ISO 27002:2022, Kontroll 5.31 – Juridiska, lagstadgade, regulatoriska och kontraktuella krav

Allmän vägledning om kontroll 5.31

Det finns 5 allmänna vägledningspunkter att tänka på. Organisationer bör komma ihåg sina juridiska, lagstadgade, regulatoriska och kontraktuella krav när:

1. Utformning och/eller ändring av deras informationssäkerhetsrutiner och intern policy dokument.
2. Utformning, ändring eller implementering av informationssäkerhetskontroller.
3. Kategorisering av information när de överväger deras bredare informationssäkerhetskrav, antingen för organisatoriska ändamål eller relaterade till deras relationer med en tredje part (leverantörer etc.)
4. Genomgå riskbedömningar avseende informationssäkerhet aktiviteter, inklusive interna roller och ansvar relaterade till en organisationsstruktur.
5. Fastställande av arten av ett leverantörsförhållande och deras avtalsförpliktelser under hela leveransen av produkter och tjänster.

Lagstiftnings- och regleringsvägledning

Organisationer bör "definiera och dokumentera" interna processer och ansvar som tillåter dem att:

1. Identifiera, analysera och förstå deras lagstiftande och regulatoriska skyldigheter avseende informationssäkerhet, inklusive periodiska översyn av lagar och förordningar.
2. Se till att de förblir kompatibla i alla lagar och regleringar i vilka länder de än är verksamma i. Detta sträcker sig till användningen av produkter och tjänster som har sitt ursprung utanför det land de vanligtvis är verksamma i.

Kryptografisk vägledning

Inom IKT är "kryptografi" en metod för att skydda information och kommunikation genom användning av koder.

Som sådan innebär hela konceptet med kryptering och kryptografi vanligtvis specifika juridiska krav och en stor mängd ämnesspecifika regulatoriska riktlinjer som måste följas.

Med det i åtanke måste följande vägledning tas i beaktande:

1. Lagar om import och/eller export av hårdvara eller mjukvara som antingen utför en dedikerad kryptografisk funktion eller har förmågan att utföra nämnda funktion.
2. Lagar som rör begränsning av kryptografiska funktioner.
3. All åtkomst till krypterad information som myndigheter i ett land eller en region har rätt att begära och genomdriva.
4. Giltigheten och sanningshalten hos tre viktiga digitala delar av krypterad information:
   
   a) signaturer
   b) Tätningar
   c) Certifikat

Avtalsvägledning

Organisationer bör beakta sina skyldigheter när det gäller informationssäkerhet när de utarbetar eller undertecknar juridiskt bindande avtal med kunder, leverantörer eller leverantörer (inklusive försäkringar och avtal).

Se Kontroll 5.20 för ytterligare vägledning avseende leverantörskontrakt.

Stödkontroller

• 5.20

Ändringar och skillnader från ISO 27002:2013

27002:2022-5.31 ersätter två kontroller från 27002:2013-18.1.2 (Immateriella rättigheter).

1. 18.1.1 – Identifiering av tillämplig lagstiftning och avtalskrav
2. 18.1.5 – Reglering av kryptografiska kontroller

Medan 27002:2013-18.1.1 erbjuder minimal vägledning förutom behovet av "chefer" för att identifiera all lagstiftning som deras typ av verksamhet motiverar, diskuterar 27002:2022-5.31 efterlevnad över lagstiftande, reglerande och kryptografiska miljöer, samt erbjuder vissa generaliserade vägledningspunkter och att gå in i mycket större detalj om hur man håller sig på rätt sida av alla gällande lagar eller förordningar.

När det gäller kryptering följer 27002:2022-5.31 samma principer som 27002:2013-18.1.5 och innehåller samma underliggande vägledningspunkter, men går ett steg längre genom att be organisationer att överväga hårdvara och mjukvara som har potential att bära ut kryptografiska funktioner.

Hur ISMS.online hjälper

ISO 27002 implementering är enklare med vår steg-för-steg checklista som guidar dig genom hela processen, från att definiera omfattningen av ditt ISMS till riskidentifiering och kontrollimplementering.

Hör av dig idag för att boka en demo.