ISO 27002:2022, Kontrol 5.31 – Juridiske, lovpligtige, regulatoriske og kontraktlige krav

Generel vejledning om kontrol 5.31

Der er 5 generelle vejledningspunkter at overveje. Organisationer bør huske deres juridiske, lovbestemte, regulatoriske og kontraktmæssige krav, når:

1. Udarbejdelse og/eller ændring af deres informationssikkerhedsprocedurer og intern politik Dokumenter.
2. Design, ændring eller implementering af informationssikkerhedskontroller.
3. Kategorisering af oplysninger, når de overvejer deres bredere informationssikkerhedskrav, enten til organisatoriske formål eller relateret til deres forhold til en tredjepart (leverandører osv.)
4. gennemgår risikovurderinger vedrørende informationssikkerhed aktiviteter, herunder interne roller og ansvar relateret til en organisationsstruktur.
5. Etablering af arten af ​​et leverandørforhold og deres kontraktlige forpligtelser under hele leveringen af ​​produkter og tjenester.

Lovgivnings- og reguleringsvejledning

Organisationer bør "definere og dokumentere" interne processer og ansvar der giver dem mulighed for at:

1. Identificere, analysere og forstå deres lovgivningsmæssige og regulatoriske forpligtelser i forbindelse med informationssikkerhed, herunder periodiske gennemgange af lovgivning og regler.
2. Sørg for, at de forbliver kompatible på tværs af alle lovgivningsmæssige og regulatoriske miljøer i de lande, de opererer i. Dette omfatter brugen af ​​produkter og tjenester, der kommer uden for det land, de normalt opererer i.

Kryptografisk vejledning

Inden for IKT er 'kryptografi' en metode til at beskytte information og kommunikation ved hjælp af koder.

Som sådan involverer hele konceptet med kryptering og kryptografi normalt specifikke juridiske krav og en betydelig mængde emnespecifik reguleringsvejledning, der skal overholdes.

Med det i tankerne skal følgende vejledning tages i betragtning:

1. Love om import og/eller eksport af hardware eller software, som enten udfører en dedikeret kryptografisk funktion eller har evnen til at udføre denne funktion.
2. Love vedrørende begrænsning af kryptografiske funktioner.
3. Enhver adgang til krypteret information, som myndigheder i et land eller en region har ret til at anmode og håndhæve.
4. Gyldigheden og sandheden af ​​tre digitale nøgleelementer af krypteret information:
   
   a) Underskrifter
   b) Sæler
   c) Certifikater

Kontraktlig vejledning

Organisationer bør overveje deres informationssikkerhedsforpligtelser, når de udarbejder eller underskriver juridisk bindende kontrakter med kunder, leverandører eller leverandører (herunder forsikringspolicer og kontrakter).

Se Kontrol 5.20 for yderligere vejledning vedrørende leverandørkontrakter.

Understøttende kontroller

• 5.20

Ændringer og forskelle fra ISO 27002:2013

27002:2022-5.31 erstatter to kontroller fra 27002:2013-18.1.2 (Immaterielle rettigheder).

1. 18.1.1 – Identifikation af gældende lovgivning og kontraktlige krav
2. 18.1.5 – Regulering af kryptografiske kontroller

Mens 27002:2013-18.1.1 tilbyder minimal vejledning udover behovet for "ledere" til at identificere al lovgivning, som deres type virksomhed berettiger, diskuterer 27002:2022-5.31 overholdelse på tværs af lovgivningsmæssige, regulatoriske og kryptografiske miljøer, samt tilbyder nogle generaliserede vejledningspunkter og gå i langt flere detaljer med hensyn til, hvordan man holder sig på den rigtige side af enhver gældende lovgivning eller regler.

Hvad kryptering angår, overholder 27002:2022-5.31 de samme principper som 27002:2013-18.1.5 og indeholder de samme underliggende vejledningspunkter, men går et skridt videre ved at bede organisationer om at overveje hardware og software, der har potentiale til at bære ud af kryptografiske funktioner.

Hvordan ISMS.online hjælper

ISO 27002 implementering er enklere med vores trin-for-trin tjekliste, der guider dig gennem hele processen, fra at definere omfanget af dit ISMS til risikoidentifikation og kontrolimplementering.

Kontakt i dag for book en demo.