5.7 供應鏈

5.7 供應鏈

具備并保障信息安全服務所需的供應鏈資源。具體要求如下：

a) 作為供應鏈下游獲取方，與每個供應鏈上游提供方明確規定管理規范、過程接口，簽訂服務協議或采購協議，并對其進行有效的監視和評審；

b) 應保持與信息安全服務類別相關的產品提供商、服務提供商、專業機構等外部供應鏈的良好合作關系，并履行服務和產品中立原則；

c) 應主動與需求方進行事先說明服務項目涉及的外部供應鏈及其支撐關系，并得到其確認；

d) 應將信息安全服務的原則和目標，服務目錄相關要求有效傳遞到服務項目涉及的外部供應鏈，并通過合同或協議的方式進行有效管理。