ISO 27001:2022 Liite A 8.24 – Kryptografian käyttö

• nähdä ISO 27002:2022 Control 8.24 lisätietoja.
• nähdä ISO 27001:2013 Liite A 10.1.1 lisätietoja.
• nähdä ISO 27001:2013 Liite A 10.1.2 lisätietoja.

Liite A 8.24 Selitys: Secure Cryptographic Controls -järjestelmän käyttöönotto

Siirretessään tietoja verkkojen ja laitteiden välillä verkkohyökkääjät voivat yrittää varastaa arkaluontoisia tietoja, muuttaa sisältöä, jäljitellä lähettäjiä/vastaanottajia päästäkseen luvattomasti sisään tai siepata tiedonsiirtoa.

Verkkorikolliset voivat työllistää mies keskellä (MITM) hyökkäyksiä, siepata tiedonsiirtoja ja naamioitunut palvelimeksi saadakseen lähettäjän paljastamaan kirjautumistiedot. Näillä valtuustiedoilla he voivat päästä käsiksi järjestelmiin ja vaarantaa arkaluontoiset tiedot.

Salaus, kuten salaus, voi tehokkaasti turvata tiedon luottamuksellisuuden, eheyden ja saatavuuden siirron aikana.

Salaustekniikat voivat pitää tietovarat turvassa, kun niitä ei käytetä. He varmistavat, että tiedot on suojattu luvattomalta käytöltä tai muutoksilta.

ISO 27001:2022 Liite A 8.24 hahmottelee, kuinka organisaatiot voivat luoda ja soveltaa salauksen käyttöä koskevia määräyksiä ja prosesseja.

ISO 27001:2022 liitteen A tarkoitus 8.24

ISO 27001: 2022 Liite A 8.24 antaa organisaatioille mahdollisuuden turvata tietovarojen luottamuksellisuus, eheys, aitous ja saatavuus käyttämällä oikeaa kryptografiaa ja täyttämällä seuraavat kriteerit:

• Liiketoiminnan vaatimukset ovat pakollisia.
• Varmistaa tietoturva tiukkojen vaatimusten täytäntöönpanon kautta.
• Lakisääteiset, sopimukset ja organisatoriset toimeksiannot edellyttävät salauksen käyttöä.

Liitteen A omistusoikeus 8.24

Liitteen A kohdan 8.24 noudattaminen edellyttää kryptografiaa koskevan politiikan toteuttamista, tehokkaan avaintenhallintaprosessin luomista ja tietyn tietoresurssin tietojen luokitteluun sovellettavan salaustekniikan tyypin määrittelyä.

- Tietoturvajohtaja on pidettävä vastuussa salausavaimia koskevien asianmukaisten määräysten ja protokollien luomisesta.

Yleiset ohjeet standardista ISO 27001:2022 Liite A 8.24 Vaatimustenmukaisuus

ISO 27001: 2022 Liite A Ohjaus 8.24 määrittelee seitsemän vaatimusta, jotka organisaatioiden on noudatettava salausmenetelmiä käyttäessään:

1. Organisaatioilla tulisi olla salauksen käyttöä koskeva politiikka, jotta sen hyödyt voidaan maksimoida ja riskejä pienentää. Tässä politiikassa tulisi myös hahmotella yleiset tietojen suojaamisen periaatteet.
2. Organisaatioiden tulee ottaa salausalgoritmin tyyppiä, vahvuutta ja laatua valitessaan huomioon tietoresurssien herkkyys ja niille määrätty tiedon luokittelutaso.
3. Organisaatioiden tulisi käyttää salausmenetelmiä siirrettäessä tietoja kannettaviin laitteisiin, medialaitteisiin tai kun niitä tallennetaan niihin.
4. Organisaatioiden on puututtava kaikkiin avaintenhallintaan liittyviin asioihin, kuten salausavainten muodostamiseen ja suojaamiseen sekä tietojen palautussuunnitelmaan siinä tapauksessa, että avaimet puuttuvat tai ovat haavoittuvia.
5. Organisaatioiden tulee määritellä roolit ja vastuut seuraaville asioille:
• Salaustekniikoiden käyttöä koskevat säännöt on laadittava ja niitä on valvottava.
• Avainten käsittely, mukaan lukien niiden luominen.
6. Organisaatio ottaa käyttöön ja hyväksyy standardeja, jotka kattavat salausalgoritmit, salauksen vahvuuden ja salauksen käyttökäytännöt.
7. Organisaatioiden tulee harkita salauksen mahdollista vaikutusta sisällöntarkastusten tehokkuuteen, kuten haittaohjelmien havaitsemiseen.

ISO 27001:2022 Liite A 8.24 korostaa, että organisaatioiden tulee ottaa huomioon lailliset vaatimukset ja rajoitukset, jotka voivat vaikuttaa kryptografian käyttöön, mukaan lukien salatun tiedon kansainvälinen siirto.

Organisaatioiden tulee ottaa huomioon vastuu ja palvelujen jatkuvuus tehdessään palvelusopimuksia ulkopuolisten salauspalveluiden tarjoajien kanssa.

Ohjeita avainten hallintaan

Organisaatioiden on määritettävä ja noudatettava suojattuja prosesseja salausavainten luomiseksi, tallentamiseksi, hakemiseksi ja hävittämiseksi.

Organisaatioiden tulee asentaa vankka avaintenhallintajärjestelmä, joka sisältää säännöt, menettelyt ja kriteerit:

• Salausavainten luominen erilaisille järjestelmille ja sovelluksille on välttämätöntä.
• Julkisen avaimen varmenteiden myöntäminen ja hankkiminen.
• Jaa avaimet aiotuille vastaanottajille, mukaan lukien avaimen aktivointimenettely.
• Avaimet tulee säilyttää turvallisesti. Ne, joilla on oikeus käyttää niitä, voivat tehdä sen tarvittavilla tunnistetiedoilla.
• Avainten vaihto.
• Vaarallisten avainten käsittelyyn tulee suhtautua vakavasti.
• Jos avaimet vaarantuvat tai valtuutettu henkilöstö lähtee organisaatiosta, ne tulee peruuttaa.
• Kadonneiden avainten palautus.
• Avainten varmuuskopiointi ja arkistointi on suoritettava säännöllisesti.
• Avainten tuhoaminen.
• Pidä kirjaa kaikista kuhunkin avaimeen liittyvistä toiminnoista.
• Avainten aktivointi- ja deaktivointipäivämäärien määrittäminen.
• Avainten käyttö laillisten pyyntöjen perusteella.

Lopuksi on tärkeää, että organisaatiot ovat tietoisia kolmesta pääriskistä, jotka tässä täydentävässä ohjeessa hahmotellaan:

1. Suojatut ja yksityiset avaimet tulee suojata luvattomalta käytöltä.
2. Salausavainten luomiseen tai tallentamiseen käytettävien suojalaitteiden kanssa tulee käyttää fyysinen turvallisuus toimenpiteet.
3. Organisaatioiden tulee varmistaa julkisten avaimiensa kelpoisuus.

Mitkä ovat kryptografian edut?

ISO 27001:2022 liitteen A kohdassa 8.24 todetaan, että kryptografiaa voidaan käyttää auttamaan organisaatioita saavuttamaan neljä tietoturvatavoitetta. Näihin tavoitteisiin kuuluu julkisten avainten aitouden varmistaminen julkisen avaimen hallintaprosessien avulla:

1. Salaus takaa tietojen luottamuksellisuuden säilymisen sekä siirrettäessä että tallennettaessa.
2. Digitaaliset allekirjoitukset ja todennuskoodit takaavat, että välitetyt tiedot ovat aitoja ja luotettavia.
3. Salausmenetelmät takaavat, että kaikkia tapahtumia tai toimia, mukaan lukien tiedon vastaanottaminen, ei kielletä.
4. Salausmenetelmien avulla tapahtuva todennus antaa organisaatioille mahdollisuuden vahvistaa niiden käyttäjien henkilöllisyyden, jotka etsivät pääsyä järjestelmiin ja sovelluksiin.

Muutokset ja erot standardista ISO 27001:2013

ISO 27001:2022 liite A 8.24 korvaa ISO 27001:2013 liitteen A 10.1.1 ja 10.1.2 tarkistetussa 2022 standardissa.

Näiden kahden sisältö on lähes sama, vaikka rakenteellisia muutoksia onkin.

Kun vuoden 2013 versiossa oli kaksi erillistä ohjausobjektia, 10.1.1 ja 10.1.2, salauksen käyttöä varten, vuoden 2022 versiossa ne yhdistettiin yhdeksi liitteen A hallintaan, 8.24.

Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista

Alla olevasta taulukosta löydät lisätietoja jokaisesta yksittäisestä ISO 27001:2022 liitteen A valvonnasta.

Miten ISMS.online Ohje

ISMS.Online on johtava ISO 27001 -hallintajärjestelmäohjelmisto, joka auttaa yrityksiä noudattamaan ISO 27001:2022 -standardia ja varmistamaan, että niiden turvallisuuspolitiikka ja -menettelyt ovat standardin mukaisia.

Tämä pilvipohjainen alusta tarjoaa kattavan valikoiman työkaluja, jotka auttavat organisaatioita ottamaan käyttöön ISO 27001 -standardin mukaisen tietoturvan hallintajärjestelmän (ISMS).

Ojenna kätesi ja varaa esittely tänään.