ГОСТ Р ИСО/МЭК 27036-2-2020 Информационные технологии (ИТ). Методы и средства обеспечения безопасности. Информационная безопасность во взаимоотношениях с поставщиками. Часть 2. Требования.

Приобретающая сторона

Текст, присущий приобретающей стороне

Поставщик

Текст, присущий поставщику

Приобретающая сторона

Текст, присущий приобретающей стороне

Приобретающая сторона

а) разработать стратегию взаимоотношений с поставщиком, которая:

1) основывается на допустимости риска в области информационной безопасности приобретающей стороны;

2) определяет основу информационной безопасности для использования при планировании, подготовке, управлении и прекращении приобретения продукции или услуги

Приобретающая сторона

а) определять, реализовывать, поддерживать и совершенствовать стратегию взаимоотношений с поставщиком, содержащую:

1) мотивы управления, потребности и ожидания от приобретения продукции или услуг.

Примечание - Соответствующие положения должны быть выражены с деловой, функциональной, правовой и нормативной точек зрения;

2) обязательство руководства выделить необходимые ресурсы;

3) механизм управления рисками в области информационной безопасности, используемый для оценки рисков, свойственных приобретению продукции или услуги.

Примечание - Требования для создания механизма управления рисками в области информационной безопасности определены в 6.3.4;

4) основные положения, используемые при определении требований к информационной безопасности в процессе планирования взаимоотношений с поставщиком. Эти положения должны быть определены в соответствии с руководящими принципами и правилами информационной безопасности, такими как политика информационной безопасности и классификация информации, устанавливаемая приобретающей стороной. Требования к информационной безопасности, определенные в этих основных положениях, должны быть адаптируемыми для каждого примера взаимоотношений с поставщиком, учитывая тип и характер обеспечиваемой продукции или услуги. Они должны также включать следующее:

i) методы предоставления поставщиком доказательств соблюдения определенных требований к информационной безопасности;

ii) методы для приобретающей стороны, обеспечивающие аттестацию и соблюдение поставщиками определенных мер и требований по информационной безопасности;

iii) процессы обмена информацией об изменениях в информационной безопасности, инцидентах и других соответствующих событиях у приобретающей стороны и поставщиков;

5) систему критериев отбора поставщика, которая включает в себя:

i) методы оценки уровня зрелости информационной безопасности, требуемой от поставщика. Следующие данные могут быть запрошены у поставщика для оценки уровня его зрелости в области информационной безопасности:

- прошлые показатели, связанные с безопасностью;

- доказательства проактивного управления информационной безопасностью (например, сертификация по ИСО/МЭК 27001, относящаяся к поставке продукции или услуги);

- доказательства документируемых и проверяемых планов обеспечения непрерывности бизнеса, в том числе в части ИКТ;

ii) методы, используемые для оценки доказательств, представленных поставщиком, на основе определенных требований к информационной безопасности;

iii) методы для оценки принятия поставщиком:

- требований к информационной безопасности, определенных в плане взаимоотношений с поставщиком;

- обязательств оказывать поддержку приобретающей стороне в его контроле соответствия и соблюдении обязательств;

- процедур передачи поставляемой продукции или услуги, когда они были ранее произведены или применены приобретающей стороной или другим поставщиком;

- процедур прекращения поставки продукции или услуги.

iv) требования к поставщикам, определяемые в соответствии с деловыми, правовыми, нормативными, архитектурными требованиями, политикой и договорными ожиданиями от приобретающей стороны, такими как:

- финансовые возможности поставщика, характеризующие способность поставлять продукцию или услугу;

- местонахождение поставщика, а также место, откуда будет поставляться продукция или услуга для частичного снижения риска правовых и нормативных нарушений;

6) требования к информационной безопасности высшего уровня, используемые при определении:

i) плана передачи для выполнения передачи другому поставщику приобретенной продукции или услуги;

ii) процедуры управления изменениями в части информационной безопасности;

iii) процедуры управления инцидентами в области информационной безопасности;

iv) плана контроля соответствия и соблюдения обязательств;

v) плана прекращения закупки товаров и услуг;

b) назначать лицо, ответственное за решение вопросов информационной безопасности в стратегии взаимоотношений с поставщиком, и обеспечивать прохождение этим лицом соответствующего регулярного обучения;

c) обеспечивать, чтобы стратегия взаимоотношений с поставщиком пересматривалась не реже одного раза в год и всякий раз, когда это необходимо, при деловых, правовых, нормативных, архитектурных, договорных изменениях и изменениях в политике организации.

Примечание - Стратегию взаимоотношений с поставщиком также следует пересмотреть, когда приобретение продукции или услуги может существенно повлиять на приобретающую сторону

Поставщик

а) установить стратегию взаимоотношений с приобретающей стороной, которая:

1) основывается на допустимости риска поставщика в области информационной безопасности;

2) определяет основы информационной безопасности для использования при планировании, подготовке, управлении и прекращении поставки продукции или услуги

Поставщик

a) определять, реализовывать, поддерживать и совершенствовать стратегию взаимоотношений с приобретающей стороной, содержащую:

1) управленческие мотивы, потребности и ожидания от поставки продукции или услуг.

Примечание - Эти положения должны быть выражены с деловой, функциональной и юридической точек зрения;

2) обязательство руководства выделить необходимые ресурсы;

3) механизм управления рисками в области информационной безопасности, используемый для оценки рисков, свойственных поставке продукции или услуги.

Примечание - Требования для создания механизма управления рисками в области информационной безопасности определены в 6.3.4;

4) основные положения по управлению информационной безопасностью с использованием:

i) определения, реализации, поддержания и совершенствования системы управления информационной безопасностью в рамках организации.

Примечание - Создание системы управления информационной безопасностью на основе ИСО/МЭК 27001 [8] может служить определенной гарантией для обеспечения адекватного управления информационной безопасностью внутри организации и демонстрации ее уровня для приобретающей стороны;

ii) гарантии того, что требования информационной безопасности, изложенные в существующих тендерных заявках приобретающей стороны, были определены в документах и соглашениях о взаимоотношениях с поставщиком для обеспечения соответствия поставщика этим требованиям. Любой выявленный недостаток по информационной безопасности должен быть устранен для удовлетворения требований приобретающей стороны в существующем соглашении о взаимоотношениях с поставщиком;

iii) определения процесса принятия, интерпретации, применения и количественной оценки требований приобретающей стороны в области информационной безопасности;

5) методы для:

i) демонстрации способности поставщика поставлять продукцию или услугу приемлемого качества;

ii) предоставления доказательств соблюдения требований информационной безопасности, определенных приобретающей стороной;

6) требования к информационной безопасности высшего уровня, используемые при определении:

i) плана передачи другому поставщику приобретенной продукции или услуги, когда она была ранее произведена или используема приобретающей стороной или другим поставщиком;

ii) процедуры управления изменениями в части информационной безопасности;

iii) процедуры управления инцидентами в области информационной безопасности;

iv) процессов обмена информацией об изменениях в информационной безопасности, инцидентах и других соответствующих событиях среди поставщиков и приобретающей стороны;

v) процесса обработки корректирующих действий;

vi) плана прекращения поставки продукции или услуги.

b) определять, реализовывать, поддерживать и совершенствовать процесс идентификации и классификации поставщиков или приобретающих сторон на основе соблюдения конфиденциальности информации, распределяемой им, и прав доступа к активам (таким как информация и информационные системы), предоставленным приобретающей стороной или поставщиком;

c) обеспечивать пересмотр стратегии взаимоотношений с приобретающей стороной не реже одного раза в год или всякий раз, когда это необходимо при деловых, правовых, нормативных, архитектурных, договорных изменениях и изменениях в политике организации.

Примечание - Стратегию взаимоотношений с приобретающей стороной также следует пересмотреть, когда приобретение продукции или услуги может существенно повлиять на поставщика

Приобретающая сторона

Поставщик

а) При управлении информационной безопасностью во взаимоотношениях с поставщиком приобретающая сторона и поставщик должны установить процесс управления моделью жизненного цикла.

Примечание - Целью этого процесса является определение, поддержка и обеспечение доступности политик, процессов жизненного цикла, моделей жизненного цикла и процедур, используемых организацией. В настоящем стандарте не предъявляются конкретные требования и не даются рекомендации для приобретающих сторон или для поставщиков по определению того, когда внутри организации устанавливается этот процесс.

Приобретающая сторона

Поставщик

а) обеспечить инфраструктуру с возможностью управления информационной безопасностью в пределах взаимоотношений с поставщиком

Приобретающая сторона

Поставщик

a) определять, реализовывать, поддерживать и улучшать возможности физической и логической инфраструктуры безопасности для защиты активов приобретающей стороны или поставщика, таких как информация и информационные системы;

b) определять, реализовывать, поддерживать и совершенствовать механизмы непредвиденных расходов для обеспечения того, чтобы приобретение или поставка продукции или услуг могли продолжаться в случае нарушений, вызванных естественными или искусственными причинами. Эти механизмы следует основывать на оценках рисков в области информационной безопасности и связанных с ними планах восстановления, вытекающих из приобретения или поставки продукции или услуг. Сюда следует включать:

1) обеспечение альтернативных, безопасных условий для продолжения поставок продукции или услуг;

2) сохранение информации и решение вопросов собственности на технологии, например связанных с исходным кодом приложений и криптографическими ключами, использующими доверенную третью сторону;

3) механизмы восстановления для обеспечения постоянной доступности информации, хранящейся у субподрядчика.

Примечание - Эти договоренности должны рассматриваться только в том случае, если поставщик предоставляет услуги приобретающей стороне;

4) согласование по ограничениям, связанным с обеспечением непрерывности бизнеса и выраженным приобретающей стороной или поставщиком.

Примечание - Следующие стандарты содержат требования и руководящие указания в отношении непредвиденных обстоятельств:

- ИСО/МЭК 27031 [3];

- ИСО 22313 [4];

- ИСО 22301 [5]

Приобретающая сторона

Поставщик

а) для каждого отдельного проекта из тех проектов, в которые вовлечены поставщики или приобретающие стороны, установить этот процесс для рассмотрения информационной безопасности и общих последствий и зависимостей в бизнесе

Приобретающая сторона

Поставщик

a) определять, реализовывать, поддерживать и совершенствовать процесс идентификации и классификации поставщиков или приобретающих сторон на основе соблюдения конфиденциальности информации, распределяемой им, и прав доступа к активам, таким как информация и информационные системы, предоставленным приобретающей стороной или поставщиком.

Примечание - Поставщик, имеющий очень ограниченный доступ к активам приобретающей стороны, таким как информация и информационные системы, может быть классифицирован как некритический. В то же время поставщик, разрабатывающий, например, критичное программное обеспечение для приобретающей стороны, может быть классифицирован как критический;

b) определять, реализовывать, поддерживать и улучшать способ гарантирования того, что рассмотрение вопросов информационной безопасности интегрировано в оценку эффективности работы поставщика в составе каждого отдельного проекта;

c) гарантировать, что закрытие проекта с участием поставщика или приобретающей стороны учитывает вопросы информационной безопасности, задокументированные в плане прекращения приобретения продукции или услуги

Приобретающая сторона

Поставщик

а) гарантировать, что приобретающая сторона и поставщик обеспечены необходимыми человеческими ресурсами, имеющими компетенции, которые регулярно поддерживаются и соответствуют требованиям информационной безопасности во взаимоотношениях с поставщиком

Приобретающая сторона

Поставщик

а) рассматривать следующие вопросы в рамках программы обучения и повышения осведомленности в области информационной безопасности:

1) руководящие указания и правила информационной безопасности, такие как политика информационной безопасности и классификация информации, в частности, для персонала, занимающегося взаимоотношениями;

2) требования к информационной безопасности, обычно определяемые в соглашении о взаимоотношениях с поставщиком, для демонстрации наличия таких требований, которые отвечают потребностям и ожиданиям приобретающей стороны;

3) прошлые показатели поставщиков в отношении уровня их соответствия требованиям приобретающей стороны относительно информационной безопасности, что применимо в качестве демонстрационных примеров;

b) выявлять и оценивать персонал в отношении его доступа и возможности раскрывать или изменять информацию в рамках взаимоотношений с поставщиком, например в части конфиденциальной информации или интеллектуальной собственности, когда это не должно быть раскрыто или изменено;

c) обеспечивать, чтобы определенный персонал, в частности те, кто занимается информационной безопасностью или решениями по приобретению или поставке продукции или услуги, обладал достаточными компетенциями и квалификацией;

d) обучать данный персонал аспектам информационной безопасности во взаимоотношениях с поставщиком с последующим проведением мероприятий по оценке полученных знаний;

e) в рамках действующего законодательства обеспечивать проведение детальных проверок по уголовным делам и биографическим данным для персонала, планируемого на ключевые позиции во взаимоотношениях с поставщиком;

f) определять резервные варианты для важнейших аспектов взаимоотношений с каждым поставщиком с целью недопущения прекращения данных взаимоотношений при увольнении (переходе на другую работу) сотрудников организаций, ответственных за взаимодействие

Приобретающая сторона

Поставщик

а) Приобретающая сторона и поставщик должны установить процесс управления качеством при управлении информационной безопасностью в своих взаимоотношениях.

Примечание - Целью данного процесса является обеспечение соответствия продукции и услуг требованиям по качеству и достижение удовлетворенности для организации-потребителя. При проведении внутренних операций по установлению этого процесса к приобретающей стороне и поставщику не предъявляются какие-либо специальные требования и не даются рекомендации по информационной безопасности, которые следует учитывать

Приобретающая сторона

а) установить процесс планирования проекта,  направленный на обеспечение информационной безопасности во взаимоотношениях с поставщиком

Приобретающая сторона

Поставщик

a) включать нижеследующее:

1) осуществлять воздействие на формирование проектных затрат, планов и списков требований информационной безопасности и на определение активов, используемых в рамках приобретения или поставки продукции или услуги;

2) осуществлять интеграцию требований информационной безопасности в соответствующие проектные роли, обязанности, подотчетности и компетенции;

3) обеспечивать безопасность информации ограниченного доступа, на которую могут воздействовать взаимоотношения с поставщиком, такой как финансовая информация, интеллектуальная собственность, информация о заказчиках или штатном персонале;

4) обеспечивать ресурсами, например финансовыми, которые призваны гарантировать защиту активов

Приобретающая сторона

Поставщик

a) Приобретающая сторона и поставщик должны установить процесс оценки и контроля проекта при управлении информационной безопасностью во взаимоотношениях с поставщиками.

Примечание - Цель этого процесса состоит в том, чтобы определить статус проекта и непосредственно плана его выполнения, чтобы гарантировать, что для решения технических задач проект развивается согласно планам и срокам в пределах запланированных бюджетов. При проведении внутренних операций по установлению этого процесса к приобретающей стороне и поставщику не предъявляются какие-либо специальные требования и не даются рекомендации информационной безопасности, которые следует учитывать (адаптирован из ИСО/МЭК 15288 [1])

Приобретающая сторона

Поставщик

a) Приобретающая сторона и поставщик должны установить процесс управления решениями при управлении информационной безопасностью во взаимоотношениях с поставщиками.

Примечание - Цель этого процесса состоит в том, чтобы при наличии альтернативы выбрать самый выгодный курс действий по проекту. При проведении внутренних операций по установлению этого процесса к приобретающей стороне и поставщику не предъявляются какие-либо специальные требования и не даются рекомендации информационной безопасности, которые следует учитывать (адаптирован из ИСО/МЭК 15288 [1])

Приобретающая сторона

Поставщик

a) постоянно рассматривать риски информационной безопасности во взаимоотношениях с поставщиками на протяжении всего жизненного цикла, включая периодические повторные проверки и проверки в случае значительных деловых, правовых, нормативных, архитектурных, договорных изменений и изменений в политике

Приобретающая сторона

2) с учетом оценки поставщиков в связи с:

i) прошлой историей, такой как предыдущие и текущие договоренности и спорная информация;

ii) договорными соглашениями, такими как соглашения о взаимоотношениях с поставщиком и соглашения о неразглашении конфиденциальной информации;

iii) последствиями для информационной безопасности применительно к приобретаемым продукции или услугам, включая обработанные активы приобретающей стороны, основную технологическую инфраструктуру, деловую зависимость и подключаемых субподрядчиков;

iv) способностью поставщика к демонстрации уровня его зрелости в вопросах обеспечения информационной безопасности;

3) с учетом нижеприведенных аспектов при определении метода для оценки поставщиков:

i) типа оценки для применения к поставщикам, такой как самооценка или независимая оценка, выполняемая третьим лицом;

ii) уровня детализации и частоты выполнения оценки;

c) применять нижеследующие способы управления рисками в области информационной безопасности:

1) классифицировать существующие случаи приобретения или поставки продукции или услуг;

2) классифицировать поставщиков или приобретающие стороны, вовлеченных в эти случаи, когда:

i) определяется стратегия взаимоотношений с поставщиком или приобретающей стороной;

ii) планируется приобретение или поставка продукции или услуги.

Примечание - В случае, если организация сертифицирована по требованиям ИСО/МЭК 27001[8], рекомендуется включать активы, появляющиеся от приобретения или поставки продукции или услуги, в реестр активов системы управления информационной безопасностью, чтобы гарантировать непрерывную оценку риска в области информационной безопасности и реагирование на этот риск