ISO 27001:2022 Bijlage A 5.31 – Wettelijke, statutaire, regelgevende en contractuele vereisten

Wat is het doel van ISO 27001:2022 bijlage A 5.31?

Wet- en regelgeving en contractuele verplichtingen vormen een aanzienlijk deel van die van een organisatie verantwoordelijkheden op het gebied van informatiebeveiliging.

Organisaties moeten te allen tijde hun verantwoordelijkheden onderkennen en bereid zijn deze aan te passen informatiebeveiliging maatregelen die passen bij hun rol als betrouwbare gegevensverwerker.

Het is opmerkelijk dat bijlage A 5.31 niet expliciet enige wettelijke, regelgevende of contractuele verplichtingen opsomt waaraan organisaties zich moeten houden of waar ze aan moeten voldoen. Ook biedt het geen methode voor het opstellen van contracten. In plaats daarvan richt het zich op waar organisaties rekening mee moeten houden vanuit het oogpunt van informatiebeveiliging, rekening houdend met hun individuele vereisten.

Algemene richtlijn voor ISO 27001:2022 bijlage A 5.31

Organisaties moeten rekening houden met hun wettelijke, statutaire, regelgevende en contractuele verplichtingen wanneer:

• Het opstellen of aanpassen van hun informatiebeveiligingsprocedures en intern beleid.
• Ontwerp, wijzig en voer informatiebeveiligingscontroles uit.
• Bij het beoordelen van hun bredere behoeften op het gebied van gegevensbeveiliging, zowel voor organisatorische situaties als voor situaties die verband houden met derden (bijvoorbeeld leveranciers), moeten organisaties hun informatiebeveiliging categoriseren.
• Het uitvoeren van risicobeoordelingen met betrekking tot gegevensbeveiligingsactiviteiten, zoals interne rollen en de organisatiestructuur.
• Het bepalen van de aard van de leveranciersrelatie, evenals hun contractuele verplichtingen in de hele toeleveringsketen.

Wetgevende en regelgevende richtlijnen

Organisaties moeten de interne procedures en rollen duidelijk schetsen en vastleggen, zodat zij:

• Identificeer, analyseer en begrijp hun wettelijke en regelgevende vereisten met betrekking tot informatiebeveiliging, inclusief consistente evaluaties van wet- en regelgeving.
• Zorg ervoor dat ze blijven voldoen aan alle wettelijke en regelgevende vereisten in elk land waarin ze actief zijn, evenals aan alle producten en diensten van buiten het land.

Cryptografische begeleiding

Cryptografie is een techniek om informatie en communicatie te beschermen door deze te coderen. Het biedt een manier om informatie te beveiligen, waardoor veilige communicatie tussen twee partijen mogelijk wordt.

Het gebruik van encryptie en cryptografie vereist het naleven van gespecificeerde wettelijke voorschriften en aanzienlijk regelgevingsadvies dat relevant is voor het onderwerp.

Dit in aanmerking nemende moet men zich bewust zijn van de volgende richtlijnen:

• Import-/exportwetten met betrekking tot cryptografische hardware of software die een speciale cryptografische functie uitvoert of kan uitvoeren.
• Wetgeving met betrekking tot het beperken van cryptografische functies.
• Autoriteiten in elk land of elke regio hebben de bevoegdheid om dit te doen toegang aanvragen en afdwingen naar gecodeerde informatie.
• De nauwkeurigheid en betrouwbaarheid van drie fundamentele digitale componenten van gecodeerde gegevens:
• Zeehonden.
• Certificaten.
• Handtekeningen.

Contractuele begeleiding

Organisaties moeten hun verantwoordelijkheden op het gebied van informatiebeveiliging in gedachten houden bij het opstellen of autoriseren van juridisch bindende contracten met klanten, leveranciers of leveranciers (zoals verzekeringspolissen en contracten).

Raadpleeg bijlage A 5.20 in ISO 27001:2022 voor aanvullende ondersteuning met betrekking tot leverancierscontracten.

Bijbehorende bijlage A-controles

• ISO 27001:2022 Bijlage A 5.20

Wijzigingen en verschillen ten opzichte van ISO 27001:2013

ISO 27001:2022 Bijlage A 5.31 vervangt in de herziene norm twee controles uit ISO 27001:2013, deze zijn:

1. 18.1.1 – Identificatie van toepasselijke wetgeving en contractuele vereisten
2. 18.1.5 – Regulering van cryptografische controles

Terwijl ISO 27001:2013 bijlage A 18.1.1 biedt weinig richtlijnen afgezien van de eis zodat “managers” alle toepasselijke wetten voor hun bedrijf kunnen identificeren, bespreekt ISO 27001:2022 Annex A 5.31 de naleving van wetgevende, regelgevende en cryptografische standaarden, en biedt ook wat algemeen advies en gaat dieper in op hoe te voldoen aan relevante wetgeving of regelgeving.

ISO 27001:2022 Annex A 5.31 volgt dezelfde principes als ISO 27001:2013 Annex A 18.1.5 en bevat dezelfde onderliggende richtlijnen, maar gaat nog een stap verder en eist van organisaties dat ze hardware en software overwegen die cryptografische functies kunnen uitvoeren.

Tabel met alle ISO 27001:2022 bijlage A-controles

In de onderstaande tabel vindt u meer informatie over elk individu ISO 27001:2022 bijlage A Controle.

Hoe ISMS.online helpt

Onze stap-voor-stap checklist maakt Implementatie van ISO 27001:2022 gemakkelijker. U gaat van het definiëren van de reikwijdte van uw ISMS tot het implementeren van risico-identificatie en -beheersing.

Neem nu contact met ons op om een ​​demonstratie te regelen.