ISO 27001:2022 Bylae A 8.24 – Gebruik van Kriptografie

• sien ISO 27002:2022 Beheer 8.24 vir meer inligting.
• sien ISO 27001:2013 Bylae A 10.1.1 vir meer inligting.
• sien ISO 27001:2013 Bylae A 10.1.2 vir meer inligting.

Bylae A 8.24 Verduidelik: Implementering van veilige kriptografiese kontroles

Wanneer inligting tussen netwerke en toestelle oorgedra word, kan kuberaanvallers probeer om sensitiewe data te steel, inhoud te verander, senders/ontvangers na te boots om ongemagtigde toegang te verkry, of die uitruiling te onderskep.

Kubermisdadigers mag in diens neem man-in-die-middel (MITM) aanvalle, onderskepping van data-uitsendings en voordoen as die bediener om die sender te kry om aanmeldbewyse te openbaar. Met hierdie geloofsbriewe kan hulle toegang tot stelsels kry en sensitiewe data in gevaar stel.

Kriptografie, soos enkripsie, kan die vertroulikheid, integriteit en beskikbaarheid van inligting effektief beskerm wanneer dit vervoer word.

Kriptografiese tegnieke kan inligtingsbates veilig hou wanneer dit nie gebruik word nie. Hulle verseker dat die data beskerm word teen enige ongemagtigde toegang of wysiging.

ISO 27001:2022 Bylae A 8.24 gee 'n uiteensetting van hoe organisasies regulasies en prosesse met betrekking tot die gebruik van kriptografie kan skep en toepas.

Doel van ISO 27001:2022 Bylae A 8.24

Die ISO 27001: 2022 Bylae A 8.24 stel organisasies in staat om die vertroulikheid, integriteit, egtheid en beskikbaarheid van inligtingsbates te verseker deur die korrekte toepassing van kriptografie en deur aan die volgende kriteria te voldoen:

• Besigheidsvereistes is 'n moet.
• Verseker inligting-sekuriteit deur die implementering van streng vereistes.
• Statutêre, kontraktuele en organisatoriese opdragte noodsaak die gebruik van kriptografie.

Eienaarskap op Bylae A 8.24

Om aan Bylae A 8.24 te voldoen, noodsaak die implementering van 'n beleid oor kriptografie, die daarstelling van 'n doeltreffende sleutelbestuursproses, en die bepaling van die tipe kriptografiese tegniek wat van toepassing is op die dataklassifikasie van 'n gegewe inligtingsbate.

Die Hoofbeampte vir inligtingsekuriteit moet verantwoordelik gehou word vir die opstel van behoorlike regulasies en protokolle rakende kriptografiese sleutels.

Algemene riglyne oor ISO 27001:2022 Bylae A 8.24 Voldoening

Die ISO 27001: 2022 Aanhangsel A Beheer 8.24 bepaal sewe vereistes wat organisasies moet nakom wanneer hulle kriptografiese metodes gebruik:

1. Organisasies moet 'n beleid in plek hê rakende die gebruik van kriptografie, om die voordele daarvan te maksimeer en risiko's te verminder. Hierdie beleid moet ook algemene beginsels van die beskerming van inligting uiteensit.
2. Organisasies moet in ag neem hoe delikaat hul inligtingsbronne is, sowel as die inligtingklassifikasievlak wat aan hulle aangestel is, wanneer die tipe, sterkte en kwaliteit van die enkripsiealgoritme gekies word.
3. Organisasies behoort kriptografiese benaderings te gebruik wanneer inligting na draagbare toestelle, mediatoerusting oorgedra word, of wanneer dit daarop gestoor word.
4. Organisasies moet enige sake wat verband hou met sleutelbestuur aanpak, soos die vorming en afskerming van kriptografiese sleutels en 'n skema van dataherwinning in die geval dat die sleutels ontbreek of kwesbaar is.
5. Organisasies moet die rolle en verantwoordelikhede vir die volgende definieer:
• Die reëls vir die gebruik van kriptografiese tegnieke moet vasgestel en afgedwing word.
• Hantering van sleutels, insluitend hul generasie.
6. Die organisasie aanvaar en keur standaarde goed wat die kriptografiese algoritmes, syfersterkte en gebruikspraktyke van kriptografie insluit.
7. Organisasies moet die potensiële impak van enkripsie op die doeltreffendheid van die inhoudinspeksiekontroles oorweeg, soos die opsporing van wanware.

ISO 27001:2022 Bylae A 8.24 beklemtoon dat organisasies wetlike vereistes en beperkings moet oorweeg wat die gebruik van kriptografie kan beïnvloed, insluitend die internasionale oordrag van geënkripteerde inligting.

Organisasies moet aanspreeklikheid en kontinuïteit van dienste in ag neem wanneer hulle diensooreenkomste met eksterne verskaffers van kriptografiese dienste aangaan.

Leiding oor sleutelbestuur

Organisasies moet veilige prosesse vir die generering, berging, haal en wegdoen van kriptografiese sleutels opstel en volg.

Organisasies behoort 'n soliede sleutelbestuurstelsel te installeer wat regulasies, prosedures en kriteria bevat vir:

• Die generering van kriptografiese sleutels vir 'n verskeidenheid stelsels en toepassings is nodig.
• Die uitreiking en verkryging van publieke-sleutelsertifikate.
• Versprei sleutels na beoogde ontvangers, insluitend die prosedure van sleutelaktivering.
• Sleutels moet veilig gestoor word. Diegene wat daartoe gemagtig is, kan dit doen met die nodige geloofsbriewe.
• Verandering van sleutels.
• Hantering van gekompromitteerde sleutels moet ernstig opgeneem word.
• As sleutels gekompromitteer word of 'n gemagtigde personeel 'n organisasie verlaat, moet dit herroep word.
• Herwinning van verlore sleutels.
• Sleutelrugsteun en argivering moet gereeld uitgevoer word.
• Vernietig sleutels.
• Hou 'n rekord van alle aktiwiteite wat aan elke sleutel gekoppel is.
• Stel die aktiverings- en deaktiveringsdatums vir sleutels vas.
• Toegang tot sleutels in reaksie op wetlike versoeke.

Ten slotte is dit noodsaaklik dat organisasies bewus is van die drie hoofrisiko's wat hierdie aanvullende riglyne uiteensit:

1. Veilige en private sleutels behoort teen ongemagtigde gebruik beskerm te word.
2. Die beskerming van toerusting wat gebruik word om enkripsiesleutels te skep of te berg, moet gedoen word fisiese veiligheid maatreëls.
3. Organisasies moet die geldigheid van hul publieke sleutels verseker.

Wat is die voordele van kriptografie?

ISO 27001:2022 Bylae A 8.24 bepaal dat kriptografie gebruik kan word om organisasies te help om vier inligtingsekuriteitsdoelwitte te bereik. Hierdie doelwitte sluit in die verifiëring van die egtheid van publieke sleutels deur publieke sleutelbestuursprosesse:

1. Kriptografie verseker dat die vertroulikheid van data, beide tydens vervoer en wanneer dit gestoor word, behoue ​​​​bly.
2. Digitale handtekeninge en verifikasiekodes waarborg dat inligting wat gekommunikeer word eg en betroubaar is.
3. Kriptografiese metodes gee die versekering dat alle gebeure of aksies wat geneem word, insluitend die ontvangs van inligting, nie verwerp sal word nie.
4. Verifikasie deur kriptografiese metodes stel organisasies in staat om die identiteit van gebruikers wat toegang tot stelsels en toepassings soek, te bekragtig.

Veranderinge en verskille vanaf ISO 27001:2013

ISO 27001:2022 Bylae A 8.24 vervang ISO 27001:2013 Bylae A 10.1.1 en 10.1.2 in die hersiene 2022-standaard.

Die inhoud van die twee is byna dieselfde, al is daar 'n paar strukturele wysigings.

Terwyl die 2013-weergawe twee afsonderlike kontroles, 10.1.1 en 10.1.2, vir die gebruik van kriptografie gehad het, het die 2022-weergawe dit in een Bylae A-kontrole, 8.24, gekonsolideer.

Tabel van alle ISO 27001:2022 Bylae A-kontroles

In die tabel hieronder sal jy meer inligting oor elke individuele ISO 27001:2022 Bylae A Beheer vind.

Hoe ISMS.online Help

ISMS.Online is die voorste ISO 27001-bestuurstelselsagteware, wat maatskappye help om aan ISO 27001:2022 te voldoen en te verseker dat hul sekuriteitsbeleide en -prosedures aan die standaard voldoen.

dit wolk-gebaseerde platform bied 'n omvattende stel gereedskap om organisasies te help met die implementering van 'n inligtingsekuriteitbestuurstelsel (ISMS) in ooreenstemming met ISO 27001.

Reik uit en bespreek vandag 'n demonstrasie.