ISO 27002:2022, Beheer 8.24 – Gebruik van kriptografie

Eienaarskap op beheer 8.24

Voldoening aan 8.24 vereis die vestiging en implementering van 'n spesifieke beleid oor kriptografie, die skep van 'n effektiewe sleutelbestuursproses en die bepaling van die tipe kriptografiese tegniek wat geskik is vir die vlak van inligtingklassifikasie wat aan 'n spesifieke inligtingsbate toegeken word.

Daarom moet die hoofinligtingsekuriteitsbeampte verantwoordelik wees om toepaslike reëls en prosedures vir die gebruik van kriptografiese sleutels uiteen te sit.

Algemene riglyne oor nakoming

Beheer 8.24 lys sewe vereistes waaraan organisasies moet voldoen wanneer hulle kriptografiese tegnieke gebruik:

1. Organisasies moet 'n onderwerpspesifieke beleid oor die gebruik van kriptografie skep en in stand hou. Hierdie beleid is noodsaaklik om die voordele van kriptografiese tegnieke te maksimeer en dit verminder die risiko's wat uit die gebruik van kriptografie mag voortspruit. Daar word ook kennis geneem dat hierdie beleid algemene beginsels moet dek wat die beskerming van inligting beheer.
2. Organisasies moet die vlak van sensitiwiteit van die inligtingbates en die inligtingsklassifikasievlak wat aan hulle toegeken is, oorweeg wanneer hulle besluit oor die tipe, sterkte en kwaliteit van die enkripsie-algoritme.
3. Organisasies moet kriptografiese tegnieke implementeer wanneer inligting na mobiele toestelle of na bergingsmediatoerusting oorgedra word of wanneer inligting op hierdie toestelle gestoor word.
4. Organisasies moet kwessies wat verband hou met sleutelbestuur aanspreek, insluitend die skepping en beskerming van kriptografiese sleutels en die herstelplan vir geënkripteerde data in die geval dat sleutels verlore raak of gekompromitteer word.
5. Organisasies moet die rolle en verantwoordelikhede vir die volgende uiteensit:
• Vestiging en implementering van die reëls oor hoe die kriptografiese tegnieke gebruik gaan word.
• Hoe sleutels hanteer sal word, insluitend hoe hulle gegenereer sal word.
6. Die aanvaarding en goedkeuring van standaarde regoor die organisasie vir die kriptografiese algoritmes, syfersterkte en gebruikspraktyke vir kriptografie.
7. Organisasie moet aanspreek hoe geënkripteerde inligting kan inmeng met die kontroles wat die inhoudinspeksie behels, soos opsporing van wanware.

Verder beklemtoon Beheer 8.24 dat organisasies wette en vereistes in ag moet neem wat die gebruik van kriptografie kan beperk, insluitend die oorgrensoordrag van geënkripteerde inligting.

Laastens word organisasies ook aangeraai om aanspreeklikheid en kontinuïteit van dienste aan te spreek wanneer hulle diensooreenkomste met derde partye aangaan vir die verskaffing van kriptografiese dienste.

Aanvullende leiding oor sleutelbestuur

Organisasies moet veilige prosedures definieer en toepas vir die skepping, berging, herwinning en vernietiging van kriptografiese sleutels.

Organisasies moet veral 'n robuuste sleutelbestuurstelsel instel wat reëls, prosesse en standaarde vir die volgende insluit:

• Generering van kriptografiese sleutels vir verskillende stelsels en toepassings.
• Uitreiking en verkryging van publieke sleutelsertifikate.
• Verspreiding van sleutels aan beoogde ontvangers, insluitend die proses van sleutelaktivering.
• Berging van sleutels en hoe gemagtigde partye toegang tot sleutels kan kry.
• Verandering van sleutels.
• Hantering van gekompromitteerde sleutels.
• Herroeping van sleutels vir hoekom hulle gekompromitteer word of wanneer gemagtigde persone 'n organisasie verlaat.
• Herwinning van verlore sleutels.
• Sleutel rugsteun en argief.
• Vernietig sleutels.
• Hou 'n logboek van alle aktiwiteite wat met elke sleutel verband hou.
• Bepaling van aktiverings- en deaktiveringsdatums vir sleutels.
• Reageer op wetlike versoeke om toegang tot sleutels te hê.

Laastens, maar nie die minste nie, waarsku hierdie aanvullende leiding organisasies teen drie spesifieke risiko's:

• Geheime en beskermde sleutels moet teen ongemagtigde gebruik beskerm word.
• Toerusting wat gebruik word om enkripsiesleutels te skep of te berg, moet deur fisiese sekuriteitsmaatreëls beskerm word.
• Organisasies moet die egtheid van publieke sleutels handhaaf.

Wat is die voordele van kriptografie?

Nadat dit beklemtoon is dat organisasies die egtheid van publieke sleutels kan verseker deur metodes soos publieke sleutelbestuursprosesse, verduidelik Control 8.24 hoe kriptografie organisasies kan help om vier inligtingsekuriteitsdoelwitte te bereik:

1. Vertroulikheid: Kriptografie beskerm en handhaaf die vertroulikheid van data, beide tydens vervoer en in rus.
2. Integriteit en egtheid: Digitale handtekeninge en verifikasiekodes kan die egtheid en integriteit van inligting wat gekommunikeer word verseker.
3. Nie-repudiëring: Kriptografiese metodes verskaf bewyse van alle gebeure of aksies wat uitgevoer is soos die ontvangs van inligting.
4. Verifikasie: Kriptografiese metodes stel organisasies in staat om die identiteit van gebruikers wat toegang tot stelsels en toepassings versoek, te verifieer.

Veranderinge en verskille vanaf ISO 27002:2013

27002:2022/8.24 vervang 27002:2013/(10.1.1. En 10.1.2)

Alhoewel die inhoud van beide weergawes byna identies is, is daar 'n paar strukturele veranderinge.

Terwyl die 2013-weergawe die gebruik van kriptografie onder twee afsonderlike kontroles aangespreek het, naamlik 10.1.1. En 10.1.2, die 2022-weergawe het hierdie twee gekombineer onder een Beheer, 8.24.

Hoe ISMS.online help

ISMS.Online is die toonaangewende ISO 27002-bestuurstelselsagteware wat voldoening aan ISO 27002 ondersteun, en maatskappye help om hul sekuriteitsbeleide en -prosedures met die standaard in lyn te bring.

Die wolk-gebaseerde platform bied 'n volledige stel gereedskap om organisasies te help met die opstel van 'n inligtingsekuriteitbestuurstelsel (ISMS) volgens ISO 27002.

Kontak en bespreek 'n demo.