ISO 27002:2022 – Contrôle 5.31 – Exigences légales, statutaires, réglementaires et contractuelles

Objectif du contrôle 5.31

Les lois, réglementations et exigences contractuelles constituent une grande partie des responsabilités d’une organisation en matière de sécurité de l’information.

Les organisations doivent avoir une compréhension claire de leurs obligations à tout moment et être prêtes à adapter leurs pratiques de sécurité des informations conformément à leur rôle de gestionnaire de données responsable.

Il est important de noter que le contrôle 5.31 ne répertorie aucune condition juridique, réglementaire ou contractuelle spécifique qui les organisations ont besoin soit à appliquer ou à respecter, et ne prévoit pas non plus de procédure de rédaction des contrats. Le contrôle 5.31 se concentre plutôt sur ce qui les organisations doivent considérer du point de vue de la sécurité de l'information perspective, en fonction de leurs exigences uniques.

Tableau des attributs

Le contrôle 5.31 est un contrôle préventif qui modifie le risque en offrant des conseils sur la façon de fonctionner avec un système robuste politique de sécurité de l'information qui maintient la conformité dans tous les environnements juridiques et réglementaires pertinents.

Orientations générales sur le contrôle 5.31

Il y a 5 points d’orientation généraux à considérer. Les organisations doivent garder à l'esprit leurs exigences légales, statutaires, réglementaires et contractuelles lorsque :

1. Rédiger et/ou modifier leurs procédures de sécurité de l’information et politique interne documents.
2. Concevoir, modifier ou mettre en œuvre des contrôles de sécurité de l'information.
3. Catégoriser les informations en tenant compte de leurs exigences plus larges en matière de sécurité de l'information, soit à des fins organisationnelles, soit liées à leurs relations avec un tiers (fournisseurs, etc.)
4. En cours évaluations des risques liés à la sécurité de l'information activités, y compris les rôles et responsabilités internes liés à une structure organisationnelle.
5. Établir la nature d'une relation avec un fournisseur et ses obligations contractuelles tout au long de la fourniture de produits et de services.

Orientations législatives et réglementaires

Les organisations doivent « définir et documenter » les processus et responsabilités internes qui leur permettent de :

1. Identifier, analyser et comprendre leurs obligations législatives et réglementaires relatives à la sécurité de l'information, y compris des examens périodiques des lois et des réglementations.
2. Assurez-vous qu’ils restent conformes dans tous les environnements législatifs et réglementaires, quels que soient les pays dans lesquels ils opèrent. Cela s’étend à l’utilisation de produits et de services provenant de l’extérieur du pays dans lequel ils opèrent habituellement.

Conseils cryptographiques

Dans les TIC, la « cryptographie » est une méthode de protection des informations et des communications grâce à l'utilisation de codes.

En tant que tel, l’ensemble du concept de cryptage et de cryptographie implique généralement des exigences juridiques spécifiques et un nombre considérable de directives réglementaires spécifiques à un sujet qui doivent être respectées.

Dans cette optique, les orientations suivantes doivent être prises en considération :

1. Lois sur l'importation et/ou l'exportation de matériel ou de logiciels qui remplissent une fonction cryptographique dédiée ou qui ont la capacité de remplir cette fonction.
2. Lois relatives à la restriction des fonctions cryptographiques.
3. Tout accès à des informations cryptées dont les autorités d'un pays ou d'une région ont le droit droit de demander et appliquer.
4. La validité et la véracité de trois éléments numériques clés des informations cryptées :

   a) Signatures
   b) Scellés
   c) Certificats - Sanxin

Orientation contractuelle

Les organisations doivent tenir compte de leurs obligations en matière de sécurité des informations lors de la rédaction ou de la signature de contrats juridiquement contraignants avec des clients, des fournisseurs ou des vendeurs (y compris des polices et des contrats d'assurance).

Voir Contrôle 5.20 pour plus d'informations concernant les contrats avec les fournisseurs.

Contrôles pris en charge

• 5.20

Modifications et différences par rapport à la norme ISO 27002:2013

27002:2022-5.31 remplace deux contrôles de 27002:2013-18.1.2 (Droits de propriété intellectuelle).

1. 18.1.1 – Identification de la législation applicable et des exigences contractuelles
2. 18.1.5 – Réglementation des contrôles cryptographiques

Alors que 27002:2013-18.1.1 offre des conseils minimes autres que la nécessité pour les « gestionnaires » d'identifier toutes les lois que leur type d'activité justifie, 27002 :2022-5.31 discute du respect des environnements législatifs, réglementaires et cryptographiques, ainsi que d'offrir certaines des conseils généralisés et des informations beaucoup plus détaillées sur la manière de rester du bon côté de toute législation ou réglementation en vigueur.

En ce qui concerne le chiffrement, la norme 27002:2022-5.31 adhère aux mêmes principes que la norme 27002:2013-18.1.5 et contient les mêmes conseils sous-jacents, mais va encore plus loin en demandant aux organisations de prendre en compte le matériel et les logiciels susceptibles de transporter des données. fonctions cryptographiques.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

ISO 27002 la mise en œuvre est plus simple grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus, depuis la définition de la portée de votre SMSI jusqu'à l'identification des risques et la mise en œuvre des contrôles.

Contactez-nous dès aujourd'hui pour réserver une démo.