ISO 27002:2022, kontroll 5.31 – juridiske, lovpålagte, regulatoriske og kontraktsmessige krav

Generell veiledning om kontroll 5.31

Det er 5 generelle veiledningspunkter å vurdere. Organisasjoner bør huske på sine juridiske, lovpålagte, regulatoriske og kontraktsmessige krav når:

1. Utarbeide og/eller endre deres informasjonssikkerhetsprosedyrer og interne retningslinjer dokumenter.
2. Utforme, endre eller implementere informasjonssikkerhetskontroller.
3. Kategorisering av informasjon når de vurderer deres bredere informasjonssikkerhetskrav, enten for organisatoriske formål eller relatert til deres forhold til en tredjepart (leverandører osv.)
4. Gjennomgår risikovurderinger knyttet til informasjonssikkerhet aktiviteter, inkludert interne roller og ansvar knyttet til en organisasjonsstruktur.
5. Etablering av arten av et leverandørforhold, og deres kontraktsmessige forpliktelser gjennom hele leveringen av produkter og tjenester.

Lovgivende og forskriftsmessig veiledning

Organisasjoner bør «definere og dokumentere» interne prosesser og ansvar som lar dem:

1. Identifisere, analysere og forstå deres lov- og regulatoriske forpliktelser knyttet til informasjonssikkerhet, inkludert periodiske gjennomganger av lover og forskrifter.
2. Sørg for at de forblir kompatible på tvers av alle lov- og reguleringsmiljøer uansett hvilke land de opererer i. Dette omfatter bruk av produkter og tjenester som kommer utenfor landet de vanligvis opererer i.

Kryptografisk veiledning

I IKT er 'kryptografi' en metode for å beskytte informasjon og kommunikasjon ved bruk av koder.

Som sådan involverer hele konseptet med kryptering og kryptografi vanligvis spesifikke juridiske krav og en betydelig mengde emnespesifikk regulatorisk veiledning som må følges.

Med det i tankene må følgende veiledning tas i betraktning:

1. Lover om import og/eller eksport av maskinvare eller programvare som enten utfører en dedikert kryptografisk funksjon, eller har evnen til å utføre nevnte funksjon.
2. Lover knyttet til begrensning av kryptografiske funksjoner.
3. Enhver tilgang til kryptert informasjon som myndigheter i et land eller en region har rett til å be om og håndheve.
4. Gyldigheten og sannheten til tre sentrale digitale elementer av kryptert informasjon:
   
   a) signaturer
   b) Seals
   c) sertifikater

Kontraktsmessig veiledning

Organisasjoner bør vurdere sine informasjonssikkerhetsforpliktelser når de utarbeider eller signerer juridisk bindende kontrakter med kunder, leverandører eller leverandører (inkludert forsikringspoliser og kontrakter).

Se Kontroll 5.20 for ytterligere veiledning knyttet til leverandørkontrakter.

Støttekontroller

• 5.20

Endringer og forskjeller fra ISO 27002:2013

27002:2022-5.31 erstatter to kontroller fra 27002:2013-18.1.2 (Immaterielle rettigheter).

1. 18.1.1 – Identifikasjon av gjeldende lovgivning og kontraktsmessige krav
2. 18.1.5 – Regulering av kryptografiske kontroller

Mens 27002:2013-18.1.1 tilbyr minimal veiledning bortsett fra behovet for "ledere" for å identifisere all lovgivning som deres type virksomhet garanterer, diskuterer 27002:2022-5.31 overholdelse på tvers av lovgivende, regulatoriske og kryptografiske miljøer, i tillegg til å tilby noen generaliserte veiledningspunkter og langt mer detaljert informasjon om hvordan du holder deg på rett side av gjeldende lover eller forskrifter.

Når det gjelder kryptering, følger 27002:2022-5.31 de samme prinsippene som 27002:2013-18.1.5 og inneholder de samme underliggende veiledningspunktene, men går ett skritt videre ved å be organisasjoner vurdere maskinvare og programvare som har potensial til å bære ut kryptografiske funksjoner.

Hvordan ISMS.online hjelper

ISO 27002 implementeringen er enklere med vår trinnvise sjekkliste som guider deg gjennom hele prosessen, fra å definere omfanget av ISMS-en din til risikoidentifikasjon og kontrollimplementering.

Ta kontakt i dag for å bestill en demo.