ISO 27002:2022 – Kontrolle 5.31 – Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen

Zweck der Kontrolle 5.31

Gesetze, Vorschriften und vertragliche Anforderungen bilden einen großen Teil der Informationssicherheitsverantwortung einer Organisation.

Organisationen sollten jederzeit ein klares Verständnis ihrer Pflichten haben und bereit sein, ihre Informationssicherheitspraktiken entsprechend ihrer Rolle als verantwortungsvoller Datenverarbeiter anzupassen.

Es ist wichtig zu beachten, dass Control 5.31 keine spezifischen rechtlichen, behördlichen oder vertraglichen Bedingungen auflistet Organisationen benötigen entweder durchzusetzen oder einzuhalten, noch legt es ein Verfahren für die Ausarbeitung von Verträgen fest. Control 5.31 konzentriert sich stattdessen auf „Was“. Organisationen müssen im Hinblick auf die Informationssicherheit berücksichtigen Perspektive, bezogen auf ihre individuellen Anforderungen.

Attributtabelle

Kontrolle 5.31 ist ein vorbeugende Kontrolle zur Abwicklung, Integrierung, Speicherung und verändert das Risiko indem wir Anleitungen für den Betrieb mit einem robusten Gerät anbieten Informationssicherheitspolitik das die Einhaltung aller relevanten rechtlichen und regulatorischen Rahmenbedingungen gewährleistet.

Allgemeine Leitlinien zur Kontrolle 5.31

Es sind 5 allgemeine Leitlinien zu beachten. Organisationen sollten ihre gesetzlichen, satzungsmäßigen, behördlichen und vertraglichen Anforderungen im Auge behalten, wenn:

1. Ausarbeitung und/oder Änderung ihrer Informationssicherheitsverfahren und interne Richtlinien Unterlagen.
2. Entwerfen, Ändern oder Implementieren von Informationssicherheitskontrollen.
3. Kategorisierung von Informationen bei der Berücksichtigung ihrer umfassenderen Informationssicherheitsanforderungen, entweder für organisatorische Zwecke oder im Zusammenhang mit ihren Beziehungen zu Dritten (Lieferanten usw.)
4. Unterziehen Risikobewertungen im Zusammenhang mit der Informationssicherheit Aktivitäten, einschließlich interner Rollen und Verantwortlichkeiten im Zusammenhang mit einer Organisationsstruktur.
5. Festlegung der Art einer Lieferantenbeziehung und ihrer vertraglichen Verpflichtungen während der Lieferung von Produkten und Dienstleistungen.

Legislative und regulatorische Leitlinien

Organisationen sollten interne Prozesse und Verantwortlichkeiten „definieren und dokumentieren“. die es ihnen ermöglichen:

1. Identifizieren, analysieren und verstehen Sie ihre gesetzlichen und behördlichen Verpflichtungen im Zusammenhang mit der Informationssicherheit, einschließlich regelmäßiger Überprüfungen von Gesetzen und Vorschriften.
2. Stellen Sie sicher, dass sie alle gesetzlichen und regulatorischen Rahmenbedingungen in den Ländern, in denen sie tätig sind, einhalten. Dies gilt auch für die Nutzung von Produkten und Dienstleistungen, die ihren Ursprung außerhalb des Landes haben, in dem sie normalerweise tätig sind.

Kryptografische Anleitung

In der IKT ist „Kryptographie“ eine Methode zum Schutz von Informationen und Kommunikation durch die Verwendung von Codes.

Daher beinhaltet das gesamte Konzept der Verschlüsselung und Kryptographie in der Regel spezifische rechtliche Anforderungen und eine Vielzahl themenspezifischer regulatorischer Leitlinien, die eingehalten werden müssen.

Vor diesem Hintergrund müssen die folgenden Hinweise berücksichtigt werden:

1. Gesetze zum Import und/oder Export von Hardware oder Software, die entweder eine dedizierte kryptografische Funktion ausführt oder über die Fähigkeit verfügt, diese Funktion auszuführen.
2. Gesetze zur Einschränkung kryptografischer Funktionen.
3. Jeder Zugriff auf verschlüsselte Informationen, den Behörden innerhalb eines Landes oder einer Region haben Recht auf Anfrage und durchsetzen.
4. Die Gültigkeit und Richtigkeit von drei wichtigen digitalen Elementen verschlüsselter Informationen:

   a) Unterschriften
   b) Robben
   c) Zertifikate

Vertragliche Beratung

Organisationen sollten ihre Informationssicherheitsverpflichtungen berücksichtigen, wenn sie rechtsverbindliche Verträge mit Kunden, Lieferanten oder Verkäufern entwerfen oder unterzeichnen (einschließlich Versicherungspolicen und Verträge).

Weitere Hinweise zu Lieferantenverträgen finden Sie in Control 5.20.

Unterstützende Kontrollen

• 5.20

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022-5.31 ersetzt zwei Kontrollen aus 27002:2013-18.1.2 (Rechte an geistigem Eigentum).

1. 18.1.1 – Identifizierung der geltenden Gesetze und vertraglichen Anforderungen
2. 18.1.5 – Regulierung kryptografischer Kontrollen

Während 27002:2013-18.1.1 abgesehen von der Notwendigkeit, dass „Manager“ alle Gesetze identifizieren müssen, die ihre Art von Unternehmen erfordert, nur minimale Anleitungen bietet, erörtert 27002:2022-5.31 die Einhaltung in allen gesetzlichen, behördlichen und kryptografischen Umgebungen und bietet einige davon an Allgemeine Leitlinien und ausführlichere Erläuterungen dazu, wie man sich bei allen geltenden Gesetzen und Vorschriften auf dem richtigen Weg hält.

Was die Verschlüsselung betrifft, folgt 27002:2022-5.31 den gleichen Grundsätzen wie 27002:2013-18.1.5 und enthält die gleichen zugrunde liegenden Leitlinien, geht jedoch noch einen Schritt weiter und fordert Organisationen auf, Hardware und Software in Betracht zu ziehen, die das Potenzial für die Verschlüsselung hat kryptografische Funktionen aus.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

ISO 27002 Die Implementierung wird einfacher mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, von der Definition des Umfangs Ihres ISMS über die Risikoidentifizierung bis hin zur Kontrollimplementierung.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.