ISO 27002:2022 – Kontroll 5.32 – Immateriella rättigheter

Syfte med kontroll 5.32

Kontroll 5.32 beskriver åtgärder som organisationer måste vidta för att säkerställa att de förblir förenliga med immateriella rättigheter (IP) rättigheter, inklusive användning av proprietär programvara som köps, prenumereras på eller på annat sätt leasas.

ISO definierar immateriella rättigheter som tillhörande en eller flera av följande kategorier:

1. Upphovsrätt för programvara
2. Dokumentets upphovsrätt
3. Designrättigheter
4. Varumärkesrättigheter
5. Patent
6. Källkodslicenser

"Juridiska, lagstadgade, regulatoriska eller kontraktuella" avtal sätter ofta begränsningar för hur proprietär programvara kan användas, inklusive generella begränsningar för kopiering, extrahering eller omvänd konstruktion av källkod, bland andra åtgärder.

För tydlighetens skull behandlar inte kontroll 5.32 situationer där organisationen är IP-innehavare, utan fokuserar istället på deras skyldighet gentemot tredje part immateriella rättigheter som anges i ett licensavtal, ett datadelningsavtal eller någon annan jämförbar juridisk mekanism.

Det är viktigt att notera att intrång i upphovsrätt och/eller IP ofta medför allvarliga ekonomiska och juridiska konsekvenser för alla organisationer som avsiktligt eller omedvetet bryter mot villkoren i ett avtal. Som sådan bör kontroll 5.32 beaktas tillräckligt för att undvika onödiga affärsstörningar eller informationssäkerhet evenemang.

Attributtabell för kontroll 5.32

Kontroll 5.32 är en förebyggande kontroll den där upprätthåller risken genom att implementera procedurer för att säkerställa att organisationen förblir kompatibel med alla rådande IP- eller upphovsrättskrav, inklusive att minska risken för att organisationens egen personal inte upprätthåller sina individuella skyldigheter.

Allmän vägledning om kontroll 5.32

Kontroll 5.32 ber organisationer att överväga följande riktlinjer, för att skydda all data, programvara eller tillgångar som kan anses vara IP:

1. Implementera en "ämnesspecifik" policy för skydd av immateriella rättigheter, från fall till fall, i linje med deras unika operativa krav.
2. Publicera och kommunicera tydliga rutiner som kategoriskt definierar hur mjukvara och IKT-produkter ska drivas för att förbli kompatibel med IP-standarder.
3. Använda respekterade och välrenommerade källor för att skaffa programvara, för att undvika oavsiktliga upphovsrättsintrång vid källan.
4. Använda ett organisatoriskt tillgångsregister för att lokalisera alla IKT-tillgångar som har IP-krav som standard.
5. Säkerställa att organisationen vid varje given tidpunkt kan producera bevis på ägande, inklusive fysiska och elektroniska licensdokument, kommunikationer och filer.
6. Förblir kompatibel med överenskomna programanvändningsgränser, inklusive samtidiga användare, virtuella resurser etc.
7. Planera och implementera periodiska granskningar för att säkerställa att organisationens IKT-område inte innehåller några otillåtna eller olicensierade mjukvaruprodukter.
8. Skapa operativa och ekonomiska rutiner som säkerställer att licenserna hålls uppdaterade.
9. Skapa rutiner som tillgodoser säker, ansvarsfull och laglig överföring eller avyttring av programvarutillgångar.
10. Säkerställ efterlevnad av villkoren och riktlinjerna för tillåten användning av all programvara som förvärvats från det offentliga området.
11. Om organisationen har anledning att använda kommersiella inspelningar får ingen del av den inspelningen extraheras, kopieras eller konverteras på något sätt som inte finns i programvarans villkor (inklusive licensiering) eller av någon gällande upphovsrättslagar.
12. Respektera och följa upphovsrättslagarna eller licensvillkoren för textdata, inklusive standarder, böcker, artiklar, rapporter etc.

Ändringar och skillnader från ISO 27002:2013

27002:2022-5.32 ersätter 27002:2013-18.1.2 (Immateriella rättigheter).

27002:2022-5.31 innehåller i stort sett samma uppsättning riktlinjer som dess motsvarighet från 2013, med två mindre tillägg:

1. 27002:2022-5.31 innehåller råd om hur man hanterar IP-relaterade ärenden enligt villkoren i ett datadelningsavtal.
2. 27002:2013-18.1.2 innehåller inget omnämnande av de kvarvarande fördelarna för en organisation som vill hantera enskilda anställdas beteende, gentemot IP-avtal och mjukvaruanvändning.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

ISMS.online effektiviserar ISO 27002 implementeringsprocessen genom att tillhandahålla ett sofistikerat molnbaserat ramverk för att dokumentera procedurer och checklistor för informationssäkerhetshanteringssystem för att säkerställa efterlevnad av erkända standarder.

Hör av dig idag för att boka en demo.