.png)
Ved tjenesteutsetting (utkontraktering) av IKT-funksjoner eller andre funksjoner av betydning for informasjonssikkerhet eller personvern skal avtalen som minimum omfatte følgende punkter knyttet til informasjonssikkerhet og personvern:
Avtalen skal sikre at virksomheten også gis rett til å revidere leverandørens aktiviteter som er knyttet til avtalen. Revisjonene kan gjennomføres av en avtalt tredjepart.
Virksomheten skal sørge for å ha en god plan for ivaretakelse av informasjonssikkerhet og personvern ved avslutning av tjenesteleveransen. Ved terminering av kontrakten skal det foreligge en signert erklæring fra leverandøren om at alle data tilhørende virksomheten er tilbakelevert eller slettet til avtalt tid.
Kaikkien tietojen käsittelyyn suorasti tai välillisesti osallistuvien kumppanien kanssa laaditaan toimittajasopimus. Tavoitteena on varmistaa, että organisaation ja toimittajan välillä ei ole väärinymmärryksiä osapuolten velvoitteista tietoturvavaatimusten täyttämisessä.
Organisaatio sisällyttää toimittajasopimukseen tarvittaessa seuraavat asiat:
Hyväksyttyjen toimittajien kanssa tehtäviin sopimuksiin olisi sisällytettävä konfiguraatiokartta, jossa kuvataan toimittajan ratkaisu ja sen rajapinta organisaation kanssa. Siinä olisi dokumentoitava tietovirrat, integraatiopisteet, käyttömekanismit ja mahdolliset aliprosessorit tai neljännen osapuolen riippuvuudet. Kartan tulisi muodostaa perusta tietoturvavastuiden määrittelylle ja tukea asianmukaista valvontaa ja poistumissuunnittelua.
Organisaation on myös dokumentoitava, mitkä turvallisuuden kannalta merkittävät tehtävät kuuluvat sopimuksen piiriin, ja määriteltävä kullekin niistä selkeä omistajuus. Organisaatiolle jäävät vastuut olisi erotettava toimittajalle siirretyistä vastuista. Tähän kuuluu myös sellaisen irtisanomissuunnitelman laatiminen, jossa edellytetään, että toimittaja palauttaa tai poistaa kaikki organisaation tiedot turvallisesti sopimuksen päättyessä, mikä vahvistetaan allekirjoitetulla ilmoituksella. Osana jäsenneltyä palveluntarjoajan poistamista olisi käsiteltävä myös käyttöoikeuksien peruuttamista, valtuuksien vaihtamista ja tarkastuslokien hakua.
Organisaatio sopii ja toteuttaa yhteisen tietoturvariskien hallintamenettelyn ja prosessit sidosryhmien kanssa.
Organisaation tulisi pyrkiä integroimaan kolmannen osapuolen riskien hallinta osaksi oman organisaation yleistä tietoturvariskienhallintaa. Siinä tulisi:
Organisaation on määriteltävä turvallisuusarviointi ja toteutettava se tarjottujen digipalveluiden toimitusketjuun kuuluville kumppaneille säännöllisesti.
Tällä tulisi varmistaa tarjottaiven palvelujen turvallisuuteen vaikuttavien kumppanien vaatimustenmukaisuus ja sitä kautta sopimusehtojen täyttyminen.
Digiturvamallissa kaikki vaatimuskehikkojen vaatimukset kohdistetaan universaaleihin tietoturvatehtäviin, jotta voitte muodostaa yksittäisen suunnitelman, joka täyttää ison kasan vaatimuksia.
.png)
Aloita ilmaiseksi tutussa Microsoft Teams -ympäristössä.
Jos sinulla on kysymyksiä, varaa palaveri sinulle sopivaan ajankohtaan.
.svg)
.svg)
