Erfüllung der ISO-Anforderungen für das Risikomanagement von Drittanbietern im Jahr 2023

ISO 27001 ist die beliebteste, international anerkannte Norm für das Management der Informationssicherheit. Seine Entwicklung war eine gemeinsame Anstrengung der Internationalen Organisation für Normung (ISO) und der Internationalen Elektrotechnischen Kommission (IEC) - daher wird das Rahmenwerk auch als ISO/IEC 27001 bezeichnet.

ISO 27001 kann auch in ein Third-Party-Risikomanagement-Programm implementiert werden. Viele Unternehmen haben jedoch Schwierigkeiten mit der Identifizierung, welche Sicherheitskontrollen für die Sicherheit von Anbietern gelten und wie sie erfolgreich auf einer Vendor Risk Management-Plattform abgebildet werden können.

In diesem Beitrag beleuchten wir die spezifischen ISO-Kontrollen, die für das Risikomanagement von Drittanbietern gelten, und wie sie den Funktionen innerhalb der UpGuard-Plattform zugeordnet werden können.

Welche ISO-Normen gelten für das Risikomanagement von Drittanbietern?

Die Etablierung eines möglichst widerstandsfähigen TPRM-Programms mit ISO-Standards erfordert die Erweiterung um drei spezifische Frameworks - ISO 27001, ISO 27002 und ISO 27018.

Die spezifische Beziehung der einzelnen Standards zur Sicherheit von Drittanbietern wird im Folgenden zusammengefasst.

ISO 27001

ISO 27001 ist die beliebteste international anerkannte Norm zur Verbesserung der Informationssicherheit aller IT-Systeme und Datenprozesse, einschließlich derjenigen, die in Beziehungen zu Drittanbietern erforderlich sind.

ISO 27001 verwendet einen Risikomanagementansatz, um sensible Daten in den drei Hauptabteilungen eines Unternehmens - IT-Systeme, Menschen und Prozesse - systematisch zu schützen.

Einen Überblick über den Implementierungsprozess von ISO 27001 finden Sie in dieser Checkliste.

Erfahren Sie, wie Sie die Anforderungen der ISO 27001 an das Risikomanagement von Drittanbietern erfüllen können.

ISO 27002

ISO 27002 unterstützt die Implementierung aller Sicherheitskontrollen, die in Anhang A von ISO 27001 aufgeführt sind. Diese Kontrollen betreffen alle häufig ausgenutzten Angriffsflächen in der Lieferkette.

Die 14 Kontrollsätze des Anhangs A sind:

• Anhang A.5 - Informationssicherheitskonzepte (2 Kontrollen)
• Anhang A.6 - Organisation der Informationssicherheit (7 Kontrollen)
• Anhang A.7 - Sicherheit der Humanressourcen (6 Kontrollen)
• Anhang A.8 - Vermögensverwaltung (10 Kontrollen)
• Anhang A.9 - Zugangskontrolle (14 Kontrollen)
• Anhang A.10 - Kryptographie (2 Kontrollen)
• Anhang A.11 - Physische Sicherheit und Umweltsicherheit (15 Kontrollen)
• Anhang A.12 - Sicherheit des Betriebs (14 Kontrollen)
• Anhang A.13 - Sicherheit der Kommunikation (7 Kontrollen)
• Anhang A.14 - Erwerb, Entwicklung und Wartung des Systems (13 Kontrollen)
• Anhang A.15 - Lieferantenbeziehungen (5 Kontrollen)
• Anhang A.16 - Management von Informationssicherheitsvorfällen (7 Kontrollen)
• Anhang A.17 - Aspekte der Informationssicherheit des Business Continuity Managements (4 Kontrollen)
• Anhang A.18 - Einhaltung der Vorschriften (8 Kontrollen)

ISO/IEC 27018

ISO 27018 bietet Drittanbietern von Cloud-Diensten zusätzliche Anleitungen zum Schutz personenbezogener Kundendaten (PII).

Die ISO 27018-Richtlinien bieten zusätzliche Sicherheitskontrollen von Drittanbietern, die in ISO 27002 nicht enthalten sind.

Dies ist ein besonders wichtiger Bereich des modernen Risikomanagements von Drittanbietern, da personenbezogene Daten bei Cyberkriminellen die begehrteste Kategorie sensibler Daten sind.

Laut dem Bericht "Cost of a Data Breach Report 2021" von IBM und dem Ponemon Institute wurden personenbezogene Daten von Kunden bei fast der Hälfte aller beobachteten Verstöße kompromittiert.

Durch die Implementierung eines ISO-Standards zum Schutz personenbezogener Daten von Kunden in einem TPRM könnten Unternehmen die Anzahl erfolgreicher Datenschutzverletzungen möglicherweise halbieren.

Erfahren Sie, wie Sie das Risiko von Drittanbietern an den Vorstand kommunizieren können >

So erfüllen Sie die TPRM-Anforderungen mit ISO 27001, ISO 27002 und ISO 27018

Das vollständige ISO 27018-Rahmenwerk ist auf das Risikomanagement von Lieferanten anwendbar, aber nur die Sicherheitskontrollabschnitte 15 von ISO 27001 und ISO 27002 befassen sich mit den Beziehungen in der Lieferkette.

Jede anwendbare Sicherheitskontrolle, die unten aufgeführt ist, wird einer UpGuard-Funktion zugeordnet, um zu demonstrieren, wie die Plattform verwendet werden kann, um ein ausfallsicheres TPRM-Programm mit ISO-Frameworks einzurichten.

So erfüllen Sie die Anforderungen der ISO 27018 an das Risikomanagement von Drittanbietern

Die Sicherung von Cloud-Technologie ist nicht einfach. Die einfache Einarbeitung in Verbindung mit der breiten Palette an Integrationsoptionen bedeutet, dass die Angriffsfläche in der Cloud kontinuierlich erweitert wird - was die Cloud-Technologie zu einem hochriskanten Angriffsvektor macht.

Um die strikten Sicherheitsanforderungen der ISO 27018 an personenbezogene Daten zu erfüllen, muss eine Lösung in der Lage sein, mit dem expandierenden Cloud-Netzwerk zu skalieren.

Die UpGuard Third-Party Risk Management-Plattform ist in der Lage, die Informationssysteme sowohl von Cloud-Lösungen als auch von Drittanbietern auf Sicherheitslücken zu überwachen, die Datenschutzverletzungen erleichtern könnten.

Da UpGuard in der Lage ist, mehrere Angriffsflächen zu überwachen, müssen Sie nicht in separate Informationssicherheitsmanagementsysteme für Cloud-Anbieter und Dienste von Drittanbietern investieren.

UpGuard kann den gesamten Lebenszyklus aller Sicherheitsrisiken, einschließlich finanzieller Risiken, über alle Angriffsflächen hinweg verwalten, von der Erkennung über die Behebung bis hin zur Überwachung.

Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.

So erfüllen Sie die Anforderungen an das Risikomanagement von Drittanbietern nach ISO 27001 und ISO 27002

Security Control: 15.1 - Informationssicherheit in Lieferantenbeziehungen

"Um den Schutz der Vermögenswerte des Unternehmens zu gewährleisten, die für Lieferanten zugänglich sind."

Der benutzerdefinierte Fragebogen-Builder von UpGuard ermöglicht es Unternehmen, Risikobewertungen zu entwickeln, die für die einzigartigen Risikoprofile der einzelnen Assets am relevantesten sind.

Die Bewertungsergebnisse können dann verwendet werden, um Anbieter basierend auf dem Risiko, das sie für bestimmte Assets darstellen, einzustufen. Dies ermöglicht eine effizientere Verteilung der Abhilfemaßnahmen, bei denen die kritischsten Schwachstellen der Assets zuerst behoben werden, um das Kompromittierungspotenzial erheblich zu verringern.

Durch die kontinuierliche Überwachung auf Sicherheitslücken von Drittanbietern stellt UpGuard sicher, dass alle Anbieter, die auf sensible Assets zugreifen, nicht anfällig für Cyberangriffe sind, was das Potenzial von Sicherheitsverletzungen durch Dritte erheblich reduziert.

Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.

Sicherheitskontrolle: 15.1.1 - Informationssicherheitsrichtlinie für Lieferantenbeziehungen

"Anforderungen an die Informationssicherheit zur Minderung der Risiken, die mit dem Zugriff des Lieferanten auf die Vermögenswerte des Unternehmens verbunden sind, sollten mit dem Lieferanten abgestimmt und dokumentiert werden."

UpGuard ordnet das Risikoprofil jedes Anbieters gängigen Cybersicherheits-Frameworks zu, einschließlich ISO 27001 und der Datenschutz-Grundverordnung (DSGVO).

Dieser Prozess identifiziert spezifische Compliance-Lücken, die geschlossen werden müssen, um eine vollständige Compliance zu erreichen.

Mit dem zentralen Dashboard und dem Sicherheitsbewertungsalgorithmus von UpGuard, der auf 70+ Angriffsvektoren basiert, können Sie sofort eine sich verschlechternde Sicherheitslage und die spezifischen Cybersicherheitsrisiken identifizieren, die dafür verantwortlich sind.

Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.

Sicherheitskontrolle: 15.1.2 - Adressierung der Sicherheit in Lieferantenvereinbarungen

"Alle relevanten Anforderungen an die Informationssicherheit sollten mit jedem Lieferanten festgelegt und vereinbart werden, der auf die Informationen des Unternehmens zugreifen, diese verarbeiten, speichern, kommunizieren oder IT-Infrastrukturkomponenten bereitstellen kann."

Mit den Kundenfragebogen-Buildern von UpGuard können Sie maßgeschneiderte Bewertungen erstellen, die die spezifischen Informationssicherheitsverpflichtungen berücksichtigen, denen jeder Drittanbieter zugestimmt hat.

Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.

Sicherheitskontrolle: 15.1.2 d)

"... Verpflichtung jeder Vertragspartei, eine vereinbarte Reihe von Kontrollen zu implementieren, einschließlich Zugangskontrolle, Leistungsüberprüfung, Überwachung, Berichterstattung und Prüfung."

Mit dem integrierten Reporting von UpGuard können Stakeholder die Entwicklung der Informationssicherheitsrisiken jedes Anbieters im Vergleich zu seinen vertraglichen Sicherheitsstandards verfolgen.

Stark regulierte Anbieter - wie z. B. in der Finanz- oder Gesundheitsbranche - müssen bestimmte Cybersicherheits-Frameworks wie SOC 2 und NIST einhalten.

Mit dem Risiko-Framework-Mapping von UpGuard und dem integrierten Behebungs-Workflow können Sie Mängel bei der Sicherheitskontrolle, die eine solche Compliance verhindern, leicht identifizieren und beheben.

Schließlich können Sie mit Sicherheitsbewertungen und benutzerdefinierten Benachrichtigungen die Risikoüberwachung automatisieren, indem Sie Warnungen für erkannte Risiken eines bestimmten Schweregrads festlegen.

Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.

Sicherheitskontrolle: 15.1.2 (m)

"... das Recht, die Lieferantenprozesse und -kontrollen im Zusammenhang mit der Vereinbarung zu überprüfen."

Mit dem überlegenen UX-Design von UpGuard können Sie intuitiv die Funktionen finden, die regelmäßig zur Prüfung von Lieferantenprozessen und -kontrollen erforderlich sind, wie z. B. Risikobewertungen und Compliance-Mapping.

Dieser einfache Zugriff unterstützt einen wiederholbaren und skalierbaren Audit-Workflow.

Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.

Sicherheitskontrolle: 15.1.2 (n)

"... Fehlerlösungs- und Konfliktlösungsprozesse... "

Mit dem integrierten Behebungs-Workflow von UpGuard können Sie den Fortschritt jeder Behebungsanforderung verfolgen und Hindernisse identifizieren, die Ihre Aufmerksamkeit erfordern.

Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.

Sicherheitskontrolle: 15.1.2 (p)

"... Verpflichtungen des Lieferanten zur Einhaltung der Sicherheitsanforderungen des Unternehmens."

Das UpGuard Third-Party Risk Management-System hilft Ihnen, die gesetzlichen Anforderungen an die Datensicherheit für jeden Drittanbieterdienst durch branchenübliche Lieferantenrisikobewertungen und/oder benutzerdefinierte Fragebögen zu verfolgen.

Sicherheitskontrolle: 15.1.3 - Lieferkette der Informations- und Kommunikationstechnologie

"Vereinbarungen mit Lieferanten sollten Anforderungen enthalten, um die Informationssicherheitsrisiken im Zusammenhang mit Informations- und Kommunikationstechnologiediensten und der Produktlieferkette anzugehen."

UpGuard überwacht kontinuierlich die gesamte Angriffsfläche auf Schwachstellen, die Datenschutzverletzungen erleichtern könnten. Diese Risiken könnten mit jedem Prozess von Produkten in der gesamten Lieferkette, einschließlich der Informations- und Kommunikationstechnologie, in Verbindung gebracht werden.

Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.

Sicherheitskontrolle: 15.1.3 (d)

"... Implementierung eines Überwachungsprozesses und akzeptabler Methoden zur Validierung, ob die gelieferten Produkte und Dienstleistungen der Informations- und Kommunikationstechnologie den angegebenen Sicherheitsanforderungen entsprechen."

Die Echtzeit-Sicherheitsbewertungen von UpGuard helfen Ihnen, die Abhilfemaßnahmen aller Drittanbieter zu überwachen und zu bestätigen, um die Einhaltung von Due-Diligence-Praktiken und Compliance-Anforderungen sicherzustellen.

Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.

Sicherheitskontrolle: 15.2.1 - Überwachung und Überprüfung von Lieferantenleistungen

"Unternehmen sollten die Erbringung von Lieferantendienstleistungen regelmäßig überwachen, überprüfen und auditieren.

Bei der Überwachung und Überprüfung von Lieferantendienstleistungen sollte sichergestellt werden, dass die Bedingungen für die Informationssicherheit in den Vereinbarungen eingehalten werden und dass Vorfälle und Probleme im Bereich der Informationssicherheit ordnungsgemäß gehandhabt werden.

Durch Echtzeit-Sicherheitsbewertungen und die Überwachung der Angriffsfläche scannt UpGuard kontinuierlich nach Sicherheitslücken, die die Wirksamkeit von Risikomanagementprozessen widerspiegeln.

Auf diese Weise können Sie Versäumnisse in den Informationssicherheitspraktiken aufdecken, die gegen Cybersicherheitsvereinbarungen verstoßen.

Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.

Sicherheitskontrolle: 15.2.1 c)

"... Durchführung von Audits bei Lieferanten in Verbindung mit einer Überprüfung der Berichte unabhängiger Prüfer, falls verfügbar, und Nachverfolgung der festgestellten Probleme."

UpGuard ermöglicht es Drittanbietern, ihre Sorgfaltspflicht im Bereich Cybersicherheit mit seiner Share Profile-Funktion zu demonstrieren.

Alle Sicherheitsdokumente können in ein gemeinsames Profil hochgeladen werden, einschließlich abgeschlossener Risikobewertungen, Fragebögen und sogar Prüfberichte von externen unabhängigen Prüfern.

Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.

Sicherheitskontrolle: 15.2.1 (g)

"... Überprüfung der Informationssicherheitsaspekte der Beziehungen des Lieferanten zu seinen eigenen Lieferanten."

Die Fourth-Party-Risikoüberwachungsfunktion von UpGuard bildet die Beziehungen zwischen Ihren Drittanbietern und deren Lieferanten ab und hilft Ihnen, aufkommende Schwachstellen bis zur Angriffsfläche von Fourth-Partys zu verfolgen.

UpGuard kann Ihnen auch dabei helfen, Datenlecks zu erkennen und zu schließen, die das Risiko einer Datenschutzverletzung erhöhen - sowohl intern als auch auf der gesamten Angriffsfläche von Drittanbietern und Vierten.