ISO 27002:2022 – Control 5.31 – Requisitos legales, estatutarios, reglamentarios y contractuales

Propósito del Control 5.31

Las leyes, regulaciones y requisitos contractuales forman una gran parte de las responsabilidades de seguridad de la información de una organización.

Las organizaciones deben tener una comprensión clara de sus obligaciones en cualquier momento y estar preparadas para adaptar sus prácticas de seguridad de la información de acuerdo con su papel como manejadores de datos responsables.

Es importante tener en cuenta que el Control 5.31 no enumera ningún término legal, regulatorio o contractual específico que las organizaciones necesitan hacer cumplir o seguir cumpliendo, ni establece un procedimiento para redactar contratos. En cambio, el Control 5.31 se centra en lo que las organizaciones deben considerar desde el punto de vista de la seguridad de la información perspectiva, en relación con sus requisitos únicos.

Tabla de atributos

Control 5.31 es un control preventivo que modifica el riesgo ofreciendo orientación sobre cómo operar con un sólido política de seguridad de la información que mantiene el cumplimiento dentro de todos los entornos legales y regulatorios relevantes.

Orientación general sobre control 5.31

Hay cinco puntos de orientación generales a considerar. Las organizaciones deben tener en cuenta sus requisitos legales, estatutarios, reglamentarios y contractuales cuando:

1. Redactar y/o modificar sus procedimientos de seguridad de la información y política interna documentos.
2. Diseñar, modificar o implementar controles de seguridad de la información.
3. Categorizar la información al considerar sus requisitos más amplios de seguridad de la información, ya sea para fines organizacionales o relacionados con sus relaciones con un tercero (proveedores, etc.)
4. Pasando por evaluaciones de riesgos relacionados con la seguridad de la información actividades, incluidas las funciones y responsabilidades internas relacionadas con una estructura organizacional.
5. Establecer la naturaleza de una relación de proveedor, y sus obligaciones contractuales durante todo el suministro de productos y servicios.

Orientación legislativa y regulatoria

Las organizaciones deben “definir y documentar” los procesos y responsabilidades internos que les permitan:

1. Identificar, analizar y comprender sus obligaciones legislativas y regulatorias relacionadas con la seguridad de la información, incluidas revisiones periódicas de la legislación y regulaciones.
2. Asegúrese de que cumplan con todos los entornos legislativos y regulatorios en cualquier país en el que operen. Esto se extiende al uso de productos y servicios que se originan fuera del país en el que operan habitualmente.

Orientación criptográfica

En las TIC, la 'criptografía' es un método para proteger la información y las comunicaciones mediante el uso de códigos.

Como tal, todo el concepto de cifrado y criptografía generalmente implica requisitos legales específicos y una cantidad considerable de orientación regulatoria sobre temas específicos que deben cumplirse.

Teniendo esto en cuenta, es necesario tener en cuenta las siguientes orientaciones:

1. Leyes sobre la importación y/o exportación de hardware o software que realice una función criptográfica dedicada o tenga la capacidad de realizar dicha función.
2. Leyes relativas a la restricción de funciones criptográficas.
3. Cualquier acceso a información cifrada que las autoridades de un país o región tengan la derecho a solicitar y hacer cumplir.
4. La validez y veracidad de tres elementos digitales clave de la información cifrada:

   a) Signatures
   b) Juntas
   c) Certificados

Orientación Contractual

Las organizaciones deben considerar sus obligaciones de seguridad de la información al redactar o firmar contratos legalmente vinculantes con clientes, proveedores o vendedores (incluidas pólizas y contratos de seguros).

Consulte el Control 5.20 para obtener más orientación relacionada con los contratos con proveedores.

Controles de apoyo

• 5.20

Cambios y diferencias con respecto a ISO 27002:2013

27002:2022-5.31 reemplaza dos controles de 27002:2013-18.1.2 (Derechos de propiedad intelectual).

1. 18.1.1 – Identificación de la legislación aplicable y requisitos contractuales
2. 18.1.5 – Regulación de controles criptográficos

Mientras que 27002:2013-18.1.1 ofrece una orientación mínima aparte de la necesidad de que los “administradores” identifiquen toda la legislación que su tipo de negocio justifica, 27002:2022-5.31 analiza el cumplimiento en entornos legislativos, regulatorios y criptográficos, además de ofrecer algunas puntos de orientación generalizados y entrar en muchos más detalles sobre cómo permanecer en el lado correcto de cualquier legislación o regulación vigente.

En lo que respecta al cifrado, 27002:2022-5.31 se adhiere a los mismos principios que 27002:2013-18.1.5 y contiene los mismos puntos de orientación subyacentes, pero va un paso más allá al pedir a las organizaciones que consideren hardware y software que tenga el potencial de transportar realizar funciones criptográficas.

Nuevos controles ISO 27002

Cómo ayuda ISMS.online

ISO 27002 La implementación es más sencilla con nuestra lista de verificación paso a paso que lo guía a través de todo el proceso, desde la definición del alcance de su SGSI hasta la identificación de riesgos y la implementación del control.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.