Informatiebeveiliging in leveranciersrelaties

Leveranciers worden geselecteerd en beoordeeld op informatiebeveiliging, in verhouding tot wat ze voor YipYip verwerken.

Selectie

• De directie stelt per dienst de IB-eisen vast. Minimaal: verwerkersovereenkomst als de leverancier persoonsgegevens verwerkt, geheimhouding, en waar beschikbaar een ISO 27001- of vergelijkbare certificering. Voor hosting en opslag van persoonsgegevens heeft een EU-regio de voorkeur; afwijking wordt per project vastgelegd (zie 8.20).
• Meerdere leveranciers worden vergeleken; de directie besluit.

Doorlopende monitoring

Monitoring loopt via het reguliere contact met de leverancier en, waar zinvol, formele rapportages. Acties worden als ticket in Jira ISMS vastgelegd.

Jaarlijkse beoordeling

Geldt voor leveranciers van systemen met een BIV-totaalscore > 10 uit de BIA. Per leverancier: naleving afspraken, effectiviteit van de IB-maatregelen, en of de overeenkomst nog passend is (controleprogramma C.13; zie 5.22).

Verantwoordelijkheden

• Directie: leverancierseisen vaststellen, contacten onderhouden, inkopen, prestaties bewaken
• IB-coördinator: jaarlijkse beoordeling plannen en uitvoeren

Gaps

• De laatste leveranciersbeoordeling is van Q2 2024 (xlsx 08.01.a) en is niet als Jira-ticket vastgelegd (laatste ticket ISMS-185, juli 2022); de volgende loopt via C.13 (ISMS-338) en wordt in registers/leveranciers.yaml vastgelegd.
• registers/leveranciers.yaml bevat nog placeholders; de inhoud van de leveranciers-Sheet moet erin worden overgenomen (ISMS-376).
• De drempel voor de jaarlijkse beoordeling verwijst naar de BIA, die nog niet is uitgevoerd (ISMS-371).

Bewijs

• Leveranciersregister: registers/leveranciers.yaml (na migratie)
• Laatste beoordeling: registers/leveranciers.yaml (overgenomen uit xlsx 08.01.a, Q2 2024) en Jira ISMS-185 (2022)
• Contractuele verplichtingen en verwerkersovereenkomsten: Sheet OUD 02.03.c
• Controleprogramma: C.13 (Jira ISMS)