ISO 27002:2022 – Beheer 5.31 – Wetlike, statutêre, regulatoriese en kontraktuele vereistes

Doel van beheer 5.31

Wette, regulasies en kontraktuele vereistes vorm 'n groot deel van 'n organisasie se inligtingsekuriteitsverantwoordelikhede.

Organisasies moet te eniger tyd 'n duidelike begrip van hul verpligtinge hê, en bereid wees om hul inligtingsekuriteitspraktyke aan te pas in ooreenstemming met hul rol as 'n verantwoordelike datahanteerder.

Dit is belangrik om daarop te let dat Beheer 5.31 geen spesifieke wetlike, regulatoriese of kontraktuele bepalings noem wat organisasies óf nodig het om af te dwing of daaraan voldoen te bly, en dit stel ook nie 'n prosedure vir die opstel van kontrakte uiteen nie. Beheer 5.31 fokus eerder op wat organisasies moet oorweeg vanuit 'n inligtingsekuriteit perspektief, wat verband hou met hul unieke vereistes.

Eienskappe tabel

Beheer 5.31 is a voorkomende beheer Wat risiko verander deur leiding aan te bied oor hoe om met 'n robuuste te werk inligtingsekuriteitsbeleid wat voldoening binne alle relevante wetlike en regulatoriese omgewings handhaaf.

Algemene riglyne oor beheer 5.31

Daar is 5 algemene riglyne om te oorweeg. Organisasies moet hul wetlike, statutêre, regulatoriese en kontraktuele vereistes in gedagte hou wanneer:

1. Opstel en/of wysiging van hul inligtingsekuriteitsprosedures en interne beleid dokumente.
2. Ontwerp, wysiging of implementering van inligtingsekuriteitskontroles.
3. Kategorisering van inligting wanneer hul breër inligtingsekuriteitvereistes oorweeg word, hetsy vir organisatoriese doeleindes of wat verband hou met hul verhoudings met 'n derde party (verskaffers, ens.)
4. ondergaan risikobeoordelings wat verband hou met inligtingsekuriteit aktiwiteite, insluitend interne rolle en verantwoordelikhede met betrekking tot 'n organisasiestruktuur.
5. Die vestiging van die aard van 'n verskaffersverhouding, en hul kontraktuele verpligtinge regdeur die verskaffing van produkte en dienste.

Wetgewende en regulatoriese leiding

Organisasies moet interne prosesse en verantwoordelikhede "definieer en dokumenteer". wat hulle toelaat om:

1. Identifiseer, ontleed en verstaan ​​hul wetgewende en regulatoriese verpligtinge met betrekking tot inligtingsekuriteit, insluitend periodieke hersiening van wetgewing en regulasies.
2. Verseker dat hulle voldoen aan alle wetgewende en regulatoriese omgewings in watter lande hulle ook al bedrywig is. Dit strek tot die gebruik van produkte en dienste wat buite die land ontstaan ​​waarin hulle gewoonlik bedrywig is.

Kriptografiese leiding

In IKT is 'kriptografie' 'n metode om inligting en kommunikasie deur die gebruik van kodes te beskerm.

As sodanig behels die hele konsep van enkripsie en kriptografie gewoonlik spesifieke wetlike vereistes en 'n aansienlike hoeveelheid onderwerpspesifieke regulatoriese leiding wat nagekom moet word.

Met dit in gedagte, moet die volgende riglyne in ag geneem word:

1. Wette oor die invoer en/of uitvoer van hardeware of sagteware wat óf 'n toegewyde kriptografiese funksie uitvoer, óf die vermoë het om genoemde funksie uit te voer.
2. Wette met betrekking tot die beperking van kriptografiese funksies.
3. Enige toegang tot geënkripteerde inligting wat owerhede binne 'n land of streek het reg om te versoek en afdwing.
4. Die geldigheid en waarheid van drie sleutel digitale elemente van geïnkripteer inligting:

   a) handtekeninge
   b) Seals
   c) sertifikate

Kontraktuele leiding

Organisasies moet hul inligtingsekuriteitsverpligtinge in ag neem wanneer hulle wetlik bindende kontrakte met kliënte, verskaffers of verskaffers opstel of onderteken (insluitend versekeringspolisse en kontrakte).

Sien Kontrole 5.20 vir verdere leiding met betrekking tot verskafferskontrakte.

Ondersteunende kontroles

• 5.20

Veranderinge en verskille vanaf ISO 27002:2013

27002:2022-5.31 vervang twee kontroles vanaf 27002:2013-18.1.2 (Intellektuele eiendomsregte).

1. 18.1.1 – Identifikasie van toepaslike wetgewing en kontraktuele vereistes
2. 18.1.5 – Regulering van kriptografiese kontroles

Terwyl 27002:2013-18.1.1 minimale leiding bied, anders as die behoefte aan "bestuurders" om alle wetgewing te identifiseer wat hul tipe besigheid regverdig, bespreek 27002:2022-5.31 nakoming oor wetgewende, regulatoriese en kriptografiese omgewings, asook die aanbied van sommige algemene riglyne en gaan in baie meer besonderhede oor hoe om aan die regterkant van enige heersende wetgewing of regulasies te bly.

Wat enkripsie betref, voldoen 27002:2022-5.31 aan dieselfde beginsels as 27002:2013-18.1.5 en bevat dieselfde onderliggende riglyne, maar gaan 'n stap verder deur organisasies te vra om hardeware en sagteware te oorweeg wat die potensiaal het om te dra kriptografiese funksies uit.

Nuwe ISO 27002-kontroles

Hoe ISMS.online help

ISO 27002 implementering is eenvoudiger met ons stap-vir-stap kontrolelys wat jou deur die hele proses lei, van die definisie van die omvang van jou ISMS tot risiko-identifikasie en beheer-implementering.

Kontak vandag nog om bespreek 'n demo.