ISO 27001:2022 Anexo A 5.31 – Requisitos legales, estatutarios, reglamentarios y contractuales

¿Cuál es el propósito del Anexo A 27001 de la norma ISO 2022:5.31?

La legislación, los reglamentos y las obligaciones contractuales constituyen una parte importante de la actividad de una organización. responsabilidades de seguridad de la información.

Las organizaciones deben asumir sus responsabilidades en todo momento y estar preparadas para modificar sus seguridad de la información medidas para adaptarse a su papel como manejadores de datos confiables.

Cabe señalar que el Anexo A 5.31 no enumera explícitamente ninguna obligación legal, reglamentaria o contractual que las organizaciones deban cumplir o cumplir. Del mismo modo, no proporciona un método para redactar contratos. En cambio, se centra en lo que las organizaciones deben considerar desde el punto de vista de la seguridad de la información, teniendo en cuenta sus requisitos individuales.

Orientación general sobre ISO 27001:2022 Anexo A 5.31

Las organizaciones deben tener en cuenta sus obligaciones legales, estatutarias, reglamentarias y contractuales cuando:

• Redactar o modificar sus procedimientos de seguridad de la información y políticas internas.
• Diseñar, alterar y ejecutar controles de seguridad de la información.
• Al evaluar sus necesidades más amplias de seguridad de datos, tanto para situaciones organizacionales como relacionadas con terceros (por ejemplo, proveedores), las organizaciones deben categorizar la seguridad de su información.
• Llevar a cabo evaluaciones de riesgos relacionados con las actividades de seguridad de los datos, como los roles internos y la estructura organizacional.
• Determinar la naturaleza de la relación con los proveedores, así como sus obligaciones contractuales a lo largo de toda la cadena de suministro.

Orientación legislativa y regulatoria

Las organizaciones deben delinear y registrar claramente los procedimientos y funciones internos para que puedan:

• Identificar, analizar y comprender sus requisitos legales y regulatorios con respecto a la seguridad de la información, incluidas evaluaciones consistentes de leyes y regulaciones.
• Asegúrese de que cumplan con todos los requisitos legales y reglamentarios en cada país en el que operan, así como con cualquier producto y servicio de fuera del país.

Orientación criptográfica

La criptografía es una técnica para proteger la información y las comunicaciones codificándolas. Proporciona una forma de proteger la información, permitiendo una comunicación segura entre dos partes.

El uso de cifrado y criptografía requiere el cumplimiento de regulaciones legales específicas y un considerable asesoramiento regulatorio relevante al tema.

Teniendo esto en cuenta, conviene tener en cuenta las siguientes directivas:

• Leyes de importación/exportación relativas a hardware o software criptográfico que realiza o puede realizar una función criptográfica dedicada.
• Legislación relacionada con la limitación de funciones criptográficas.
• Las autoridades de cualquier país o región tienen la autoridad para solicitar y hacer cumplir el acceso a información cifrada.
• La precisión y confiabilidad de tres componentes digitales fundamentales de los datos cifrados:
• Focas.
• Certificados.
• Firmas.

Orientación Contractual

Las organizaciones deben tener en cuenta sus responsabilidades de seguridad de la información al elaborar o autorizar contratos legalmente vinculantes con clientes, proveedores o vendedores (como pólizas y contratos de seguros).

Consulte el Anexo A 5.20 de ISO 27001:2022 para obtener soporte adicional con respecto a los contratos con proveedores.

Controles adjuntos al Anexo A

• ISO 27001:2022 Anexo A 5.20

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 El Anexo A 5.31 reemplaza dos controles de ISO 27001:2013 en la norma revisada, estos son:

1. 18.1.1 – Identificación de la legislación aplicable y requisitos contractuales
2. 18.1.5 – Regulación de Controles Criptográficos

Mientras ISO 27001:2013 Anexo A 18.1.1 proporciona poca orientación aparte del requisito Para que los “gerentes” identifiquen todas las leyes aplicables a sus negocios, el Anexo A 27001 de ISO 2022:5.31 analiza el cumplimiento de los estándares legislativos, regulatorios y criptográficos, además de ofrecer algunos consejos generales y profundizar en cómo cumplir con cualquier legislación o legislación relevante. regulaciones.

ISO 27001:2022 Anexo A 5.31 sigue los mismos principios que ISO 27001:2013 Anexo A 18.1.5 e incluye los mismos puntos de orientación subyacentes; sin embargo, va un paso más allá y exige a las organizaciones que contemplen hardware y software que puedan realizar funciones criptográficas.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control:

Cómo ayuda ISMS.online

Nuestra lista de verificación paso a paso hace Implementación de ISO 27001:2022 más fácil. Le lleva desde definir el alcance de su SGSI hasta implementar la identificación y el control de riesgos.

Contáctenos ahora para concertar una demostración.