoofing, Domain-Hijacking und DNS-Probleme.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.1.3 Buchstabe d
"Implementierung eines Überwachungsprozesses und akzeptabler Methoden zur Validierung, ob die gelieferten Produkte und Dienstleistungen der Informations- und Kommunikationstechnologie den angegebenen Sicherheitsanforderungen entsprechen."
Die Funktion "Shared Profile" von UpGuard ermöglicht es Anbietern, proaktiv unterstützende Dokumentationen hochzuladen, z. B. die Zertifizierung mit anerkannten Sicherheits-Frameworks, um die Einhaltung der Vorschriften zu validieren. Unternehmen können über die Plattform problemlos weitere Nachweise oder erforderliche Abhilfemaßnahmen anfordern.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.1.3 f)
"Die Gewissheit zu erhalten, dass kritische Komponenten und ihre Herkunft in der gesamten Lieferkette zurückverfolgt werden können.
UpGuard bietet Einblick in die gesamte digitale Lieferkette eines Unternehmens. Die Überwachung der Angriffsfläche durch Drittanbieter erstreckt sich auf die automatische Erkennung von Fourth Partys und ermöglicht es Unternehmen, die Berichte ihrer Anbieter zu validieren.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.2 Management der Lieferanten-Servicebereitstellung
"Aufrechterhaltung eines vereinbarten Niveaus der Informationssicherheit und der Servicebereitstellung in Übereinstimmung mit den Lieferantenvereinbarungen. "
Anbieter von UpGuard-Kunden können ein kostenloses Konto erstellen, um Fragebögen zu beantworten, Risikobewertungen durchzuführen und ein gemeinsames Profil zu erstellen, um wichtige Nachweise, die während des Due-Diligence-Prozesses erforderlich sind, proaktiv anzuzeigen.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.2.1 Überwachung und Überprüfung von Lieferantenleistungen
"Unternehmen sollten die Erbringung von Lieferantendienstleistungen regelmäßig überwachen, überprüfen und auditieren. "
UpGuard überwacht kontinuierlich die gesamte Angriffsfläche eines Unternehmens auf Sicherheitslücken und liefert Echtzeit-Risikowarnungen und Sicherheitsbewertungen, um die Sicherheitslage jedes Anbieters bei Bedarf aufzudecken.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.2.1 a)
"Überwachen Sie die Serviceleistung, um die Einhaltung der Vereinbarungen zu überprüfen. "
Der benutzerdefinierte Fragebogen-Builder von UpGuard ermöglicht es Unternehmen, wichtige Kennzahlen für das Cybersicherheitsrisikomanagement von Anbietern zu überwachen, wie z. B. die Einhaltung von SLAs und andere vertragliche Vereinbarungen zur Cybersicherheit.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.2.1 c)
"Durchführung von Audits bei Lieferanten in Verbindung mit einer Überprüfung der Berichte unabhängiger Prüfer, falls verfügbar, und Nachverfolgung der festgestellten Probleme."
Mit dem gemeinsamen Profil können Dienstanbieter ihre Sorgfaltspflicht im Bereich der Cybersicherheit anzeigen, indem sie Nachweise hochladen, z. B. ausgefüllte Fragebögen zur Risikobewertung und Auditberichte.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.2.1 Buchstabe g
"Überprüfung der Informationssicherheitsaspekte der Beziehungen des Lieferanten zu seinen eigenen Lieferanten."
UpGuard überwacht das Risiko von Viertanbietern, indem es die Beziehungen zwischen den Drittanbietern eines Unternehmens und deren Lieferanten abbildet. Diese Transparenz ermöglicht es Unternehmen, aufkommende Schwachstellen über die gesamte Angriffsfläche der Lieferkette hinweg zu verfolgen.
Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.
15.2.1 Std.)
"Stellen Sie sicher, dass der Lieferant eine ausreichende Servicekapazität zusammen mit praktikablen Plänen aufrechterhält, die sicherstellen, dass die vereinbarten Servicekontinuitätsniveaus nach größeren Serviceausfällen oder Katastrophen aufrechterhalten werden. "
UpGuard ermöglicht es Unternehmen, detaillierte Berichte zu erstellen, in denen die Sicherheitslage eines Anbieters beschrieben wird, einschließlich der Ergebnisse automatisierter Scans, Fragebögen und hochgeladener unterstützender Nachweise.
Interne Stakeholder können diese Berichte verwenden, um den Anbietern einen Überblick über die Korrekturmaßnahmen zu geben, die für die Entwicklung solider Incident-Response-Pläne erforderlich sind.