Mục đích của Kiểm soát 5.32
Kiểm soát 5.32 nêu ra các bước mà tổ chức cần thực hiện để đảm bảo rằng họ vẫn tuân thủ các quyền sở hữu trí tuệ (IP) , bao gồm việc sử dụng phần mềm độc quyền được mua, đăng ký hoặc thuê theo cách khác.
ISO định nghĩa quyền sở hữu trí tuệ thuộc về một hoặc nhiều danh mục sau:
- Bản quyền phần mềm
- Bản quyền tài liệu
- Quyền thiết kế
- Quyền nhãn hiệu
- Bằng sáng chế
- Giấy phép mã nguồn
Các thỏa thuận “pháp lý, theo luật định, theo quy định hoặc theo hợp đồng” thường đặt ra những hạn chế về cách sử dụng phần mềm độc quyền, bao gồm các hạn chế chung về việc sao chép, trích xuất hoặc phân tích ngược mã nguồn, cùng với các biện pháp khác.
Để rõ ràng, Kiểm soát 5.32 không giải quyết các tình huống mà tổ chức là chủ sở hữu IP mà thay vào đó tập trung vào nghĩa vụ của họ đối với quyền sở hữu trí tuệ của bên thứ ba được nêu trong thỏa thuận cấp phép, thỏa thuận chia sẻ dữ liệu hoặc bất kỳ cơ chế pháp lý tương đương nào khác.
Điều quan trọng cần lưu ý là vi phạm bản quyền và/hoặc IP thường gây ra hậu quả nghiêm trọng về mặt tài chính và pháp lý cho bất kỳ tổ chức nào cố ý hoặc vô tình vi phạm các điều khoản của thỏa thuận. Do đó, Kiểm soát 5.32 cần được xem xét đầy đủ để tránh bất kỳ sự gián đoạn kinh doanh không cần thiết hoặc các sự kiện bảo mật thông tin .
Bảng Thuộc tính
Biện pháp kiểm soát 5.32 là biện pháp kiểm soát phòng ngừa giúp duy trì rủi ro bằng cách triển khai các thủ tục để đảm bảo tổ chức vẫn tuân thủ mọi yêu cầu hiện hành về sở hữu trí tuệ hoặc bản quyền, bao gồm giảm thiểu rủi ro nhân sự của tổ chức không thực hiện được nghĩa vụ cá nhân của mình.
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật #Toàn vẹn #Khả dụng | #Nhận dạng | #Pháp lý và tuân thủ | #Quản trị và Hệ sinh thái |
Hướng dẫn chung về Kiểm soát 5.32
Điều 5.32 yêu cầu các tổ chức xem xét các hướng dẫn sau đây để bảo vệ mọi dữ liệu, phần mềm hoặc tài sản có thể được coi là IP:
- Thực hiện chính sách “theo chủ đề cụ thể” về bảo vệ quyền SHTT, theo từng trường hợp cụ thể, phù hợp với yêu cầu hoạt động riêng biệt của từng đơn vị.
- Công bố và truyền đạt các quy trình rõ ràng, xác định rõ ràng cách thức vận hành phần mềm và sản phẩm ICT để tuân thủ các tiêu chuẩn IP.
- Sử dụng các nguồn uy tín và đáng tin cậy để mua phần mềm, nhằm tránh mọi hành vi vi phạm bản quyền vô ý ngay từ nguồn.
- Sử dụng sổ đăng ký tài sản của tổ chức để xác định chính xác bất kỳ tài sản CNTT nào đáp ứng yêu cầu về SHTT theo tiêu chuẩn.
- Đảm bảo rằng tổ chức có thể xuất trình bằng chứng về quyền sở hữu tại bất kỳ thời điểm nào, bao gồm các tài liệu cấp phép vật lý và điện tử, thông tin liên lạc và hồ sơ.
- Duy trì tuân thủ các giới hạn sử dụng phần mềm đã thỏa thuận, bao gồm số lượng người dùng đồng thời, tài nguyên ảo, v.v.
- Lên kế hoạch và thực hiện các đợt đánh giá định kỳ để đảm bảo rằng cơ sở hạ tầng CNTT của tổ chức không chứa bất kỳ sản phẩm phần mềm trái phép hoặc không được cấp phép nào.
- Tạo ra các quy trình hoạt động và tài chính để đảm bảo giấy phép được cập nhật thường xuyên.
- Tạo các quy trình đảm bảo việc chuyển giao hoặc xử lý tài sản phần mềm an toàn, có trách nhiệm và tuân thủ pháp luật.
- Đảm bảo tuân thủ các điều khoản và điều kiện cũng như hướng dẫn sử dụng hợp lý của bất kỳ phần mềm nào được lấy từ phạm vi công cộng.
- Nếu tổ chức có lý do để sử dụng bất kỳ bản ghi âm thương mại nào, thì không được trích xuất, sao chép hoặc chuyển đổi bất kỳ phần nào của bản ghi âm đó bằng bất kỳ phương tiện nào không được nêu trong các điều khoản và điều kiện của phần mềm (bao gồm cả cấp phép) hoặc theo bất kỳ luật bản quyền hiện hành nào.
- Tôn trọng và tuân thủ luật bản quyền hoặc các điều khoản cấp phép của dữ liệu văn bản, bao gồm các tiêu chuẩn, sách, bài viết, báo cáo, v.v.
Những thay đổi và khác biệt so với ISO 27002:2013
27002:2022-5.32 thay thế 27002:2013-18.1.2 (Quyền sở hữu trí tuệ).
Phiên bản 27002:2022 -5.31 có nội dung cơ bản giống với phiên bản năm 2013, với hai bổ sung nhỏ:
- 27002:2022-5.31 có lời khuyên về cách quản lý các vấn đề liên quan đến SHTT theo các điều khoản của thỏa thuận chia sẻ dữ liệu.
- 27002:2013-18.1.2 không đề cập đến những lợi ích còn lại đối với một tổ chức muốn quản lý hành vi của từng nhân viên theo các thỏa thuận về IP và việc sử dụng phần mềm.
