Organisaation on ylläpidettävä listaa kumppaneista, joilla on pääsy luottaumuksellisiin tietoihin. Järjestelmätoimittajat sekä henkilötietojen käsittelijät listataan erillään muista sidosryhmistä, koska heillä on aktiivinen rooli tietojen käsittelyssä.

Organisaation valtuutetun henkilön olisi laadittava ja dokumentoitava menettely hankintaprosessin turvallisuuden hallintaa varten. Tätä sovelletaan hankittaessa tietojärjestelmiin liittyviä palveluja, töitä tai laitteita.

Menettelyllä olisi varmistettava, että

• Perustason turvallisuusvaatimukset määritellään ja sisällytetään hankinta-asiakirjoihin.
• Mahdollisten toimittajien turvallisuusvalmiudet arvioidaan ennen valintaa.
• Sopimukset sisältävät tarvittavat kyberturvallisuuslausekkeet, kuten velvollisuudet raportoida vaaratilanteista ja auditointioikeudet.
• Hankittujen ratkaisujen varmennetaan olevan organisaation tietoturvakäytäntöjen mukaisia.

Organisaation on otettava huomioon kuhunkin suoraan toimittajaan ja palveluntarjoajaan liittyvät erityiset haavoittuvuudet sekä toimittajien ja palveluntarjoajien tietoturvatuotteiden ja -käytäntöjen yleinen laatu, mukaan lukien niiden turvalliset kehitysmenettelyt.

Lisäksi organisaation on otettava huomioon verkko- ja tietoturvayhteistyöryhmän toteuttamien kriittisiin toimitusketjuihin kohdistuvien turvallisuusriskien koordinoitujen arviointien tulokset.

Organisaatio sopii ja toteuttaa yhteisen tietoturvariskien hallintamenettelyn ja prosessit sidosryhmien kanssa.

Organisaation tulisi pyrkiä integroimaan kolmannen osapuolen riskien hallinta osaksi oman organisaation yleistä tietoturvariskienhallintaa. Siinä tulisi:

• Arvioida keskenäisiä riippuvuuksia
• Arvioida riskejä liittyen kolmannen osapuolen tarjoamiin sopimuksiin
• Huolehtia riskienhallinnan skaalasta organisaation koon ja tarpeen perusteella

Nimetty vastuuhenkilö seuraa toimittajan toimintaa ja palveluita aktiivisesti, jotta varmistetaan sopimusten tietoturvaehtojen noudattaminen ja tietoturvahäiriöiden asianmukainen hallinta.

Seurantaan sisältyvät seuraavat asiat:

• luvatun palvelutason tarkkailu
• toimittajan raporttien katselmointi ja seurantapalaverien järjestäminen
• riippumattomien auditointien säännöllinen järjestäminen
• auditoinneissa tunnistettujen ongelmien seuranta
• tietoturvahäiriöiden tarkempi selvittäminen ja niihin liittyvän dokumentaation katselmointi
• toimittajan tulevaisuuteen liittyvien suunnitelmien läpikäynti (palvelutason ylläpitämiseen liittyen)

Vastuuhenkilö seuraa merkittäviä muutoksia toimittajan toiminnassa, jotka voivat vaikuttaa toimittajasuhteeseen ja palveluntarjontaan sekä vaatia täten muita toimenpiteitä. Seuraavat näkökohdat huomioidaan:

• suorat muutokset toimittajasopimuksiin
• palvelusisällön parannukset, uudet teknologiat tai uusien palvelujen kehittäminen
• toimintatapojen merkittävät muutokset (joko tietoturvaan tai muuhun toimintaan liittyen)
• tietojen fyysistä sijaintia koskevat muutokset
• toimittajaketjun / alihankintaprosessin muutokset