Mục đích của Kiểm soát 5.31
Luật pháp, quy định và yêu cầu hợp đồng tạo nên phần lớn trách nhiệm bảo mật thông tin của một tổ chức.
Các tổ chức cần hiểu rõ nghĩa vụ của mình tại bất kỳ thời điểm nào và sẵn sàng điều chỉnh các hoạt động bảo mật thông tin theo vai trò là đơn vị xử lý dữ liệu có trách nhiệm.
Điều quan trọng cần lưu ý là Control 5.31 không liệt kê bất kỳ điều khoản pháp lý, quy định hoặc hợp đồng cụ thể nào mà các tổ chức cần thực thi hoặc tuân thủ, cũng không đặt ra quy trình soạn thảo hợp đồng. Thay vào đó, Control 5.31 tập trung vào những gì các tổ chức cần cân nhắc theo quan điểm bảo mật thông tin, liên quan đến các yêu cầu riêng của họ.
Bảng Thuộc tính
Biện pháp kiểm soát 5.31 là biện pháp kiểm soát phòng ngừa giúp điều chỉnh rủi ro bằng cách hướng dẫn cách vận hành với chính sách bảo mật thông tin mạnh mẽ , duy trì sự tuân thủ trong mọi môi trường pháp lý và quy định có liên quan.
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật #Toàn vẹn #Khả dụng | #Nhận dạng | #Pháp lý và tuân thủ | #Quản trị và Hệ sinh thái #Bảo vệ |
Hướng dẫn chung về Kiểm soát 5.31
Có 5 điểm hướng dẫn chung cần xem xét. Các tổ chức nên ghi nhớ các yêu cầu pháp lý, quy định, quy định và hợp đồng của mình khi:
- Soạn thảo và/hoặc sửa đổi các thủ tục bảo mật thông tin và tài liệu chính sách nội bộ.
- Thiết kế, sửa đổi hoặc triển khai các biện pháp kiểm soát bảo mật thông tin.
- Phân loại thông tin khi xem xét các yêu cầu bảo mật thông tin rộng hơn, cho mục đích tổ chức hoặc liên quan đến mối quan hệ của họ với bên thứ ba (nhà cung cấp, v.v.)
- Tiến hành đánh giá rủi ro liên quan đến các hoạt động bảo mật thông tin, bao gồm các vai trò và trách nhiệm nội bộ liên quan đến cơ cấu tổ chức.
- Thiết lập bản chất mối quan hệ với nhà cung cấp và các nghĩa vụ theo hợp đồng của họ trong suốt quá trình cung cấp sản phẩm và dịch vụ.
Hướng dẫn lập pháp và quy định
Các tổ chức nên “xác định và lập tài liệu” về các quy trình và trách nhiệm nội bộ cho phép họ:
- Xác định, phân tích và hiểu các nghĩa vụ theo luật định và quy định liên quan đến an ninh thông tin, bao gồm cả việc xem xét định kỳ các luật và quy định.
- Đảm bảo rằng họ vẫn tuân thủ mọi môi trường pháp lý và quy định tại bất kỳ quốc gia nào họ hoạt động. Điều này áp dụng cho việc sử dụng các sản phẩm và dịch vụ có nguồn gốc bên ngoài quốc gia mà họ thường hoạt động.
Hướng dẫn mật mã
Trong CNTT, ‘mật mã’ là phương pháp bảo vệ thông tin và truyền thông thông qua việc sử dụng mã.
Do đó, toàn bộ khái niệm về mã hóa và mật mã thường liên quan đến các yêu cầu pháp lý cụ thể và một lượng lớn hướng dẫn quy định theo chủ đề cần phải tuân thủ.
Với suy nghĩ đó, cần lưu ý đến những hướng dẫn sau:
- Luật về nhập khẩu và/hoặc xuất khẩu phần cứng hoặc phần mềm thực hiện chức năng mã hóa chuyên dụng hoặc có khả năng thực hiện chức năng đó.
- Luật liên quan đến việc hạn chế chức năng mật mã.
- Bất kỳ quyền truy cập nào vào thông tin được mã hóa mà chính quyền trong một quốc gia hoặc khu vực có quyền yêu cầu và thực thi.
- Tính hợp lệ và tính xác thực của ba yếu tố kỹ thuật số chính của thông tin được mã hóa:
a) Chữ ký
b) Con dấu
c) Giấy chứng nhận
Hướng dẫn hợp đồng
Các tổ chức nên cân nhắc nghĩa vụ bảo mật thông tin của mình khi soạn thảo hoặc ký kết các hợp đồng ràng buộc về mặt pháp lý với khách hàng, nhà cung cấp hoặc người bán (bao gồm các hợp đồng và chính sách bảo hiểm).
Xem Kiểm soát 5.20 để biết thêm hướng dẫn liên quan đến hợp đồng với nhà cung cấp.
Hỗ trợ điều khiển
- 5.20
Những thay đổi và khác biệt so với ISO 27002:2013
27002:2022 -5.31 thay thế hai điều khiển từ 27002:2013-18.1.2 (Quyền sở hữu trí tuệ).
- 18.1.1 – Xác định luật áp dụng và các yêu cầu hợp đồng
- 18.1.5 – Quy định về kiểm soát mật mã
Trong khi 27002:2013-18.1.1 chỉ đưa ra hướng dẫn tối thiểu ngoài nhu cầu “người quản lý” phải xác định tất cả luật mà loại hình doanh nghiệp của họ bảo đảm, 27002:2022-5.31 thảo luận về việc tuân thủ trong các môi trường lập pháp, quản lý và mật mã, cũng như đưa ra một số điểm hướng dẫn chung và đi sâu vào chi tiết hơn về cách tuân thủ đúng bất kỳ luật hoặc quy định hiện hành nào.
Về vấn đề mã hóa, 27002:2022-5.31 tuân thủ các nguyên tắc tương tự như 27002:2013-18.1.5 và chứa các điểm hướng dẫn cơ bản giống nhau, nhưng tiến thêm một bước nữa bằng cách yêu cầu các tổ chức xem xét phần cứng và phần mềm có khả năng thực hiện các chức năng mã hóa.
