Phụ lục A 5.5 của tiêu chuẩn kiểm soát ISO 27001:2022 quy định rằng một tổ chức phải duy trì quy trình liên hệ với các cơ quan có thẩm quyền theo nghĩa vụ pháp lý, quy định và hợp đồng của mình.
Bạn phải duy trì liên lạc phù hợp với các cơ quan chức năng. Khi điều chỉnh biện pháp kiểm soát Phụ lục A này, hãy lưu ý đến trách nhiệm pháp lý của bạn khi liên hệ với các cơ quan chức năng, chẳng hạn như cảnh sát, Văn phòng Ủy viên Thông tin hoặc các cơ quan quản lý khác, như trong GDPR .
Cân nhắc xem ai sẽ liên lạc, trong hoàn cảnh nào và loại thông tin nào sẽ được chia sẻ.
Phụ lục A 5.5 của ISO 27001:2022 hoạt động như thế nào?
Kiểm soát 5.5 trong Phụ lục A đảm bảo rằng thông tin bảo mật thông tin được truyền tải đúng cách giữa tổ chức và các cơ quan có thẩm quyền liên quan đến các vấn đề pháp lý, quản lý và giám sát. Một diễn đàn phù hợp phải được thiết lập để tạo điều kiện cho đối thoại và hợp tác giữa Công ty và các cơ quan quản lý, giám sát và pháp lý có liên quan.
Tài liệu này nêu rõ các yêu cầu, mục đích và hướng dẫn thực hiện để xác định và báo cáo kịp thời các sự kiện bảo mật thông tin . Tài liệu này cũng nêu rõ người cần liên hệ trong trường hợp xảy ra sự cố.
Trong Phụ lục A, kiểm soát 5.5, bạn xác định những ai cần liên hệ, ví dụ, cơ quan thực thi pháp luật, cơ quan quản lý và cơ quan giám sát. Bạn phải xác định những bên liên quan này trước khi sự cố xảy ra.
Để giải quyết các vấn đề về bảo mật thông tin, tổ chức phải thiết lập và duy trì liên lạc không chính thức với các cơ quan có thẩm quyền, bao gồm:
- Tổ chức thường xuyên trao đổi với các cơ quan có thẩm quyền về các mối đe dọa và lỗ hổng hiện tại.
- Các lỗ hổng của sản phẩm, dịch vụ hoặc hệ thống phải được báo cáo cho các cơ quan có thẩm quyền.
- Thông tin về mối đe dọa và lỗ hổng từ các cơ quan có thẩm quyền.
Bắt đầu và đáp ứng các yêu cầu của Phụ lục A 5.5
Rủi ro bảo mật thông tin được quản lý thông qua biện pháp kiểm soát 5.5 của Phụ lục A, thiết lập mối quan hệ của tổ chức với các cơ quan thực thi pháp luật.
Biện pháp kiểm soát 5.5 của Phụ lục A yêu cầu rằng nếu phát hiện sự cố bảo mật thông tin , tổ chức phải chỉ rõ thời điểm và người thông báo cho các cơ quan (như cơ quan thực thi pháp luật, cơ quan quản lý và cơ quan giám sát) cũng như cách báo cáo các sự cố đã xác định càng sớm càng tốt.
Ngoài việc hiểu được kỳ vọng hiện tại và tương lai của các cơ quan (ví dụ như các quy định hiện hành về bảo mật thông tin), việc trao đổi thông tin với họ cũng rất quan trọng.
Để tuân thủ yêu cầu này, tổ chức phải có chiến lược thống nhất trong mối quan hệ với các cơ quan thực thi pháp luật.
Tổ chức cũng có thể hưởng lợi từ việc duy trì liên lạc với các cơ quan quản lý để dự đoán và chuẩn bị cho những thay đổi sắp tới trong luật hoặc quy định có liên quan.
Những thay đổi và khác biệt so với ISO 27001:2013 là gì?
Liên hệ với các cơ quan chức năng không phải là một biện pháp kiểm soát mới được thêm vào trong ISO 27001:2022. Nó đã được đưa vào ISO 27001:2013 theo số kiểm soát 6.1.3. Do đó, số kiểm soát Phụ lục A đã được cập nhật.
Ngoài việc thay đổi số kiểm soát, cách diễn đạt cũng đã được thay đổi. Phụ lục A kiểm soát 5.5 nêu rõ, “Tổ chức phải thiết lập và duy trì liên lạc với các cơ quan có thẩm quyền có liên quan.” Phụ lục A kiểm soát 6.1.3 nêu rõ, “Cần duy trì liên lạc phù hợp với các cơ quan có thẩm quyền có liên quan.” Mục đích của nó là làm cho kiểm soát này thân thiện hơn với người dùng bằng cách sửa đổi cách diễn đạt của nó.
Trong phiên bản 2022, mục đích kiểm soát đã được đưa vào. Nó không có trong phiên bản 2013.
Mặc dù có sự khác biệt nhỏ giữa hai biện pháp kiểm soát của Phụ lục A, nhưng bản chất của chúng vẫn như nhau.
Trong ISO 27001:2022 Phụ lục A Kiểm soát 5.5, các liên hệ với các cơ quan chức năng cũng nên được sử dụng để hiểu kỳ vọng hiện tại và sắp tới của các cơ quan chức năng này (ví dụ: các quy định bảo mật thông tin hiện hành). Điều này không có trong ISO 27001:2013 .
