נוהל: התייחסות לאבטחה בהסכמים עם הספק A15.1.2

מטרת הנוהל היא להבטיח כי כל הספקים המעניקים שירותים לארגון, לרבות ספקי תוכנה, ספקי חומרה, ספקי שירותי ענן, וכו', יהיו כפופים לדרישות אבטחת המידע של הארגון.

תחום יישום

הנוהל חל על כל הספקים המעניקים שירותים לארגון, לרבות ספקים אשר עשויים לגשת, לעבד, לאחסן, לתקשר או לספק רכיבי תשתית הנוגעים במידע של הארגון.

הגדרות

• ספקים: גורמים חיצוניים המספקים שירותים לארגון.
• הסכמי ספקים: הסכמים שנערכים בין הארגון לבין ספקים, אשר קובעים את תנאי ההתקשרות בין הצדדים.
• דרישות אבטחת מידע: דרישות שנקבעו על ידי הארגון על מנת להגן על המידע והנכסים שלו.

אחריות

• הנהלה:
  • אחראית על קביעת מדיניות אבטחת מידע עבור יחסים עם ספקים.
  • אחראית על אספקת המשאבים הדרושים ליישום מדיניות זו.
  • אחראית על מעקב אחר ביצוע מדיניות זו.
• ממונה אבטחת מידע:
  • אחראי על יישום מדיניות אבטחת מידע עבור יחסים עם ספקים.
  • אחראי על ניהול תהליך יישום מדיניות זו.
• מנהלי מערכות:
  • אחראים על יישום מדיניות אבטחת מידע עבור יחסים עם ספקים.

תהליך

1. קביעת דרישות אבטחת מידע

הנהלת הארגון תקבע את דרישות האבטחה של הארגון עבור ספקים, על בסיס הערכת סיכונים. דרישות אלו יקבעו את המידע והנכסים אשר ספקים יוכלו לגשת אליהם, לעבד, לאחסן, לתקשר או לספק רכיבי תשתית הנוגעים בהם.

2. התייחסות לדרישות האבטחה בהסכמי ספקים

מנהלי מערכות יכינו הסכמי ספקים, אשר יכללו את דרישות האבטחה של הארגון. הסכמים אלו יהיו ברורים ומפורטים, וישמרו על זכויות הארגון לאבטחת המידע.

3. בדיקת הסכמים עם ספקים

ממונה אבטחת מידע יבדוק את הסכמים עם ספקים, על מנת לוודא כי הם עומדים בדרישות האבטחה של הארגון.

4. עדכון דרישות אבטחת מידע

הנהלת הארגון תשקול את הצורך לעדכן דרישות אבטחת מידע עבור ספקים, על בסיס שינויים בעסקי הארגון או ברגולציה.