ISO 27002:2022, Kontroll 8.24 – Bruk av kryptografi

Eierskap på kontroll 8.24

Overholdelse av 8.24 krever etablering og implementering av en spesifikk policy for kryptografi, opprettelse av en effektiv nøkkelbehandlingsprosess og bestemmelse av typen kryptografisk teknikk som passer til nivået av informasjonsklassifisering som er tildelt en bestemt informasjonsressurs.

Derfor bør informasjonssikkerhetssjefen være ansvarlig for å fastsette hensiktsmessige regler og prosedyrer for bruk av kryptografiske nøkler.

Generell veiledning om samsvar

Kontroll 8.24 lister opp syv krav som organisasjoner bør forholde seg til når de bruker kryptografiske teknikker:

1. Organisasjoner bør lage og vedlikeholde en emnespesifikk policy for bruk av kryptografi. Denne policyen er avgjørende for å maksimere fordelene med kryptografiske teknikker, og den reduserer risikoen som kan oppstå ved bruk av kryptografi. Det bemerkes også at denne policyen bør dekke generelle prinsipper for beskyttelse av informasjon.
2. Organisasjoner bør vurdere sensitivitetsnivået til informasjonsmidlene og informasjonsklassifiseringsnivået som er tildelt dem når de bestemmer seg for typen, styrken og kvaliteten til krypteringsalgoritmen.
3. Organisasjoner bør implementere kryptografiske teknikker når informasjon overføres til mobile enheter eller til lagringsmedieutstyr eller når informasjon lagres på disse enhetene.
4. Organisasjoner bør ta opp problemer knyttet til nøkkelhåndtering, inkludert opprettelse og beskyttelse av kryptografiske nøkler og gjenopprettingsplanen for krypterte data i tilfelle nøkler går tapt eller kompromitteres.
5. Organisasjoner bør angi roller og ansvar for følgende:
• Etablering og implementering av reglene for hvordan de kryptografiske teknikkene skal brukes.
• Hvordan nøkler vil bli håndtert, inkludert hvordan de vil bli generert.
6. Adopsjon og godkjenning av standarder på tvers av organisasjonen for kryptografiske algoritmer, chifferstyrke og brukspraksis for kryptografi.
7. Organisasjonen bør ta for seg hvordan kryptert informasjon kan forstyrre kontrollene som innebærer innholdsinspeksjon, for eksempel oppdagelse av skadelig programvare.

Videre fremhever Control 8.24 at organisasjoner bør ta hensyn til lover og krav som kan begrense bruken av kryptografi, inkludert grenseoverskridende overføring av kryptert informasjon.

Til slutt anbefales organisasjoner også å ta opp ansvar og kontinuitet for tjenester når de inngår tjenesteavtaler med tredjeparter for levering av kryptografiske tjenester.

Supplerende veiledning om nøkkelledelse

Organisasjoner bør definere og anvende sikre prosedyrer for opprettelse, lagring, gjenfinning og ødeleggelse av kryptografiske nøkler.

Spesielt bør organisasjoner få på plass et robust nøkkelstyringssystem som inkluderer regler, prosesser og standarder for følgende:

• Generering av kryptografiske nøkler for ulike systemer og applikasjoner.
• Utstedelse og anskaffelse av offentlige nøkkelsertifikater.
• Distribusjon av nøkler til tiltenkte mottakere, inkludert prosessen med nøkkelaktivering.
• Oppbevaring av nøkler og hvordan autoriserte parter kan få tilgang til nøkler.
• Bytte av nøkler.
• Håndtering av kompromitterte nøkler.
• Tilbakekalling av nøkler for hvorfor de er kompromittert eller når autoriserte personer forlater en organisasjon.
• Gjenoppretting av tapte nøkler.
• Nøkkelsikkerhetskopiering og arkivering.
• Ødelegge nøkler.
• Føre en logg over alle aktiviteter knyttet til hver nøkkel.
• Fastsettelse av aktiverings- og deaktiveringsdatoer for nøkler.
• Svare på juridiske forespørsler om å ha tilgang til nøkler.

Sist, men ikke minst, advarer denne tilleggsveiledningen organisasjoner mot tre spesielle risikoer:

• Hemmelige og beskyttede nøkler bør beskyttes mot uautorisert bruk.
• Utstyr som brukes til å lage eller lagre krypteringsnøkler bør beskyttes via fysiske sikkerhetstiltak.
• Organisasjoner bør opprettholde autentisiteten til offentlige nøkler.

Hva er fordelene med kryptografi?

Etter å ha fremhevet at organisasjoner kan sikre autentisiteten til offentlige nøkler ved hjelp av metoder som prosesser for administrasjon av offentlige nøkler, forklarer Control 8.24 hvordan kryptografi kan hjelpe organisasjoner med å oppnå fire informasjonssikkerhetsmål:

1. Konfidensialitet: Kryptografi beskytter og opprettholder konfidensialiteten til data både under transport og hvile.
2. Integritet og autentisitet: Digitale signaturer og autentiseringskoder kan sikre autentisiteten og integriteten til informasjonen som kommuniseres.
3. Ikke-benektelse: Kryptografiske metoder gir bevis for alle hendelser eller handlinger utført, for eksempel mottak av informasjon.
4. Autentisering: Kryptografiske metoder gjør det mulig for organisasjoner å verifisere identiteten til brukere som ber om tilgang til systemer og applikasjoner.

Endringer og forskjeller fra ISO 27002:2013

27002:2022/8.24 erstatte 27002:2013/(10.1.1. Og 10.1.2)

Selv om innholdet i begge versjonene er nesten identisk, er det noen få strukturelle endringer.

Mens 2013-versjonen tok for seg bruken av kryptografi under to separate kontroller, nemlig 10.1.1. Og 10.1.2, 2022-versjonen kombinerte disse to under én kontroll, 8.24.

Hvordan ISMS.online hjelper

ISMS.Online er den ledende ISO 27002-programvaren for styringssystem som støtter samsvar med ISO 27002, og hjelper bedrifter med å tilpasse sine sikkerhetspolicyer og prosedyrer med standarden.

Den skybaserte plattformen gir et komplett sett med verktøy for å hjelpe organisasjoner med å sette opp et styringssystem for informasjonssikkerhet (ISMS) i henhold til ISO 27002.

Ta kontakt og bestill en demo.