ISO 27001:2022 Phụ lục A 5.32

Mục đích của Phụ lục A 5.32 là gì?

Phụ lục A 5.32 của ISO 27001:2022 mô tả các bước mà tổ chức cần thực hiện để đảm bảo tuân thủ quyền sở hữu trí tuệ (IP) , bao gồm việc sử dụng phần mềm độc quyền đã mua, đăng ký hoặc thuê từ bên thứ ba.

Theo ISO, quyền sở hữu trí tuệ thuộc một hoặc nhiều loại sau:

• Quyền nhãn hiệu.
• Bằng sáng chế.
• Giấy phép mã nguồn.
• Bản quyền phần mềm.
• Bản quyền tài liệu.
• Quyền thiết kế.

Các thỏa thuận “pháp lý, theo luật định, theo quy định hoặc theo hợp đồng” thường đặt ra các hạn chế đối với việc sử dụng phần mềm độc quyền, bao gồm các hạn chế về việc sao chép, trích xuất hoặc thiết kế ngược mã nguồn. ISO 27001:2022 Phụ lục A 5.32 không đề cập đến các tình huống mà tổ chức là chủ sở hữu IP mà thay vào đó tập trung vào các nghĩa vụ của họ đối với bên thứ ba có quyền sở hữu trí tuệ được bảo vệ bởi các thỏa thuận cấp phép, thỏa thuận chia sẻ dữ liệu, v.v.

Bản quyền và/hoặc vi phạm IP có thể dẫn đến hậu quả tài chính và pháp lý nghiêm trọng cho bất kỳ tổ chức nào cố ý hoặc vô tình vi phạm thỏa thuận. Vì lý do này, Phụ lục A 5.32 cần được xem xét đầy đủ để tránh bất kỳ sự gián đoạn kinh doanh không cần thiết hoặc sự cố bảo mật thông tin nào.

Hướng dẫn chung về Phụ lục A 5.32

Phụ lục A 5.32 của ISO 27001:2022 là biện pháp kiểm soát phòng ngừa giúp duy trì rủi ro bằng cách thực thi các quy trình đảm bảo doanh nghiệp vẫn tuân thủ mọi yêu cầu hiện hành về SHTT hoặc bản quyền, bao gồm giảm thiểu rủi ro do nhân viên không tuân thủ nghĩa vụ của mình.

Theo Phụ lục A 5.32, các tổ chức nên cân nhắc các hướng dẫn sau đây khi bảo vệ dữ liệu, phần mềm hoặc tài sản có thể được coi là tài sản trí tuệ:

1. Bảo vệ quyền SHTT theo từng trường hợp cụ thể, phù hợp với yêu cầu hoạt động riêng biệt của từng trường hợp bằng cách thực hiện chính sách “theo chủ đề cụ thể”.
2. Để tuân thủ các tiêu chuẩn IP, hãy công bố và truyền đạt các quy trình xác định rõ ràng cách thức vận hành phần mềm và sản phẩm ICT.
3. Để tránh mọi hành vi vi phạm bản quyền vô ý, hãy mua phần mềm từ những nguồn uy tín.
4. Xác định tài sản CNTT có yêu cầu về SHTT bằng cách sử dụng sổ đăng ký tài sản của tổ chức.
5. Tổ chức phải có khả năng cung cấp bằng chứng về quyền sở hữu bất cứ lúc nào, bao gồm các tài liệu cấp phép vật lý và điện tử, thông tin liên lạc và hồ sơ.
6. Tuân thủ các giới hạn sử dụng phần mềm, bao gồm số lượng người dùng đồng thời, tài nguyên ảo, v.v.
7. Thông qua các đợt đánh giá định kỳ, đảm bảo cơ sở hạ tầng CNTT của tổ chức không chứa bất kỳ phần mềm trái phép hoặc không được cấp phép nào.
8. Duy trì giấy phép được cập nhật thông qua các thủ tục hoạt động và tài chính.
9. Cung cấp các biện pháp an toàn, có trách nhiệm và tuân thủ pháp luật khi chuyển giao hoặc xử lý tài sản phần mềm.
10. Đảm bảo rằng bất kỳ phần mềm nào lấy từ phạm vi công cộng đều tuân thủ các điều khoản và điều kiện cũng như hướng dẫn sử dụng hợp lý.
11. Bất kỳ bản ghi thương mại nào do tổ chức sử dụng đều không được trích xuất, sao chép, chuyển đổi hoặc chỉnh sửa theo bất kỳ cách nào không được nêu trong các điều khoản và điều kiện của phần mềm (bao gồm cả cấp phép) hoặc theo luật bản quyền hiện hành.
12. Tuân thủ và tôn trọng luật bản quyền hoặc các điều khoản cấp phép của dữ liệu văn bản, chẳng hạn như tiêu chuẩn, sách, bài viết và báo cáo.

Những thay đổi so với ISO 27001:2013 là gì?

Phụ lục A 5.32 của ISO 27001:2022 thay thế Phụ lục A 18.1.2 của ISO 27001:2013 (Quyền sở hữu trí tuệ).

Nhìn chung, Phụ lục A 5.31 của ISO 27001:2022 có cùng bộ hướng dẫn như phiên bản năm 2013, với hai thay đổi nhỏ:

1. Phụ lục A 5.31 của ISO 27001:2022 đưa ra lời khuyên về cách quản lý các vấn đề liên quan đến SHTT theo thỏa thuận chia sẻ dữ liệu.
2. Phụ lục A 18.1.2 của ISO 27001:2013 không đề cập đến những lợi ích còn lại đối với các tổ chức muốn quản lý hành vi của nhân viên đối với các thỏa thuận SHTT và sử dụng phần mềm.