ISO 27002:2022 – בקרה 5.31 – דרישות משפטיות, סטטוטוריות, רגולטוריות וחוזיות

מטרת הבקרה 5.31

חוקים, תקנות ודרישות חוזיות מהווים חלק גדול מאחריות אבטחת המידע של ארגון.

על ארגונים להיות בעלי הבנה ברורה של חובותיהם בכל עת, ולהיות מוכנים להתאים את נוהלי אבטחת המידע שלהם בהתאם לתפקידם כמטפל אחראי בנתונים.

חשוב לציין ש-Control 5.31 אינו מפרט תנאים משפטיים, רגולטוריים או חוזיים ספציפיים גם ארגונים צריכים לאכוף או לשמור על ציות, וגם לא קובע נוהל לעריכת חוזים. פקד 5.31 במקום מתמקד במה ארגונים צריכים לשקול מאבטחת מידע פרספקטיבה, המתייחסת לדרישות הייחודיות שלהם.

טבלת תכונות

שליטה 5.31 היא א בקרה מונעת זֶה משנה סיכון על ידי מתן הדרכה כיצד לפעול עם חזקה מדיניות אבטחת מידע השומרת על תאימות בכל הסביבות החוקיות והרגולטוריות הרלוונטיות.

הנחיות כלליות בנושא בקרה 5.31

ישנן 5 נקודות הנחיה כלליות שיש לקחת בחשבון. על הארגון לזכור את הדרישות החוקיות, החוקיות, הרגולטוריות והחוזיות שלהם כאשר:

1. ניסוח ו/או תיקון שלהם נהלי אבטחת מידע ומדיניות פנימית מסמכים.
2. תכנון, תיקון או יישום בקרות אבטחת מידע.
3. סיווג מידע כאשר שוקלים את דרישות אבטחת המידע הרחבות יותר שלהם, למטרות ארגוניות או הקשורות ליחסים שלהם עם צד שלישי (ספקים וכו')
4. עוברת הערכות סיכונים הקשורות לאבטחת מידע פעילויות, לרבות תפקידים ואחריות פנימיים הקשורים למבנה ארגוני.
5. ביסוס טיבם של יחסי ספק, והתחייבויותיהם החוזיות לאורך כל אספקת המוצרים והשירותים.

הנחיות חקיקה ורגולטוריות

ארגונים צריכים "להגדיר ולתעד" תהליכים ואחריות פנימיים שמאפשרים להם:

1. לזהות, לנתח ולהבין את חובותיהם החקיקתיות והרגולטוריות הנוגעות לאבטחת מידע, לרבות סקירה תקופתית של חקיקה ותקנות.
2. ודא שהם יישארו תואמים בכל סביבות החקיקה והרגולציה בכל מדינות שבהן הם פועלים. זה חל על השימוש במוצרים ובשירותים שמקורם מחוץ למדינה שבה הם פועלים בדרך כלל.

הדרכה קריפטוגרפית

ב-ICT, 'קריפטוגרפיה' היא שיטה להגנה על מידע ותקשורת באמצעות שימוש בקודים.

ככזה, כל הרעיון של הצפנה והצפנה כרוך בדרך כלל בדרישות משפטיות ספציפיות ובכמות ניכרת של הנחיות רגולטוריות ספציפיות לנושא שיש להקפיד עליהן.

עם זאת בחשבון, יש לקחת בחשבון את ההדרכה הבאה:

1. חוקים על ייבוא ​​ו/או ייצוא של חומרה או תוכנה אשר מבצעת פונקציה קריפטוגרפית ייעודית, או בעלת יכולת לבצע פונקציה כאמור.
2. חוקים הנוגעים להגבלת פונקציות קריפטוגרפיות.
3. כל גישה למידע מוצפן שיש לרשויות במדינה או אזור זכות לבקש ולאכוף.
4. התקפות והאמינות של שלושה אלמנטים דיגיטליים מרכזיים של מידע מוצפן:

   a) חתימות
   b) אטמים
   c) תעודות

הדרכה חוזית

ארגונים צריכים לשקול את חובותיהם לאבטחת המידע בעת עריכת או חתימה על חוזים מחייבים משפטית עם לקוחות, ספקים או ספקים (כולל פוליסות ביטוח וחוזים).

ראה בקרה 5.20 להנחיות נוספות בנוגע לחוזי ספקים.

בקרות תומכות

• 5.20

שינויים והבדלים מ-ISO 27002:2013

27002:2022-5.31 מחליף שתי פקדים מ-27002:2013-18.1.2 (זכויות קניין רוחני).

1. 18.1.1 – זיהוי החקיקה החלה והדרישות החוזיות
2. 18.1.5 – הסדרת בקרות הצפנה

בעוד ש-27002:2013-18.1.1 מציע הדרכה מינימלית מלבד הצורך של "מנהלים" לזהות את כל החקיקה שסוג העסק שלהם מצדיק, 27002:2022-5.31 דן בדבקות בין סביבות חקיקה, רגולטוריות והצפנה, כמו גם מציע כמה נקודות הדרכה כלליות וכניסה לפרטים רבים יותר לגבי איך להישאר בצד הנכון של כל חקיקה או תקנות רווחות.

בכל הנוגע להצפנה, 27002:2022-5.31 מצייתת לאותם עקרונות כמו 27002:2013-18.1.5 ומכילה את אותן נקודות הדרכה בסיסיות, אך הולכת צעד אחד קדימה בכך שהיא מבקשת מארגונים לשקול חומרה ותוכנה שיש להם פוטנציאל לשאת להוציא פונקציות קריפטוגרפיות.

בקרות חדשות ISO 27002

כיצד ISMS.online עוזר

ISO 27002 היישום פשוט יותר עם רשימת הבדיקה המפורטת שלנו שמנחה אותך לאורך כל התהליך, מהגדרת היקף ה-ISMS שלך ועד לזיהוי סיכונים ויישום בקרה.

צור קשר עוד היום כדי הזמן הדגמה.