Formål med kontroll 5.31
Lover, forskrifter og kontraktskrav utgjør en stor del av en organisasjons informasjonssikkerhetsansvar.
Organisasjoner bør ha en klar forståelse av sine forpliktelser til enhver tid, og være forberedt på å tilpasse sin informasjonssikkerhetspraksis i samsvar med sin rolle som ansvarlig databehandler.
Det er viktig å merke seg at Control 5.31 ikke viser noen spesifikke juridiske, regulatoriske eller kontraktsmessige vilkår som organisasjoner enten trenger å håndheve eller forbli i samsvar med, og det fastsetter heller ikke en prosedyre for utforming av kontrakter. Kontroll 5.31 fokuserer i stedet på hva organisasjoner må vurdere fra en informasjonssikkerhet perspektiv, knyttet til deres unike krav.
Attributttabell
Kontroll 5.31 er en forebyggende kontroll Det endrer risiko ved å gi veiledning om hvordan man opererer med en robust informasjonssikkerhetspolitikk som opprettholder samsvar innenfor alle relevante juridiske og regulatoriske miljøer.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Identifisere | #Juridisk og overholdelse | #Governance og økosystem |
| #Integritet | #Beskyttelse | |||
| #Tilgjengelighet |
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Generell veiledning om kontroll 5.31
Det er 5 generelle veiledningspunkter å vurdere. Organisasjoner bør huske på sine juridiske, lovpålagte, regulatoriske og kontraktsmessige krav når:
- Utarbeide og/eller endre deres informasjonssikkerhetsprosedyrer og interne retningslinjer dokumenter.
- Utforme, endre eller implementere informasjonssikkerhetskontroller.
- Kategorisering av informasjon når de vurderer deres bredere informasjonssikkerhetskrav, enten for organisatoriske formål eller relatert til deres forhold til en tredjepart (leverandører osv.)
- Gjennomgår risikovurderinger knyttet til informasjonssikkerhet aktiviteter, inkludert interne roller og ansvar knyttet til en organisasjonsstruktur.
- Etablering av arten av et leverandørforhold, og deres kontraktsmessige forpliktelser gjennom hele leveringen av produkter og tjenester.
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Lovgivende og forskriftsmessig veiledning
Organisasjoner bør «definere og dokumentere» interne prosesser og ansvar som lar dem:
- Identifisere, analysere og forstå deres lov- og regulatoriske forpliktelser knyttet til informasjonssikkerhet, inkludert periodiske gjennomganger av lover og forskrifter.
- Sørg for at de forblir kompatible på tvers av alle lov- og reguleringsmiljøer uansett hvilke land de opererer i. Dette omfatter bruk av produkter og tjenester som kommer utenfor landet de vanligvis opererer i.
Kryptografisk veiledning
I IKT er 'kryptografi' en metode for å beskytte informasjon og kommunikasjon ved bruk av koder.
Som sådan involverer hele konseptet med kryptering og kryptografi vanligvis spesifikke juridiske krav og en betydelig mengde emnespesifikk regulatorisk veiledning som må følges.
Med det i tankene må følgende veiledning tas i betraktning:
- Lover om import og/eller eksport av maskinvare eller programvare som enten utfører en dedikert kryptografisk funksjon, eller har evnen til å utføre nevnte funksjon.
- Lover knyttet til begrensning av kryptografiske funksjoner.
- Enhver tilgang til kryptert informasjon som myndigheter i et land eller en region har rett til å be om og håndheve.
- Gyldigheten og sannheten til tre sentrale digitale elementer av kryptert informasjon:
a) signaturer
b) Seals
c) sertifikater
Kontraktsmessig veiledning
Organisasjoner bør vurdere sine informasjonssikkerhetsforpliktelser når de utarbeider eller signerer juridisk bindende kontrakter med kunder, leverandører eller leverandører (inkludert forsikringspoliser og kontrakter).
Se Kontroll 5.20 for ytterligere veiledning knyttet til leverandørkontrakter.
Støttekontroller
- 5.20
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Endringer og forskjeller fra ISO 27002:2013
27002:2022-5.31 erstatter to kontroller fra 27002:2013-18.1.2 (Immaterielle rettigheter).
- 18.1.1 – Identifikasjon av gjeldende lovgivning og kontraktsmessige krav
- 18.1.5 – Regulering av kryptografiske kontroller
Mens 27002:2013-18.1.1 tilbyr minimal veiledning bortsett fra behovet for "ledere" for å identifisere all lovgivning som deres type virksomhet garanterer, diskuterer 27002:2022-5.31 overholdelse på tvers av lovgivende, regulatoriske og kryptografiske miljøer, i tillegg til å tilby noen generaliserte veiledningspunkter og langt mer detaljert informasjon om hvordan du holder deg på rett side av gjeldende lover eller forskrifter.
Når det gjelder kryptering, følger 27002:2022-5.31 de samme prinsippene som 27002:2013-18.1.5 og inneholder de samme underliggende veiledningspunktene, men går ett skritt videre ved å be organisasjoner vurdere maskinvare og programvare som har potensial til å bære ut kryptografiske funksjoner.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
ISO 27002 implementeringen er enklere med vår trinnvise sjekkliste som guider deg gjennom hele prosessen, fra å definere omfanget av ISMS-en din til risikoidentifikasjon og kontrollimplementering.
Ta kontakt i dag for å bestill en demo.
