Johdon olisi osallistuttava päätöksiin, jotka koskevat yksityisten toimittajien käyttöä ja tietyn laajuista ulkoistamista. Organisaation olisi myös varmistettava, että kaikkiin toimittajasopimuksiin sisältyy erityisiä tietoturvaa ja yksityisyyden suojaa koskevia vaatimuksia yksityisten toimittajien kanssa ja että ne perustuvat riskinarviointeihin.

Riskinarviointiin olisi sisällyttävä skenaarioita, joihin liittyy toimittajan luvallinen ja mahdollisesti luvaton pääsy terveys- ja henkilötietoihin ja muihin luottamuksellisiin tietoihin. Näissä sopimusvaatimuksissa olisi määriteltävä selkeästi toimittajan vastuu tietojen suojaamisesta, vaaratilanteista ilmoittamisesta ja tietoturvatarkastusten mahdollistamisesta. Kaikkia toimittajahallinnan vaiheita hankinnasta sopimuksen päättämiseen olisi käsiteltävä.

Kaikki mahdolliset toimittajat, kriittisten resurssien toimittajat ja muut asiaankuuluvat kolmannet osapuolet arvioidaan ennen hankintaa esimerkiksi seuraavin keinoin:

• Perusteellisen due diligence -tarkastuksen tekeminen sekä hankinnansuunnittelu, jotka vastaavat kunkin toimittajasuhteen riskitasoa, kriittisyyttä ja monimutkaisuutta.
• Arvioidaan teknologian sekä riskinhallinta- ja kyberturvallisuuskäytäntöjen soveltuvuus.
• Tehdään toimittajien riskinarviointeja liiketoiminnan ja sovellettavien kyberturvallisuusvaatimusten perusteella.
• Arvioidaan kriittisten tuotteiden aitous, eheys ja turvallisuus ennen hankintaa ja käyttöä.

Organisaatiolla olisi oltava määritellyt ja dokumentoidut prosessit kriittisten toimittajasuhteiden irtisanomista varten sekä tavanomaisissa että epäsuotuisissa olosuhteissa. Epäsuotuisat olosuhteet voivat olla esimerkiksi seuraavat:

• tietomurto tai tietoturvaloukkaus
• oikeudelliset, eettiset tai sääntelyyn liittyvät rikkomukset
• Sopimusrikkomus tai palveluhäiriö

Prosesseissa tulisi määritellä ainakin seuraavat asiat:

• Miten organisaation tietoja sisältävä omaisuus palautetaan tai hävitetään turvallisesti ja miten toimittajan pääsy organisaation resursseihin poistetaan.
• Järjestelmän jatkuvuus ja häiriönsietokyky, esim. miten riippuvaiset toiminnot säilytetään toimintakykyisinä, kun toimittaja poistetaan tai vaihdetaan.
• Komponenttien elinkaaren loppuvaiheen huoltotuki ja vanhentuminen.
• Keinot, joilla estetään ja lievennetään tietovuotoja tai tietoihin ja järjestelmiin liittyviä riskejä toimittajan irtisanoessa toimintansa.

Ylimmän johdon on varmistettava selkeät vastuualueet/valtuudet ainakin seuraavissa asioissa:

• kuka on ensisijaisesti vastuussa siitä, että tietoturvallisuuden hallintajärjestelmä on tietoturvavaatimusten mukainen.
• ketkä toimivat ISMS:n teemojen omistajina, jotka vastaavat tietoturvallisuuden hallintajärjestelmän pääteemoista.
• kenellä on vastuu ja valtuudet raportoida ylimmälle johdolle tietoturvallisuuden hallintajärjestelmän toimivuudesta.
• kenellä on valtuudet suorittaa sisäisiä tarkastuksia

ISMS-teemojen omistajat esitellään johtamisjärjestelmän työpöydällä ja tietoturvapoliitiikan raportissa.

Lisäksi ylimmän johdon on varmistettava, että kaikki tietoturvan kannalta merkitykselliset roolit sekä niihin liittyvät vastuut ja valtuudet määritellään ja niistä tiedotetaan. On myös tärkeää tunnistaa ulkoisten kumppaneiden ja palveluntarjoajien roolit ja vastuut.

Nimetty vastuuhenkilö seuraa toimittajan toimintaa ja palveluita aktiivisesti, jotta varmistetaan sopimusten tietoturvaehtojen noudattaminen ja tietoturvahäiriöiden asianmukainen hallinta.

Seurantaan sisältyvät seuraavat asiat:

• luvatun palvelutason tarkkailu
• toimittajan raporttien katselmointi ja seurantapalaverien järjestäminen
• riippumattomien auditointien säännöllinen järjestäminen
• auditoinneissa tunnistettujen ongelmien seuranta
• tietoturvahäiriöiden tarkempi selvittäminen ja niihin liittyvän dokumentaation katselmointi
• toimittajan tulevaisuuteen liittyvien suunnitelmien läpikäynti (palvelutason ylläpitämiseen liittyen)

Organisaatiossa on tarpeeksi koulutettua, valvottua ja tarvittaessa asianmukaisesti turvallisuusselvitettyä henkilöstöä, jotka toimivat tietoturvan avainrooleissa suorittaen tietoturvallisuuden hallintajärjestelmään liittyviä hallintatehtäviä.

Organisaatio on määritellyt:

• millainen pätevyys tällä henkilöstöllä tulee olla
• kuinka pätevyys hankitaan ja varmistetaan (esim. soveltuvan koulutuksen ja koulutuksen seurannan avulla)
• kuinka pätevyys voidaan osoittaa dokumentaation avulla

Tehtävän omistaja katselmoi turvallisuushenkilöstön määrää ja osaamistasoa säännöllisesti.