Models i registres · ISO 27001 · Apartat A.5.19 a A.5.22
Model d'avaluació de seguretat de proveïdors ISO 27001
La fitxa de cada proveïdor que toca informació o sistemes de l'empresa: quin accés té, què se li exigeix per contracte i com es comprova que ho compleix.
En una frase
L'avaluació de seguretat de proveïdors classifica cada proveïdor segons l'accés que té a la informació, fixa els requisits de seguretat del contracte i en deixa constància del seguiment; respon als controls 5.19 a 5.22 d'ISO/IEC 27001:2022, que demanen gestionar els riscos dels proveïdors, acordar requisits, tenir cura de la cadena de subministrament TIC i supervisar-ne els serveis.
- On ho demana la norma
- ISO 27001 · Apartat A.5.19 a A.5.22 Els apartats segueixen ISO/IEC 27001:2022; els que comencen per «A.» són controls de l'annex A, exigibles en la mesura que la declaració d'aplicabilitat els inclogui.
- Tipus d'informació
- Bona pràctica Evidència dels controls 5.19 a 5.22 de l'annex A
- Qui l'emplena
- Compres amb el responsable de seguretat El propietari del servei contractat participa en la revisió
- Quan
- Abans de contractar i periòdicament Revisió segons la criticitat i davant de canvis en el servei o d'incidents del proveïdor
- Quant de temps es conserva
- El fixa l'organització ISO/IEC 27001 no dona terminis: demana decidir la conservació i l'eliminació de la informació documentada (7.5.3). Cobrir el cicle de certificació de tres anys permet mostrar l'històric a la renovació.
Què demana la norma
El que exigeix ISO 27001 i el que deixa al teu criteri
Els controls 5.19 a 5.22 cobreixen el cicle complet: definir com es gestionen els riscos dels proveïdors, acordar amb cadascun els requisits de seguretat, estendre'ls a la cadena de subministrament TIC i supervisar, revisar i avaluar les seves pràctiques, inclosos els seus canvis. El 5.23 hi afegeix els serveis al núvol.
No és l'avaluació de proveïdors d'ISO 9001, que mira qualitat, termini i preu: aquí la pregunta és quin dany podria causar el proveïdor a la informació i quines garanties dona.
L'esforç es gradua per risc: un proveïdor d'allotjament amb dades de clients demana qüestionari, clàusules i revisió anual; el de material d'oficina, cap.
Estructura
Camps que ha de tenir el model
- Proveïdor i servei prestat
- Tipus d'accés: dades, sistemes, instal·lacions
- Criticitat per a la seguretat
- Requisits exigits i clàusules signades (confidencialitat, avís d'incidents, subcontractació, auditoria)
- Evidències aportades: certificats, informes, qüestionari
- Data d'avaluació i resultat
- Incidents del proveïdor i canvis en el seu servei
- Propera revisió
Exemple
Exemple: proveïdor d'allotjament al núvol
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| Proveïdor | Proveïdor de núvol (fictici) · allotjament de la plataforma SaaS |
| Accés | Infraestructura on resideixen les dades de clients |
| Criticitat | Alta |
| Clàusules | Confidencialitat, dades a la UE, avís d'incidents en 24 h, llista de subencarregats |
| Evidències | Certificat ISO/IEC 27001 vigent i abast revisat |
| Avaluació | 3 de març de 2026 · apte |
| Seguiment | Incident de disponibilitat de 2 h el 12 d'agost: informe rebut i revisat |
| Propera revisió | Març de 2027 |
A l'auditoria
Errors que solen assenyalar els auditors
- Es demana el certificat del proveïdor sense comprovar que el seu abast cobreix el servei contractat.
- Contractes sense clàusula d'avís d'incidents.
- Ningú no revisa els proveïdors després de la contractació.
- Serveis al núvol contractats per un departament sense passar per seguretat.
A Kimobox
Com es porta aquest registre a Kimobox
- 1Cada proveïdor es dona d'alta amb les seves clàusules de seguretat des del portal de proveïdors.
- 2Les evidències del proveïdor queden a la seva fitxa, amb data de caducitat i avís.
- 3L'avaluació contínua del proveïdor conviu amb la seva documentació: si un certificat caduca, deixa d'estar homologat abans que se li emeti una comanda.
Preguntes freqüents
El que ens pregunten abans de començar
N'hi ha prou que el proveïdor estigui certificat en ISO 27001?
Ajuda molt, però cal llegir l'abast del certificat: si no inclou el servei que es contracta, no el cobreix. I el certificat no substitueix les clàusules del contracte.
Es pot fer servir la mateixa fitxa que per a ISO 9001?
La mateixa fitxa de proveïdor, sí; la mateixa avaluació, no. Convé afegir a la fitxa general un bloc de seguretat amb el seu propi criteri i la seva pròpia freqüència.
Porta els registres de ISO 27001 sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Model d'avaluació de proveïdors ISO 9001
Què demana ISO 9001 (8.4) per avaluar, seleccionar, seguir i reavaluar proveïdors, quins criteris fer servir…
Model de due diligence de tercers per a compliance
Com documentar la due diligence de socis, agents i proveïdors en un sistema ISO 37301: risc del tercer…
Operació
L'operació tradueix l'anàlisi de riscos en controls reals: accessos, xifratge, còpies de seguretat i un…
Model de declaració d'aplicabilitat ISO 27001
Què ha de recollir la declaració d'aplicabilitat d'ISO 27001 (6.1.3 d): controls necessaris, justificació…
Fonts
D'on surt cada dada
Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.
- ISO/IEC 27001:2022 — Sistemes de gestió de la seguretat de la informació. Requisits ISO/IEC · 25 d'octubre de 2022
- ISO/IEC 27002:2022 — Controls de seguretat de la informació ISO/IEC · Febrer de 2022