Doel van de controle 5.31
Wetten, voorschriften en contractuele vereisten vormen een groot deel van de verantwoordelijkheden op het gebied van informatiebeveiliging van een organisatie.
Organisaties moeten op elk moment een duidelijk inzicht hebben in hun verplichtingen en bereid zijn hun informatiebeveiligingspraktijken aan te passen in overeenstemming met hun rol als verantwoordelijke gegevensverwerker.
Het is belangrijk op te merken dat Control 5.31 geen specifieke wettelijke, regelgevende of contractuele voorwaarden vermeldt organisaties hebben dat nodig te handhaven of na te leven, en er wordt ook geen procedure voor het opstellen van contracten beschreven. Controle 5.31 richt zich in plaats daarvan op wat organisaties moeten nadenken over informatiebeveiliging perspectief, gerelateerd aan hun unieke vereisten.
Attributentabel
Controle 5.31 is een preventieve controle uit die wijzigt het risico door begeleiding te bieden bij het werken met een robuust systeem informatiebeveiligingsbeleid dat zorgt voor naleving binnen alle relevante wettelijke en regelgevende omgevingen.
| controle Type | Eigenschappen voor informatiebeveiliging | Cyberbeveiligingsconcepten | Operationele mogelijkheden | Beveiligingsdomeinen |
|---|---|---|---|---|
| #Preventief | #Vertrouwelijkheid | #Identificeren | #Juridisch en naleving | #Governance en ecosysteem |
| #Integriteit | #Bescherming | |||
| #Beschikbaarheid |
ISO 27001 eenvoudig gemaakt
Een voorsprong van 81% vanaf dag één
Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.
Algemene richtlijnen voor controle 5.31
Er zijn vijf algemene richtlijnen waarmee u rekening moet houden. Organisaties moeten rekening houden met hun wettelijke, statutaire, regelgevende en contractuele vereisten wanneer:
- Opstellen en/of wijzigen van hun informatiebeveiligingsprocedures en intern beleid documenten.
- Ontwerpen, aanpassen of implementeren van informatiebeveiligingscontroles.
- Het categoriseren van informatie bij het overwegen van hun bredere informatiebeveiligingsvereisten, hetzij voor organisatorische doeleinden, hetzij gerelateerd aan hun relaties met een derde partij (leveranciers enz.)
- Ondergaat risicobeoordelingen met betrekking tot informatiebeveiliging activiteiten, inclusief interne rollen en verantwoordelijkheden met betrekking tot een organisatiestructuur.
- Het vaststellen van de aard van een leveranciersrelatie en hun contractuele verplichtingen tijdens de levering van producten en diensten.
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
Wetgevende en regelgevende richtlijnen
Organisaties moeten interne processen en verantwoordelijkheden ‘definiëren en documenteren’ waarmee ze:
- Identificeer, analyseer en begrijp hun wettelijke en regelgevende verplichtingen met betrekking tot informatiebeveiliging, inclusief periodieke beoordelingen van wet- en regelgeving.
- Zorg ervoor dat ze aan alle wet- en regelgevingsomgevingen voldoen, in welke landen ze ook actief zijn. Dit strekt zich uit tot het gebruik van producten en diensten die afkomstig zijn van buiten het land waarin ze gewoonlijk actief zijn.
Cryptografische begeleiding
In de ICT is 'cryptografie' een methode om informatie en communicatie te beschermen door het gebruik van codes.
Als zodanig brengt het hele concept van encryptie en cryptografie gewoonlijk specifieke wettelijke vereisten met zich mee en een aanzienlijke hoeveelheid onderwerpspecifieke regelgevingsrichtlijnen waaraan moet worden voldaan.
Met dat in gedachten moeten de volgende richtlijnen in overweging worden genomen:
- Wetten over de import en/of export van hardware of software die een specifieke cryptografische functie vervult, of de mogelijkheid heeft om deze functie uit te voeren.
- Wetten met betrekking tot de beperking van cryptografische functies.
- Elke toegang tot gecodeerde informatie waarover autoriteiten binnen een land of regio beschikken recht om te verzoeken en afdwingen.
- De geldigheid en waarheidsgetrouwheid van drie belangrijke digitale elementen van gecodeerde informatie:
a) handtekeningen
b) Zegels
c) Certificeringen
Contractuele begeleiding
Organisaties moeten rekening houden met hun informatiebeveiligingsverplichtingen bij het opstellen of ondertekenen van juridisch bindende contracten met klanten, leveranciers of verkopers (inclusief verzekeringspolissen en contracten).
Zie Controle 5.20 voor verdere richtlijnen met betrekking tot leverancierscontracten.
Ondersteunende controles
- 5.20
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Wijzigingen en verschillen ten opzichte van ISO 27002:2013
27002:2022-5.31 vervangt twee besturingselementen uit 27002:2013-18.1.2 (Intellectuele eigendomsrechten).
- 18.1.1 – Identificatie van toepasselijke wetgeving en contractuele vereisten
- 18.1.5 – Regulering van cryptografische controles
Terwijl 27002:2013-18.1.1 minimale richtlijnen biedt, afgezien van de noodzaak voor ‘managers’ om alle wetgeving te identificeren die hun type bedrijf rechtvaardigt, bespreekt 27002:2022-5.31 de naleving in wetgevende, regelgevende en cryptografische omgevingen, en biedt het ook een aantal algemene richtlijnen en veel meer details over hoe je aan de goede kant van de geldende wet- en regelgeving kunt blijven.
Wat encryptie betreft, houdt 27002:2022-5.31 zich aan dezelfde principes als 27002:2013-18.1.5 en bevat het dezelfde onderliggende richtlijnen, maar gaat nog een stap verder door organisaties te vragen hardware en software te overwegen die de potentie hebben om cryptografische functies uit.
Nieuwe ISO 27002-controles
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 5.7 | NIEUW | Bedreigingsintelligentie |
| 5.23 | NIEUW | Informatiebeveiliging voor gebruik van clouddiensten |
| 5.30 | NIEUW | ICT gereed voor bedrijfscontinuïteit |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 8.9 | NIEUW | Configuratiebeheer |
| 8.10 | NIEUW | Verwijdering van informatie |
| 8.11 | NIEUW | Gegevensmaskering |
| 8.12 | NIEUW | Preventie van gegevenslekken |
| 8.16 | NIEUW | Monitoring activiteiten |
| 8.23 | NIEUW | Web filtering |
| 8.28 | NIEUW | Veilige codering |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 6.1 | 07.1.1 | Doorlichting |
| 6.2 | 07.1.2 | Arbeidsvoorwaarden |
| 6.3 | 07.2.2 | Bewustzijn, opleiding en training op het gebied van informatiebeveiliging |
| 6.4 | 07.2.3 | Disciplinair proces |
| 6.5 | 07.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| 6.6 | 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| 6.7 | 06.2.2 | Werken op afstand |
| 6.8 | 16.1.2, 16.1.3 | Rapportage van informatiebeveiligingsgebeurtenissen |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 7.1 | 11.1.1 | Fysieke veiligheidsperimeters |
| 7.2 | 11.1.2, 11.1.6 | Fysieke toegang |
| 7.3 | 11.1.3 | Beveiligen van kantoren, kamers en faciliteiten |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 7.5 | 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| 7.6 | 11.1.5 | Werken in beveiligde ruimtes |
| 7.7 | 11.2.9 | Overzichtelijk bureau en helder scherm |
| 7.8 | 11.2.1 | Locatie en bescherming van apparatuur |
| 7.9 | 11.2.6 | Beveiliging van activa buiten het terrein |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Opslag media |
| 7.11 | 11.2.2 | Ondersteunende nutsvoorzieningen |
| 7.12 | 11.2.3 | Beveiliging van de bekabeling |
| 7.13 | 11.2.4 | Apparatuuronderhoud |
| 7.14 | 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
Hoe ISMS.online helpt
ISO 27002 implementatie is eenvoudiger met onze stapsgewijze checklist die u door het hele proces leidt, van het definiëren van de reikwijdte van uw ISMS tot risico-identificatie en controle-implementatie.
Neem vandaag nog contact op met boek een demo.
