ISO 27001:2022 bilaga A 5.31 – Juridiska, lagstadgade, regulatoriska och kontraktuella krav

Vad är syftet med ISO 27001:2022 bilaga A 5.31?

Lagstiftning, förordningar och avtalsförpliktelser utgör en betydande del av en organisations informationssäkerhetsansvar.

Organisationer bör hela tiden förstå sitt ansvar och vara redo att ändra sitt informationssäkerhet åtgärder för att passa deras roll som pålitlig datahanterare.

Det är anmärkningsvärt att bilaga A 5.31 inte uttryckligen listar några juridiska, regulatoriska eller kontraktuella skyldigheter som organisationer måste följa eller följa. På samma sätt tillhandahåller den ingen metod för att utarbeta kontrakt. Istället fokuserar den på vad organisationer behöver överväga ur informationssäkerhetssynpunkt, med hänsyn till deras individuella krav.

Allmän vägledning om ISO 27001:2022 bilaga A 5.31

Organisationer måste komma ihåg sina juridiska, lagstadgade, regulatoriska och avtalsenliga skyldigheter när:

• Utarbeta eller ändra deras informationssäkerhetsprocedurer och interna policyer.
• Designa, ändra och utföra kontroller av informationssäkerhet.
• När man bedömer sina bredare datasäkerhetsbehov, både för organisatoriska eller tredjepartsrelaterade situationer (t.ex. leverantörer), måste organisationer kategorisera sin informationssäkerhet.
• Genomföra riskbedömningar relaterade till datasäkerhetsaktiviteter, såsom interna roller och organisationsstrukturen.
• Bestämma arten av leverantörsförhållandet, såväl som deras kontraktuella skyldigheter genom hela försörjningskedjan.

Lagstiftnings- och regleringsvägledning

Organisationer bör tydligt beskriva och registrera interna rutiner och roller så att de kan:

• Identifiera, analysera och förstå deras juridiska och regulatoriska krav gällande informationssäkerhet, inklusive konsekventa utvärderingar av lagar och förordningar.
• Se till att de följer alla juridiska och regulatoriska krav i varje nation de verkar i, såväl som alla produkter och tjänster utanför landet.

Kryptografisk vägledning

Kryptografi är en teknik för att skydda information och kommunikation genom att koda dem. Det ger ett sätt att säkra information, vilket möjliggör säker kommunikation mellan två parter.

Användningen av kryptering och kryptografi kräver efterlevnad av specificerade juridiska bestämmelser och betydande regulatoriska råd som är relevanta för ämnet.

Med tanke på detta bör man vara medveten om följande direktiv:

• Import/exportlagar angående kryptografisk hårdvara eller mjukvara som utför eller kan utföra en dedikerad kryptografisk funktion.
• Lagstiftning relaterad till begränsning av kryptografiska funktioner.
• Myndigheter i alla länder eller regioner har befogenhet att begära och genomdriva åtkomst till krypterad information.
• Noggrannheten och tillförlitligheten hos tre grundläggande digitala komponenter i krypterad data:
• Tätningar.
• Certifikat.
• Signaturer.

Avtalsvägledning

Organisationer måste komma ihåg sitt ansvar för informationssäkerhet när de konstruerar eller godkänner juridiskt bindande avtal med kunder, leverantörer eller leverantörer (såsom försäkringar och avtal).

Se bilaga A 5.20 i ISO 27001:2022 för ytterligare support angående leverantörskontrakt.

Bifogade kontroller i bilaga A

• ISO 27001:2022 bilaga A 5.20

Ändringar och skillnader från ISO 27001:2013

ISO 27001: 2022 Bilaga A 5.31 ersätter två kontroller från ISO 27001:2013 i den reviderade standarden, dessa är:

1. 18.1.1 – Identifiering av tillämplig lagstiftning och kontraktskrav
2. 18.1.5 – Reglering av kryptografiska kontroller

Av följande skäl: ISO 27001:2013 bilaga A 18.1.1 ger lite vägledning förutom kravet för att "chefer" ska kunna identifiera alla tillämpliga lagar för sin verksamhet, diskuterar ISO 27001:2022 Annex A 5.31 efterlevnad av lagar, regler och kryptografiska standarder, samt ger några allmänna råd och går in på djupare om hur man uppfyller eventuell relevant lagstiftning eller föreskrifter.

ISO 27001:2022 Annex A 5.31 följer samma principer som ISO 27001:2013 Annex A 18.1.5 och innehåller samma underliggande vägledningspunkter, men det går ett steg längre och kräver att organisationer överväger hårdvara och mjukvara som kan utföra kryptografiska funktioner.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje individ ISO 27001:2022 bilaga A Kontrollera.

Hur ISMS.online Hjälp

Vår steg-för-steg checklista gör ISO 27001:2022 implementering lättare. Det tar dig från att definiera omfattningen av ditt ISMS till att implementera riskidentifiering och kontroll.

Kontakta oss nu för att ordna en demonstration.