ISO 27001:2022 Vedlegg A Kontroll 8.24

Generell veiledning for ISO 27001:2022 vedlegg A 8.24 Samsvar

ISO 27001: 2022 Vedlegg A Kontroll 8.24 fastsetter syv krav som organisasjoner må overholde når de bruker kryptografiske metoder:

1. Organisasjoner bør ha en policy på plass når det gjelder bruk av kryptografi, for å maksimere fordelene og redusere risikoen. Denne policyen bør også skissere generelle prinsipper for beskyttelse av informasjon.
2. Organisasjoner må ta hensyn til hvor delikate informasjonsressursene deres er, samt informasjonsklassifiseringsnivået som er utpekt til dem, når de velger type, styrke og kvalitet på krypteringsalgoritmen.
3. Organisasjoner bør bruke kryptografiske tilnærminger når de overfører informasjon til bærbare enheter, medieutstyr, eller når den er lagret på dem.
4. Organisasjoner må takle alle forhold knyttet til nøkkeladministrasjon, som å danne og skjerme kryptografiske nøkler og ha en ordning for datagjenoppretting i tilfelle nøklene mangler eller er sårbare.
5. Organisasjoner bør definere roller og ansvar for følgende:
• Reglene for bruk av kryptografiske teknikker må etableres og håndheves.
• Håndtering av nøkler, inkludert generering av dem.
6. Organisasjonen vedtar og godkjenner standarder som omfatter kryptografiske algoritmer, chifferstyrke og brukspraksis for kryptografi.
7. Organisasjoner bør vurdere den potensielle innvirkningen av kryptering på effektiviteten til kontrollene for innholdsinspeksjon, for eksempel oppdagelse av skadelig programvare.

ISO 27001:2022 vedlegg A 8.24 understreker at organisasjoner bør vurdere lovkrav og restriksjoner som kan påvirke bruken av kryptografi, inkludert internasjonal overføring av kryptert informasjon.

Organisasjoner bør ta hensyn til ansvar og kontinuitet i tjenestene når de inngår tjenesteavtaler med eksterne leverandører av kryptografiske tjenester.

Veiledning om nøkkelledelse

Organisasjoner må sette opp og følge sikre prosesser for generering, lagring, henting og avhending av kryptografiske nøkler.

Organisasjoner bør installere et solid nøkkelstyringssystem som inneholder forskrifter, prosedyrer og kriterier for:

• Generering av kryptografiske nøkler for en rekke systemer og applikasjoner er nødvendig.
• Utstedelse og innhenting av offentlige nøkkelsertifikater.
• Distribuer nøkler til tiltenkte mottakere, inkludert prosedyren for nøkkelaktivering.
• Nøkler skal oppbevares trygt. De som er autorisert til å få tilgang til dem, kan gjøre det med nødvendig legitimasjon.
• Bytte av nøkler.
• Håndtering av kompromitterte nøkler bør tas på alvor.
• Hvis nøkler er kompromittert eller et autorisert personell forlater en organisasjon, bør de trekkes tilbake.
• Gjenoppretting av tapte nøkler.
• Sikkerhetskopiering og arkivering av nøkkel bør utføres regelmessig.
• Ødelegge nøkler.
• Hold oversikt over alle aktiviteter knyttet til hver nøkkel.
• Etablere aktiverings- og deaktiveringsdatoene for nøkler.
• Tilgang til nøkler som svar på juridiske forespørsler.

Til slutt er det viktig at organisasjoner er klar over de tre hovedrisikoene som denne tilleggsveiledningen skisserer:

1. Sikre og private nøkler bør beskyttes mot uautorisert bruk.
2. Beskyttelse av utstyr som brukes til å lage eller lagre krypteringsnøkler bør gjøres med fysisk sikkerhet målinger.
3. Organisasjoner bør sikre gyldigheten til deres offentlige nøkler.

Hva er fordelene med kryptografi?

ISO 27001:2022 vedlegg A 8.24 sier at kryptografi kan brukes for å hjelpe organisasjoner med å oppnå fire informasjonssikkerhetsmål. Disse målene inkluderer å verifisere ektheten til offentlige nøkler gjennom prosesser for administrasjon av offentlige nøkler:

1. Kryptografi sikrer at konfidensialiteten til data, både under overføring og lagring, bevares.
2. Digitale signaturer og autentiseringskoder garanterer at informasjonen som formidles er ekte og pålitelig.
3. Kryptografiske metoder gir forsikring om at alle hendelser eller handlinger som utføres, inkludert mottak av informasjon, ikke vil bli avvist.
4. Autentisering gjennom kryptografiske metoder lar organisasjoner validere identiteten til brukere som søker tilgang til systemer og applikasjoner.

Endringer og forskjeller fra ISO 27001:2013

ISO 27001:2022 vedlegg A 8.24 erstatter ISO 27001:2013 vedlegg A 10.1.1 og 10.1.2 i den reviderte 2022-standarden.

Innholdet i de to er nesten det samme, selv om det er noen strukturelle modifikasjoner.

Mens 2013-versjonen hadde to separate kontroller, 10.1.1 og 10.1.2, for bruk av kryptografi, konsoliderte 2022-versjonen disse i én vedlegg A-kontroll, 8.24.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A-kontroll.

Hvordan ISMS.online Hjelp

ISMS.Online er den fremste ISO 27001-programvaren for styringssystem, og hjelper bedrifter med å følge ISO 27001:2022 og sikre at deres sikkerhetspolicyer og prosedyrer er i samsvar med standarden.

Dette skybasert plattform tilbyr et omfattende sett med verktøy for å hjelpe organisasjoner med å implementere et styringssystem for informasjonssikkerhet (ISMS) i tråd med ISO 27001.

Nå ut og bestill en demonstrasjon i dag.