ISO 27002:2022, Kontrol 8.24 – Brug af kryptografi

Ejerskab på kontrol 8.24

Overholdelse af 8.24 kræver etablering og implementering af en specifik politik for kryptografi, skabelse af en effektiv nøglehåndteringsproces og bestemmelse af typen af ​​kryptografisk teknik, der er passende til niveauet for informationsklassificering, der er tildelt et bestemt informationsaktiv.

Derfor bør informationssikkerhedschefen være ansvarlig for at fastlægge passende regler og procedurer for brugen af ​​kryptografiske nøgler.

Generel vejledning om overholdelse

Kontrol 8.24 angiver syv krav, som organisationer skal overholde, når de bruger kryptografiske teknikker:

1. Organisationer bør oprette og vedligeholde en emnespecifik politik for brugen af ​​kryptografi. Denne politik er afgørende for at maksimere fordelene ved kryptografiske teknikker, og den reducerer de risici, der kan opstå ved brug af kryptografi. Det bemærkes også, at denne politik bør dække generelle principper for beskyttelse af information.
2. Organisationer bør overveje informationsaktivernes følsomhedsniveau og informationsklassifikationsniveauet, der er tildelt dem, når de beslutter sig for typen, styrken og kvaliteten af ​​krypteringsalgoritmen.
3. Organisationer bør implementere kryptografiske teknikker, når information overføres til mobile enheder eller til lagermedieudstyr, eller når information lagres på disse enheder.
4. Organisationer bør behandle spørgsmål i forbindelse med nøglehåndtering, herunder oprettelse og beskyttelse af kryptografiske nøgler og genoprettingsplanen for krypterede data i tilfælde af, at nøgler mistes eller kompromitteres.
5. Organisationer bør angive roller og ansvar for følgende:
• Etablering og implementering af reglerne for, hvordan de kryptografiske teknikker vil blive brugt.
• Hvordan nøgler vil blive håndteret, herunder hvordan de vil blive genereret.
6. Vedtagelse og godkendelse af standarder på tværs af organisationen for kryptografiske algoritmer, krypteringsstyrke og brugspraksis for kryptografi.
7. Organisationen bør forholde sig til, hvordan krypteret information kan forstyrre de kontroller, der indebærer indholdsinspektionen, såsom opdagelse af malware.

Endvidere fremhæver Kontrol 8.24, at organisationer bør tage hensyn til love og krav, der kan begrænse brugen af ​​kryptografi, herunder grænseoverskridende overførsel af krypteret information.

Endelig rådes organisationer også til at forholde sig til ansvar og kontinuitet for tjenester, når de indgår serviceaftaler med tredjeparter om levering af kryptografiske tjenester.

Supplerende vejledning om nøgleledelse

Organisationer bør definere og anvende sikre procedurer til oprettelse, opbevaring, hentning og destruktion af kryptografiske nøgler.

Organisationer bør især indføre et robust nøglestyringssystem, der omfatter regler, processer og standarder for følgende:

• Generering af kryptografiske nøgler til forskellige systemer og applikationer.
• Udstedelse og erhvervelse af offentlige nøglecertifikater.
• Uddeling af nøgler til påtænkte modtagere, herunder processen med nøgleaktivering.
• Opbevaring af nøgler og hvordan autoriserede parter kan få adgang til nøgler.
• Udskiftning af nøgler.
• Håndtering af kompromitterede nøgler.
• Tilbagekaldelse af nøgler for, hvorfor de er kompromitteret, eller når autoriserede personer forlader en organisation.
• Gendannelse af mistede nøgler.
• Nøgle backup og arkivering.
• Ødelægge nøgler.
• Fører en log over alle aktiviteter relateret til hver nøgle.
• Fastlæggelse af aktiverings- og deaktiveringsdatoer for nøgler.
• Reaktion på juridiske anmodninger om at få adgang til nøgler.

Sidst men ikke mindst advarer denne supplerende vejledning organisationer mod tre særlige risici:

• Hemmelige og beskyttede nøgler bør beskyttes mod uautoriseret brug.
• Udstyr, der bruges til at oprette eller opbevare krypteringsnøgler, bør beskyttes via fysiske sikkerhedsforanstaltninger.
• Organisationer bør bevare ægtheden af ​​offentlige nøgler.

Hvad er fordelene ved kryptografi?

Efter at have fremhævet, at organisationer kan sikre ægtheden af ​​offentlige nøgler ved hjælp af metoder såsom offentlige nøgleadministrationsprocesser, forklarer Control 8.24, hvordan kryptografi kan hjælpe organisationer med at nå fire informationssikkerhedsmål:

1. Fortrolighed: Kryptografi beskytter og opretholder fortroligheden af ​​data både under transport og i hvile.
2. Integritet og ægthed: Digitale signaturer og autentificeringskoder kan sikre autenticiteten og integriteten af ​​de kommunikerede informationer.
3. Uafviselighed: Kryptografiske metoder giver bevis for alle hændelser eller handlinger udført såsom modtagelse af information.
4. Godkendelse: Kryptografiske metoder gør det muligt for organisationer at verificere identiteten af ​​brugere, der anmoder om adgang til systemer og applikationer.

Ændringer og forskelle fra ISO 27002:2013

27002:2022/8.24 erstatte 27002:2013/(10.1.1. Og 10.1.2)

Selvom indholdet af begge versioner er næsten identisk, er der nogle få strukturelle ændringer.

Mens 2013-versionen omhandlede brugen af ​​kryptografi under to separate kontroller, nemlig 10.1.1. Og 10.1.2 kombinerede 2022-versionen disse to under én kontrol, 8.24.

Hvordan ISMS.online hjælper

ISMS.Online er den førende ISO 27002-styringssystemsoftware, der understøtter overholdelse af ISO 27002 og hjælper virksomheder med at tilpasse deres sikkerhedspolitikker og -procedurer til standarden.

Den cloud-baserede platform giver et komplet sæt værktøjer til at hjælpe organisationer med at opsætte et informationssikkerhedsstyringssystem (ISMS) i henhold til ISO 27002.

Tag kontakt og book en demo.