Het doel van het beheer van leveranciersrelaties is om een overeengekomen niveau van informatiebeveiliging en dienstverlening in overeenstemming met de leveranciersovereenkomsten in stand te houden en te handhaven.

Risicobeheer in leveranciersrelaties

Informatiebeveiligingsrisico’s in verband met het gebruik van producten of diensten van leveranciers dienen te worden beoordeeld en behandeld middels het risicobeheerproces.

Het volgende MOET minimaal worden vastgesteld:

Implementatiemaatregel

Adresseren van informatiebeveiliging in leveranciersovereenkomsten

Relevante informatiebeveiligingseisen dienen te worden vastgesteld en met elke leverancier op basis van het type leveranciersrelatie contractueel te worden overeengekomen. Het informatieveiligheidsbeleid en de implementatiemaatregelen van onze organisatie is leidend in de vaststelling van de eisen. Hierbij dient het volgende in ogenschouw te worden genomen:

• Stuur leveranciers zo veel mogelijk op doelstellingen (“WAT ze moeten doen”)

• Stuur leveranciers zo min mogelijk op operationele uitvoering (“HOE ze het moeten doen”)

• Stuur leveranciers op het aantoonbaar voldoen aan industriestandaarden voor informatiebeveiliging middels certificering of attesten (bijv. ISO 27001, NIST, ISAE, SSAE)

• Bij uitzondering kan, gebaseerd op de een risicoanalyse, worden gestuurd op HOE. Bijvoorbeeld in het geval van hoge (wettelijke) eisen, kritieke informatieveiligheidsrisico’s, of de verwerking van zeer vertrouwelijke informatie.

Er dient ook te worden vastgelegd wat de procedure is voor het voortzetten of het herstel van de verwerking van informatie of toegang tot de informatie, indien de leverancier zijn producten of diensten niet meer kan leveren. Bijvoorbeeld als gevolg van een calamiteit, of omdat de leverancier zijn bedrijf heeft gestaakt, of omdat bepaalde onderdelen niet meer leverbaar of vernieuwbaar zijn als gevolg van technologische ontwikkelingen.

De leverancier zal zich bij het verlenen van de diensten houden aan de beveiligingsrichtlijnen van de organisatie en de voor elk van hen aangegeven toegangsprivileges en -rechten waarbij de nodige voorzorgs- en veiligheidsmaatregelen in acht worden genomen. Niet-naleving van deze richtlijnen kan leiden tot beëindiging van de overeenkomst en/of opeising van aansprakelijkheid/schade als gevolg van niet-naleving van deze instructies.

De toegang van externe partijen tot informatie, informatiesystemen of informatieverwerkende faciliteiten moet gebaseerd zijn op een formele overeenkomst die de nodige informatiebeveiligingseisen bevat.

Implementatiemaatregel - Beëindiging van de dienstverleningsovereenkomst

Afspraken over veilige beëindiging van de leveranciersrelatie MOETEN vooraf contractueel worden gemaakt met inbegrip van:

Tot slot, overeenkomsten met externe partijen dienen regelmatig te worden beoordeeld en gevalideerd, en indien nodig, geactualiseerd te worden om te garanderen dat voldaan wordt aan (veranderende) informatiebeveiligingseisen. Overeenkomsten voor clouddiensten zijn vaak vooraf gedefinieerd door de leveranciers, zonder dat het mogelijk is erover te onderhandelen. Voor alle clouddiensten geldt dat deze standaard cloud-overeenkomsten dienen te worden beoordeeld in welke mate ze conform zijn met ons informatieveiligheidsbeleid en dient te worden vastgesteld of eventuele restrisico’s gemitigeerd of geaccepteerd dienen te worden.

Minimale algemene voorwaarden

Overeenkomsten over de toegang van externe partijen

Vereisten over beveiliging

Continuïteit van het dienstverleningsniveau

Beëindiging van de dienstverleningsovereenkomst

Beheren van informatiebeveiliging in de ICT-keten (onderaannemers)

Informatiebeveiligingsrisico’s vanwege de toeleveringsketen van producten en diensten dienen te worden beheerd. Leveranciers kunnen onderaannemers hebben en daarmee dienen ook duidelijke afspraken te worden gemaakt.

Implementatiemaatregel - Onderaannemers

De volgende voorwaarden MOETEN worden overwogen om op te nemen in overeenkomsten met de hoofdleveranciers:

Monitoren, beoordelen en het beheren van wijzigingen van leveranciersdiensten

Leveranciers dienen regelmatig te worden gemonitord, beoordeeld en geëvalueerd op het voldoen aan contractueel vastgestelde informatiebeveiligingseisen.

Implementatiemaatregel - Bewijs

Met betrekking tot bewijs dat leveranciers voldoen aan de informatiebeveiligingseisen, MOET het volgende worden overwogen en contractueel vastgelegd:

Monitoring is veelal detecteren na de feiten. Het is aan te bevelen goede afspraken te maken met leveranciers rondom ingrijpende wijzigingen in de dienstverlening alvorens deze uit te voeren.

Monitoringproces

Bewijs

Verantwoording

Deze maatregel is optioneel maar ten sterkste aan te bevelen in situaties waar vertrouwelijke informatie wordt verwerkt en/of de dienstverlening kritieke bedrijfsprocessen ondersteunt.

Implementatiemaatregel

Relevante eisen rondom formele verantwoording middels certificering en/of attesten ZOUDEN kunnen worden vastgesteld en met de leverancier contractueel worden overeengekomen. Hierbij dient het volgende in ogenschouw te worden genomen:

Richtlijn voor attesten rapportage:

Uitbestede systeemontwikkeling

Als softwareontwikkeling wordt uitbesteed, dienen eisen en verwachtingen te worden vastgesteld en overeengekomen met de leverancier.

Implementatiemaatregel

De volgende punten MOETEN voor de gehele externe toeleveringsketen van de leverancier in overweging worden genomen:

• Licentieovereenkomsten, eigendom van de broncode en intellectuele-eigendomsrechten in verband met de uitbestede inhoud

• Eisen voor beveiligde ontwikkel-, coderings- en testpraktijken

• Acceptatietests voor de kwaliteit en nauwkeurigheid van de leveringen

• Bewijs leveren dat de beveiligings- en privacycapaciteiten aan een minimaal aanvaardbaar niveau voldoen

• Bewijs leveren dat voldoende tests zijn uitgevoerd om te waken voor de (zowel opzettelijke als onbedoelde) aanwezigheid van kwaadaardige inhoud op het tijdstip van levering

• Bewijs leveren dat voldoende tests zijn uitgevoerd om te waken voor de aanwezigheid van bekende kwetsbaarheden

• Escrowovereenkomsten voor de broncode van het systeem (bijv. indien de leverancier failliet gaat)

• Contractueel recht om ontwikkelprocessen en beheersmaatregelen te auditen

• Beveiligingseisen voor de ontwikkelomgeving

• Rekening houden met toepasselijke wetgeving (bijv. bescherming van persoonsgegevens)

Vertrouwelijkheids- of geheimhoudingsovereenkomsten

Vertrouwelijkheids- of geheimhoudingsovereenkomsten behoren te worden geïdentificeerd, gedocumenteerd, regelmatig te worden beoordeeld en ondertekend door de leverancier, en indien noodzakelijk geacht, door individuele personeelsleden van de leverancier (bijv. individuen die toegang hebben tot zeer vertrouwelijke informatie).

Hieronder vindt u een overzicht van de controles die worden ingezet voor het toetsen van de conformiteit aan het beleid.

Door deze controles uit te voeren, kan de organisatie de effectiviteit van haar beleid verzekeren, eventuele nalevingsproblemen aanpakken en de algehele conformiteit met interne en externe vereisten verbeteren.

Zie /wiki/spaces/ISMS/pages/6329503023 voor meer informatie.

Implementatiemaatregel

Bij het vaststellen van de eisen MOETEN de volgende elementen in overweging worden genomen:

• Een definitie van de te beschermen informatie volgens de informatieklassebepaling

• De verwachte looptijd van de overeenkomst, met inbegrip van gevallen waarin het nodig kan zijn de vertrouwelijkheid onbeperkt te handhaven of tot de informatie openbaar beschikbaar wordt

• De vereiste acties als een overeenkomst is beëindigd

• De verantwoordelijkheden en acties van de ondertekenaars betreffende het vermijden van onbevoegd openbaar maken van informatie

• Het eigendom van informatie, handelsgeheimen en intellectuele eigendom, en hoe dit zich verhoudt tot de bescherming van vertrouwelijke informatie

• Het toegelaten gebruik van vertrouwelijke informatie en de rechten van de ondertekenaar om de informatie te gebruiken

• Het recht om activiteiten waar vertrouwelijke informatie voor uiterst gevoelige omstandigheden bij is betrokken, te auditen en te monitoren

• De procedure voor het notificeren en melden van ongeoorloofde openbaarmaking of lekken van vertrouwelijke informatie

• De voorwaarden voor retourneren of vernietigen van informatie na beëindiging van de overeenkomst

• De verwachte te treffen maatregelen indien niet wordt voldaan aan de overeenkomst

Regelgeving en standaarden (L1)

ISO 27001:2022 (Annex A)

Informatieveiligheidsstrategie van de Vlaamse overheid (L2)

Zie voor meer informatie.

Processen

Oplossingen