Lieferanten und Dienstleister, etwa ein IT-Partner, ein Rechenzentrum oder ein Cloud-Anbieter, bilden Sie in Varmo als Assets ab. So gelten für sie dieselben Abläufe wie für Ihre Systeme: Eigentümer, Abhängigkeiten, vererbter Schutzbedarf und das Sicherheitsverfahren mit den Anforderungen, die für Lieferanten gelten. Ein eigenes Lieferantenregister mit Verträgen oder Fragebögen gibt es nicht. Dieser Artikel richtet sich an ISMS-Verantwortliche und an alle, die Dienstleister verantworten.
Bevor Sie beginnen
- Jede Organisation startet mit der Oberkategorie Lieferanten und darin der Kategorie Dienstleister. Sie steht in der Abhängigkeitskette auf der Stufe „Räume, Gebäude und Dienstleister“.
- Die Oberkategorie hat die Art „Lieferanten (Dienstleister)“. Damit schlägt Varmo beim Festlegen der Anforderungen die Kapitel der Kataloge vor, die für Dienstleister gelten, zum Beispiel Vertragspflichten. Struktur und Art passen Sie unter ISMS-Einstellungen › Assets › Asset-Struktur an, siehe Asset-Struktur anpassen.
- Lieferanten haben standardmässig kein Status-Feld, weil sie keinen Betriebs-Lebenszyklus wie ein System haben.
So erfassen Sie einen Dienstleister
- Legen Sie den Dienstleister wie jedes andere Asset im Inventar an und wählen Sie die Kategorie Dienstleister, siehe Assets erfassen und Abhängigkeiten festlegen.
- Legen Sie den Eigentümer fest, also die Person, die die Zusammenarbeit verantwortet.
- Verknüpfen Sie unter Verknüpfte Assets, welche Anwendungen oder Systeme der Dienstleister betreibt oder welche Informationen er bearbeitet. Über diese Verknüpfungen erhält er den Schutzbedarf der Informationen als Kritikalität.
- Führen Sie das Sicherheitsverfahren durch: Der Eigentümer beantwortet die Anforderungen, die für die Kategorie Dienstleister festgelegt sind, und reicht sie zur Freigabe ein.
Risiken an Dienstleister übertragen
Wählen Sie bei einem Risiko die Behandlungsoption Übertragen, etwa weil ein Dienstleister den Betrieb übernimmt, schlägt Varmo bei den Massnahmen zusätzlich die Anforderungen zu Lieferantenbeziehungen aus ISO/IEC 27001 Anhang A vor (A.5.19 bis A.5.23), sofern Ihre Organisation diesen Katalog übernommen hat. Siehe Risiken melden, prüfen und behandeln.
Was danach passiert
- Ändert sich der Schutzbedarf einer verknüpften Information, passt Varmo die Kritikalität des Dienstleisters an.
- Ist das Sicherheitsverfahren befristet, erhält der Eigentümer vor Ablauf eine Pendenz zur Überprüfung.
Häufige Fragen
Wo halte ich Verträge und Vereinbarungen fest?
Legen Sie sie als Nachweis im Sicherheitsverfahren des Dienstleisters ab, bei der jeweiligen Anforderung, oder unter Dokumente & Nachweise.
Gehören Lieferanten auch zu den interessierten Parteien?
Ja, wenn sie Anforderungen an Ihre Informationssicherheit stellen. Interessierte Parteien erfassen Sie unabhängig von den Assets im Kontext der Organisation.