ISO 27002:2022, Controle 5.31 – Juridische, statutaire, regelgevende en contractuele vereisten

Algemene richtlijnen voor controle 5.31

Er zijn vijf algemene richtlijnen waarmee u rekening moet houden. Organisaties moeten rekening houden met hun wettelijke, statutaire, regelgevende en contractuele vereisten wanneer:

1. Opstellen en/of wijzigen van hun informatiebeveiligingsprocedures en intern beleid documenten.
2. Ontwerpen, aanpassen of implementeren van informatiebeveiligingscontroles.
3. Het categoriseren van informatie bij het overwegen van hun bredere informatiebeveiligingsvereisten, hetzij voor organisatorische doeleinden, hetzij gerelateerd aan hun relaties met een derde partij (leveranciers enz.)
4. Ondergaat risicobeoordelingen met betrekking tot informatiebeveiliging activiteiten, inclusief interne rollen en verantwoordelijkheden met betrekking tot een organisatiestructuur.
5. Het vaststellen van de aard van een leveranciersrelatie en hun contractuele verplichtingen tijdens de levering van producten en diensten.

Wetgevende en regelgevende richtlijnen

Organisaties moeten interne processen en verantwoordelijkheden ‘definiëren en documenteren’ waarmee ze:

1. Identificeer, analyseer en begrijp hun wettelijke en regelgevende verplichtingen met betrekking tot informatiebeveiliging, inclusief periodieke beoordelingen van wet- en regelgeving.
2. Zorg ervoor dat ze aan alle wet- en regelgevingsomgevingen voldoen, in welke landen ze ook actief zijn. Dit strekt zich uit tot het gebruik van producten en diensten die afkomstig zijn van buiten het land waarin ze gewoonlijk actief zijn.

Cryptografische begeleiding

In de ICT is 'cryptografie' een methode om informatie en communicatie te beschermen door het gebruik van codes.

Als zodanig brengt het hele concept van encryptie en cryptografie gewoonlijk specifieke wettelijke vereisten met zich mee en een aanzienlijke hoeveelheid onderwerpspecifieke regelgevingsrichtlijnen waaraan moet worden voldaan.

Met dat in gedachten moeten de volgende richtlijnen in overweging worden genomen:

1. Wetten over de import en/of export van hardware of software die een specifieke cryptografische functie vervult, of de mogelijkheid heeft om deze functie uit te voeren.
2. Wetten met betrekking tot de beperking van cryptografische functies.
3. Elke toegang tot gecodeerde informatie waarover autoriteiten binnen een land of regio beschikken recht om te verzoeken en afdwingen.
4. De geldigheid en waarheidsgetrouwheid van drie belangrijke digitale elementen van gecodeerde informatie:
   
   a) handtekeningen
   b) Zegels
   c) Certificaten

Contractuele begeleiding

Organisaties moeten rekening houden met hun informatiebeveiligingsverplichtingen bij het opstellen of ondertekenen van juridisch bindende contracten met klanten, leveranciers of verkopers (inclusief verzekeringspolissen en contracten).

Zie Controle 5.20 voor verdere richtlijnen met betrekking tot leverancierscontracten.

Ondersteunende controles

• 5.20

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022-5.31 vervangt twee besturingselementen uit 27002:2013-18.1.2 (Intellectuele eigendomsrechten).

1. 18.1.1 – Identificatie van toepasselijke wetgeving en contractuele vereisten
2. 18.1.5 – Regulering van cryptografische controles

Terwijl 27002:2013-18.1.1 minimale richtlijnen biedt, afgezien van de noodzaak voor ‘managers’ om alle wetgeving te identificeren die hun type bedrijf rechtvaardigt, bespreekt 27002:2022-5.31 de naleving in wetgevende, regelgevende en cryptografische omgevingen, en biedt het ook een aantal algemene richtlijnen en veel meer details over hoe je aan de goede kant van de geldende wet- en regelgeving kunt blijven.

Wat encryptie betreft, houdt 27002:2022-5.31 zich aan dezelfde principes als 27002:2013-18.1.5 en bevat het dezelfde onderliggende richtlijnen, maar gaat nog een stap verder door organisaties te vragen hardware en software te overwegen die de potentie hebben om cryptografische functies uit.

Hoe ISMS.online helpt

ISO 27002 implementatie is eenvoudiger met onze stapsgewijze checklist die u door het hele proces leidt, van het definiëren van de reikwijdte van uw ISMS tot risico-identificatie en controle-implementatie.

Neem vandaag nog contact op met boek een demo.