Syfte med kontroll 5.31
Lagar, regler och avtalskrav utgör en stor del av en organisations informationssäkerhetsansvar.
Organisationer bör ha en klar förståelse för sina skyldigheter när som helst och vara beredda att anpassa sin informationssäkerhetspraxis i enlighet med sin roll som ansvarig datahanterare.
Det är viktigt att notera att Control 5.31 inte listar några specifika juridiska, regulatoriska eller kontraktuella villkor som organisationer antingen behöver att verkställa eller förbli förenlig med, och inte heller fastställs något förfarande för att utarbeta kontrakt. Kontroll 5.31 fokuserar istället på vad organisationer måste överväga från en informationssäkerhet perspektiv, relaterat till deras unika krav.
Attributtabell
Kontroll 5.31 är en förebyggande kontroll den där ändrar risken genom att erbjuda vägledning om hur man arbetar med en robust informationssäkerhetspolicy som upprätthåller efterlevnad inom alla relevanta juridiska och regulatoriska miljöer.
| Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
|---|---|---|---|---|
| #Förebyggande | #Sekretess | #Identifiera | #Juridik och efterlevnad | #Styrelse och ekosystem |
| #Integritet | #Skydd | |||
| #Tillgänglighet |
ISO 27001 på ett enkelt sätt
Ett försprång på 81 % från dag ett
Vi har gjort det hårda arbetet åt dig, vilket ger dig ett försprång på 81 % från det ögonblick du loggar in. Allt du behöver göra är att fylla i tomrummen.
Allmän vägledning om kontroll 5.31
Det finns 5 allmänna vägledningspunkter att tänka på. Organisationer bör komma ihåg sina juridiska, lagstadgade, regulatoriska och kontraktuella krav när:
- Utformning och/eller ändring av deras informationssäkerhetsrutiner och intern policy dokument.
- Utformning, ändring eller implementering av informationssäkerhetskontroller.
- Kategorisering av information när de överväger deras bredare informationssäkerhetskrav, antingen för organisatoriska ändamål eller relaterade till deras relationer med en tredje part (leverantörer etc.)
- Genomgå riskbedömningar avseende informationssäkerhet aktiviteter, inklusive interna roller och ansvar relaterade till en organisationsstruktur.
- Fastställande av arten av ett leverantörsförhållande och deras avtalsförpliktelser under hela leveransen av produkter och tjänster.
Befria dig från ett berg av kalkylblad
Bädda in, utöka och skala upp er efterlevnad utan krångel. IO ger er motståndskraften och självförtroendet att växa säkert.
Lagstiftnings- och regleringsvägledning
Organisationer bör "definiera och dokumentera" interna processer och ansvar som tillåter dem att:
- Identifiera, analysera och förstå deras lagstiftande och regulatoriska skyldigheter avseende informationssäkerhet, inklusive periodiska översyn av lagar och förordningar.
- Se till att de förblir kompatibla i alla lagar och regleringar i vilka länder de än är verksamma i. Detta sträcker sig till användningen av produkter och tjänster som har sitt ursprung utanför det land de vanligtvis är verksamma i.
Kryptografisk vägledning
Inom IKT är "kryptografi" en metod för att skydda information och kommunikation genom användning av koder.
Som sådan innebär hela konceptet med kryptering och kryptografi vanligtvis specifika juridiska krav och en stor mängd ämnesspecifika regulatoriska riktlinjer som måste följas.
Med det i åtanke måste följande vägledning tas i beaktande:
- Lagar om import och/eller export av hårdvara eller mjukvara som antingen utför en dedikerad kryptografisk funktion eller har förmågan att utföra nämnda funktion.
- Lagar som rör begränsning av kryptografiska funktioner.
- All åtkomst till krypterad information som myndigheter i ett land eller en region har rätt att begära och genomdriva.
- Giltigheten och sanningshalten hos tre viktiga digitala delar av krypterad information:
a) signaturer
b) Tätningar
c) Certifieringar
Avtalsvägledning
Organisationer bör beakta sina skyldigheter när det gäller informationssäkerhet när de utarbetar eller undertecknar juridiskt bindande avtal med kunder, leverantörer eller leverantörer (inklusive försäkringar och avtal).
Se Kontroll 5.20 för ytterligare vägledning avseende leverantörskontrakt.
Stödkontroller
- 5.20
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Ändringar och skillnader från ISO 27002:2013
27002:2022-5.31 ersätter två kontroller från 27002:2013-18.1.2 (Immateriella rättigheter).
- 18.1.1 – Identifiering av tillämplig lagstiftning och avtalskrav
- 18.1.5 – Reglering av kryptografiska kontroller
Medan 27002:2013-18.1.1 erbjuder minimal vägledning förutom behovet av "chefer" för att identifiera all lagstiftning som deras typ av verksamhet motiverar, diskuterar 27002:2022-5.31 efterlevnad över lagstiftande, reglerande och kryptografiska miljöer, samt erbjuder vissa generaliserade vägledningspunkter och att gå in i mycket större detalj om hur man håller sig på rätt sida av alla gällande lagar eller förordningar.
När det gäller kryptering följer 27002:2022-5.31 samma principer som 27002:2013-18.1.5 och innehåller samma underliggande vägledningspunkter, men går ett steg längre genom att be organisationer att överväga hårdvara och mjukvara som har potential att bära ut kryptografiska funktioner.
Nya ISO 27002 kontroller
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 5.7 | NYA | Hot intelligens |
| 5.23 | NYA | Informationssäkerhet för användning av molntjänster |
| 5.30 | NYA | ICT-beredskap för kontinuitet i verksamheten |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 8.9 | NYA | Konfigurationshantering |
| 8.10 | NYA | Radering av information |
| 8.11 | NYA | Datamaskering |
| 8.12 | NYA | Förebyggande av dataläckage |
| 8.16 | NYA | Övervakningsaktiviteter |
| 8.23 | NYA | Webbfiltrering |
| 8.28 | NYA | Säker kodning |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Anställningsvillkor |
| 6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| 6.4 | 07.2.3 | Disciplinär process |
| 6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
| 6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
| 6.7 | 06.2.2 | Fjärrbearbetning |
| 6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiska säkerhetsområden |
| 7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
| 7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| 7.6 | 11.1.5 | Arbeta i säkra områden |
| 7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
| 7.8 | 11.2.1 | Utrustningsplacering och skydd |
| 7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
| 7.11 | 11.2.2 | Stöd till verktyg |
| 7.12 | 11.2.3 | Kabelsäkerhet |
| 7.13 | 11.2.4 | Utrustningsunderhåll |
| 7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |
Hur ISMS.online hjälper
ISO 27002 implementering är enklare med vår steg-för-steg checklista som guidar dig genom hela processen, från att definiera omfattningen av ditt ISMS till riskidentifiering och kontrollimplementering.
Hör av dig idag för att boka en demo.
