ISO 27002:2022 – Kontroll 5.31 – Juridiska, lagstadgade, regulatoriska och avtalsmässiga krav

Syfte med kontroll 5.31

Lagar, regler och avtalskrav utgör en stor del av en organisations informationssäkerhetsansvar.

Organisationer bör ha en klar förståelse för sina skyldigheter när som helst och vara beredda att anpassa sin informationssäkerhetspraxis i enlighet med sin roll som ansvarig datahanterare.

Det är viktigt att notera att Control 5.31 inte listar några specifika juridiska, regulatoriska eller kontraktuella villkor som organisationer antingen behöver att verkställa eller förbli förenlig med, och inte heller fastställs något förfarande för att utarbeta kontrakt. Kontroll 5.31 fokuserar istället på vad organisationer måste överväga från en informationssäkerhet perspektiv, relaterat till deras unika krav.

Attributtabell

Kontroll 5.31 är en förebyggande kontroll den där ändrar risken genom att erbjuda vägledning om hur man arbetar med en robust informationssäkerhetspolicy som upprätthåller efterlevnad inom alla relevanta juridiska och regulatoriska miljöer.

Allmän vägledning om kontroll 5.31

Det finns 5 allmänna vägledningspunkter att tänka på. Organisationer bör komma ihåg sina juridiska, lagstadgade, regulatoriska och kontraktuella krav när:

1. Utformning och/eller ändring av deras informationssäkerhetsrutiner och intern policy dokument.
2. Utformning, ändring eller implementering av informationssäkerhetskontroller.
3. Kategorisering av information när de överväger deras bredare informationssäkerhetskrav, antingen för organisatoriska ändamål eller relaterade till deras relationer med en tredje part (leverantörer etc.)
4. Genomgå riskbedömningar avseende informationssäkerhet aktiviteter, inklusive interna roller och ansvar relaterade till en organisationsstruktur.
5. Fastställande av arten av ett leverantörsförhållande och deras avtalsförpliktelser under hela leveransen av produkter och tjänster.

Lagstiftnings- och regleringsvägledning

Organisationer bör "definiera och dokumentera" interna processer och ansvar som tillåter dem att:

1. Identifiera, analysera och förstå deras lagstiftande och regulatoriska skyldigheter avseende informationssäkerhet, inklusive periodiska översyn av lagar och förordningar.
2. Se till att de förblir kompatibla i alla lagar och regleringar i vilka länder de än är verksamma i. Detta sträcker sig till användningen av produkter och tjänster som har sitt ursprung utanför det land de vanligtvis är verksamma i.

Kryptografisk vägledning

Inom IKT är "kryptografi" en metod för att skydda information och kommunikation genom användning av koder.

Som sådan innebär hela konceptet med kryptering och kryptografi vanligtvis specifika juridiska krav och en stor mängd ämnesspecifika regulatoriska riktlinjer som måste följas.

Med det i åtanke måste följande vägledning tas i beaktande:

1. Lagar om import och/eller export av hårdvara eller mjukvara som antingen utför en dedikerad kryptografisk funktion eller har förmågan att utföra nämnda funktion.
2. Lagar som rör begränsning av kryptografiska funktioner.
3. All åtkomst till krypterad information som myndigheter i ett land eller en region har rätt att begära och genomdriva.
4. Giltigheten och sanningshalten hos tre viktiga digitala delar av krypterad information:

   a) signaturer
   b) Tätningar
   c) Certifieringar

Avtalsvägledning

Organisationer bör beakta sina skyldigheter när det gäller informationssäkerhet när de utarbetar eller undertecknar juridiskt bindande avtal med kunder, leverantörer eller leverantörer (inklusive försäkringar och avtal).

Se Kontroll 5.20 för ytterligare vägledning avseende leverantörskontrakt.

Stödkontroller

• 5.20

Ändringar och skillnader från ISO 27002:2013

27002:2022-5.31 ersätter två kontroller från 27002:2013-18.1.2 (Immateriella rättigheter).

1. 18.1.1 – Identifiering av tillämplig lagstiftning och avtalskrav
2. 18.1.5 – Reglering av kryptografiska kontroller

Medan 27002:2013-18.1.1 erbjuder minimal vägledning förutom behovet av "chefer" för att identifiera all lagstiftning som deras typ av verksamhet motiverar, diskuterar 27002:2022-5.31 efterlevnad över lagstiftande, reglerande och kryptografiska miljöer, samt erbjuder vissa generaliserade vägledningspunkter och att gå in i mycket större detalj om hur man håller sig på rätt sida av alla gällande lagar eller förordningar.

När det gäller kryptering följer 27002:2022-5.31 samma principer som 27002:2013-18.1.5 och innehåller samma underliggande vägledningspunkter, men går ett steg längre genom att be organisationer att överväga hårdvara och mjukvara som har potential att bära ut kryptografiska funktioner.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

ISO 27002 implementering är enklare med vår steg-för-steg checklista som guidar dig genom hela processen, från att definiera omfattningen av ditt ISMS till riskidentifiering och kontrollimplementering.

Hör av dig idag för att boka en demo.