ISO 27002:2022, Control 5.31 – Requisitos legales, estatutarios, reglamentarios y contractuales

Orientación general sobre control 5.31

Hay cinco puntos de orientación generales a considerar. Las organizaciones deben tener en cuenta sus requisitos legales, estatutarios, reglamentarios y contractuales cuando:

1. Redactar y/o modificar sus procedimientos de seguridad de la información y política interna documentos.
2. Diseñar, modificar o implementar controles de seguridad de la información.
3. Categorizar la información al considerar sus requisitos más amplios de seguridad de la información, ya sea para fines organizacionales o relacionados con sus relaciones con un tercero (proveedores, etc.)
4. Pasando por evaluaciones de riesgos relacionados con la seguridad de la información actividades, incluidas las funciones y responsabilidades internas relacionadas con una estructura organizacional.
5. Establecer la naturaleza de una relación de proveedor, y sus obligaciones contractuales durante todo el suministro de productos y servicios.

Orientación legislativa y regulatoria

Las organizaciones deben “definir y documentar” los procesos y responsabilidades internos que les permitan:

1. Identificar, analizar y comprender sus obligaciones legislativas y regulatorias relacionadas con la seguridad de la información, incluidas revisiones periódicas de la legislación y regulaciones.
2. Asegúrese de que cumplan con todos los entornos legislativos y regulatorios en cualquier país en el que operen. Esto se extiende al uso de productos y servicios que se originan fuera del país en el que operan habitualmente.

Orientación criptográfica

En las TIC, la 'criptografía' es un método para proteger la información y las comunicaciones mediante el uso de códigos.

Como tal, todo el concepto de cifrado y criptografía generalmente implica requisitos legales específicos y una cantidad considerable de orientación regulatoria sobre temas específicos que deben cumplirse.

Teniendo esto en cuenta, es necesario tener en cuenta las siguientes orientaciones:

1. Leyes sobre la importación y/o exportación de hardware o software que realice una función criptográfica dedicada o tenga la capacidad de realizar dicha función.
2. Leyes relativas a la restricción de funciones criptográficas.
3. Cualquier acceso a información cifrada que las autoridades de un país o región tengan la derecho a solicitar y hacer cumplir.
4. La validez y veracidad de tres elementos digitales clave de la información cifrada:
   
   a) Firmas
   b) Juntas
   c) Certificados

Orientación Contractual

Las organizaciones deben considerar sus obligaciones de seguridad de la información al redactar o firmar contratos legalmente vinculantes con clientes, proveedores o vendedores (incluidas pólizas y contratos de seguros).

Consulte el Control 5.20 para obtener más orientación relacionada con los contratos con proveedores.

Controles de apoyo

• 5.20

Cambios y diferencias con respecto a ISO 27002:2013

27002:2022-5.31 reemplaza dos controles de 27002:2013-18.1.2 (Derechos de propiedad intelectual).

1. 18.1.1 – Identificación de la legislación aplicable y requisitos contractuales
2. 18.1.5 – Regulación de controles criptográficos

Mientras que 27002:2013-18.1.1 ofrece una orientación mínima aparte de la necesidad de que los “administradores” identifiquen toda la legislación que su tipo de negocio justifica, 27002:2022-5.31 analiza el cumplimiento en entornos legislativos, regulatorios y criptográficos, además de ofrecer algunas puntos de orientación generalizados y entrar en muchos más detalles sobre cómo permanecer en el lado correcto de cualquier legislación o regulación vigente.

En lo que respecta al cifrado, 27002:2022-5.31 se adhiere a los mismos principios que 27002:2013-18.1.5 y contiene los mismos puntos de orientación subyacentes, pero va un paso más allá al pedir a las organizaciones que consideren hardware y software que tenga el potencial de transportar realizar funciones criptográficas.

Cómo ayuda ISMS.online

ISO 27002 La implementación es más sencilla con nuestra lista de verificación paso a paso que lo guía a través de todo el proceso, desde la definición del alcance de su SGSI hasta la identificación de riesgos y la implementación del control.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.