ISO 27001:2022 Bilag A 5.31 – Juridiske, lovpligtige, regulatoriske og kontraktlige krav

Hvad er formålet med ISO 27001:2022 Annex A 5.31?

Lovgivning, regler og kontraktlige forpligtelser udgør en væsentlig del af en organisations informationssikkerhedsansvar.

Organisationer bør til enhver tid forstå deres ansvar og være klar til at ændre deres informationssikkerhed foranstaltninger, der passer til deres rolle som pålidelig databehandler.

Det er bemærkelsesværdigt, at bilag A 5.31 ikke eksplicit angiver nogen juridiske, regulatoriske eller kontraktlige forpligtelser, som organisationer skal overholde eller overholde. På samme måde giver den ikke en metode til at udarbejde kontrakter. I stedet fokuserer det på, hvad organisationer skal overveje ud fra et informationssikkerhedssynspunkt, under hensyntagen til deres individuelle krav.

Generel vejledning om ISO 27001:2022 Bilag A 5.31

Organisationer skal huske deres juridiske, lovbestemte, regulatoriske og kontraktlige forpligtelser, når:

• Udarbejdelse eller ændring af deres informationssikkerhedsprocedurer og interne politikker.
• Design, ændr og udfør informationssikkerhedskontroller.
• Når de vurderer deres bredere datasikkerhedsbehov, både til organisatoriske eller tredjepartsrelaterede situationer (f.eks. leverandører), skal organisationer kategorisere deres informationssikkerhed.
• Udførelse af risikovurderinger relateret til datasikkerhedsaktiviteter, såsom interne roller og den organisatoriske struktur.
• Fastlæggelse af arten af ​​leverandørforholdet samt deres kontraktlige forpligtelser i hele forsyningskæden.

Lovgivnings- og reguleringsvejledning

Organisationer bør klart skitsere og registrere interne procedurer og roller, så de kan:

• Identificere, analysere og forstå deres juridiske og regulatoriske krav vedrørende informationssikkerhed, herunder konsekvente evalueringer af love og regler.
• Sørg for, at de forbliver i overensstemmelse med alle lovmæssige og regulatoriske krav i hver nation, de opererer i, samt alle produkter og tjenester fra lande uden for landet.

Kryptografisk vejledning

Kryptografi er en teknik til at beskytte information og kommunikation ved at kode dem. Det giver en måde at sikre information på, hvilket muliggør sikker kommunikation mellem to parter.

Brugen af ​​kryptering og kryptografi kræver overholdelse af specificerede lovbestemmelser og betydelig lovgivningsmæssig rådgivning, der er relevant for emnet.

I betragtning af dette bør man være opmærksom på følgende direktiver:

• Import/eksport love vedrørende kryptografisk hardware eller software, som udfører eller kan udføre en dedikeret kryptografisk funktion.
• Lovgivning relateret til begrænsning af kryptografiske funktioner.
• Myndigheder i ethvert land eller område har bemyndigelse til anmode om og håndhæve adgang til krypteret information.
• Nøjagtigheden og pålideligheden af ​​tre grundlæggende digitale komponenter i krypterede data:
• Sæler.
• Certifikater.
• Underskrifter.

Kontraktlig vejledning

Organisationer skal huske deres ansvar for informationssikkerhed, når de konstruerer eller godkender juridisk bindende kontrakter med kunder, udbydere eller leverandører (såsom forsikringspolicer og kontrakter).

Se bilag A 5.20 i ISO 27001:2022 for yderligere support vedrørende leverandørkontrakter.

Medfølgende bilag A kontrol

• ISO 27001:2022 Bilag A 5.20

Ændringer og forskelle fra ISO 27001:2013

ISO 27001: 2022 Bilag A 5.31 erstatter to kontroller fra ISO 27001:2013 i den reviderede standard, disse er:

1. 18.1.1 – Identifikation af gældende lovgivning og kontraktlige krav
2. 18.1.5 – Regulering af kryptografiske kontroller

ud fra følgende betragtninger ISO 27001:2013 Bilag A 18.1.1 giver kun lidt vejledning bortset fra kravet for "ledere" til at identificere alle gældende love for deres virksomhed, diskuterer ISO 27001:2022 Annex A 5.31 overholdelse af lovgivningsmæssige, regulatoriske og kryptografiske standarder, samt giver nogle generelle råd og går mere i dybden med, hvordan man opfylder enhver relevant lovgivning eller forskrifter.

ISO 27001:2022 Annex A 5.31 følger de samme principper som ISO 27001:2013 Annex A 18.1.5 og indeholder de samme underliggende vejledningspunkter, men det går et skridt videre og kræver, at organisationer overvejer hardware og software, der kan udføre kryptografiske funktioner.

Tabel over alle ISO 27001:2022 bilag A kontroller

I tabellen nedenfor finder du mere information om hver enkelt person ISO 27001:2022 Bilag A Kontrollere.

Hvordan ISMS.online Hjælp

Vores trin-for-trin tjekliste gør ISO 27001:2022 implementering nemmere. Det tager dig fra at definere omfanget af dit ISMS til at implementere risikoidentifikation og -kontrol.

Kontakt os nu for at arrangere en demonstration.