ISO 27001:2022 Liite A 8.24 Tarkistuslistaopas

ISO 27001 A.8.24 Salauksen käytön tarkistuslista

Ohjaus A.8.24 Salauksen käyttö standardin ISO/IEC 27001:2022 sisällä on olennainen arkaluontoisten tietojen suojaamiseksi kestävien salaustekniikoiden avulla. Tämä ohjaus varmistaa, että tietojen luottamuksellisuus, eheys ja aitous säilyvät tallennuksen ja siirron aikana.

Salauksen asianmukainen käyttöönotto auttaa suojaamaan tietoja luvattomalta käytöltä ja peukaloitumiselta, mikä täyttää lailliset, säädökset ja sopimusvaatimukset. Salauksen tehokas käyttöönotto voi kuitenkin tuoda esiin useita haasteita, joihin on puututtava kokonaisvaltaisesti.

Liitteen A.8.24 tarkoitus

• Suojaa tiedot: Suojaa arkaluontoiset tiedot luvattomalta käytöltä ja muuttamiselta tallennuksen ja siirron aikana.
• Noudattaminen: Varmista, että salauksen käyttöä koskevia asiaankuuluvia laki-, säädös- ja sopimusvaatimuksia noudatetaan.

Miksi sinun pitäisi noudattaa liitettä A.8.24? Keskeiset näkökohdat ja yleiset haasteet

1. salaus

Tiedot levossa

Käytä salausta suojataksesi laitteille, palvelimille ja tallennusvälineille tallennettuja tietoja.

Yleisiä haasteita:

• Integrointiongelmat: Vaikeus integroida salaustyökaluja olemassa oleviin järjestelmiin ja sovelluksiin.
• Vaikutus suorituskykyyn: Mahdollinen suorituskyvyn heikkeneminen salausprosessien vuoksi.
• Ratkaisumme:
  • Arvioi ja valitse salaustyökalut, jotka tarjoavat yhteensopivuuden ja minimaalisen suorituskyvyn.
  • Suorita perusteellinen testaus ennen täydellistä käyttöönottoa.
• Liittyvät ISO 27001 -lausekkeet: 6.1.2 riskinarviointi, 8.2 tietoturvariskin arviointi, 8.3 tietoturvariskien käsittely

Siirrettävä data

Ota käyttöön salausprotokollat ​​(esim. TLS, VPN) verkkojen kautta siirrettävien tietojen suojaamiseksi.

Yleisiä haasteita:

• Protokollan yhteensopivuus: Salausprotokollien yhteensopivuuden varmistaminen eri järjestelmien ja verkkojen välillä.
• Key Exchange Security: Avainten vaihtoprosessin suojaaminen sieppauksen estämiseksi.
• Ratkaisumme:
  • Käytä standardoituja protokollia ja päivitä niitä säännöllisesti yhteensopivuusongelmien vähentämiseksi.
  • Ota käyttöön vankat avaintenvaihtomekanismit, kuten Diffie-Hellman-avainten vaihto.
• Liittyvät ISO 27001 -lausekkeet: 6.1.2 riskinarviointi, 8.2 tietoturvariskin arviointi, 8.3 tietoturvariskien käsittely

2. Avainten hallinta

Avainten luominen

Varmista, että salausavaimet luodaan turvallisesti ja että ne ovat riittävän vahvoja suojaamaan tietoja.

Yleisiä haasteita:

• Satunnaisuuden laatu: korkealaatuisen satunnaisuuden varmistaminen avainten luonnissa ennakoitavuuden estämiseksi.
• Resurssiintensiteetti: Vahvojen avainten luomiseen vaaditaan korkeat laskentaresurssit.
• Ratkaisumme:
  • Käytä sertifioituja laitteiston satunnaislukugeneraattoreita (HRNG).
  • Varmista, että järjestelmät on optimoitu avaintuotantotehtäviä varten.
• Liittyvät ISO 27001 -lausekkeet: 7.2 Pätevyys, 8.3 Tietoturvariskien käsittely

Avainten säilytys

Säilytä avaimet turvallisesti estääksesi luvattoman käytön. Tämä voi sisältää laitteiston suojausmoduulien (HSM) tai salatun avaimen käytön.

Yleisiä haasteita:

• Suojattu tallennus: Standardien mukaisten suojattujen tallennusratkaisujen löytäminen ja hallinta.
• Kulunvalvonta: Tiukat pääsynvalvontatoimenpiteet estämään luvattoman avaimen käytön.
• Ratkaisumme:
  • Ota HSM:t käyttöön avainten säilytykseen.
  • Ota käyttöön monitekijätodennus (MFA) avainten käytön hallintaan.
• Liittyvät ISO 27001 -lausekkeet: 9.1 Seuranta, mittaus, analyysi ja arviointi, 7.5 dokumentoitu tieto

Avaimen käyttö

Määrittele ja pane täytäntöön käytännöt siitä, kuinka salausavaimia tulisi käyttää organisaatiossa.

Yleisiä haasteita:

• Käytännön täytäntöönpano: Keskeisten käyttökäytäntöjen johdonmukaisen täytäntöönpanon varmistaminen kaikilla osastoilla.
• Tietoisuus ja koulutus: Henkilöstön kouluttaminen kryptografisten avainten tärkeydestä ja asianmukaisesta käsittelystä.
• Ratkaisumme:
  • Päivitä ja kerro tärkeimmistä käyttökäytännöistä säännöllisesti.
  • Järjestä pakolliset koulutustilaisuudet kaikille asianomaisille henkilökunnalle.
• Liittyvät ISO 27001 -lausekkeet: 7.2 Pätevyys, 7.3 Tietoisuus, 7.5 Dokumentoitu tieto

Näppäinten kierto

Toteuta avainten kiertokäytäntöjä vaihtaaksesi säännöllisesti avaimia ja vähentääksesi kompromissiriskiä.

Yleisiä haasteita:

• Toimintahäiriöt: Minimoi toiminnan häiriöt avainten kiertojen aikana.
• Kierron automatisointi: Automaattisten prosessien kehittäminen saumattomaan avainten kiertoon.
• Ratkaisumme:
  • Ajoita avainten vuorottelut vähäisen aktiivisuuden aikana.
  • Käytä automaatiotyökaluja prosessin virtaviivaistamiseen.
• Liittyvät ISO 27001 -lausekkeet: 8.1 Toiminnan suunnittelu ja valvonta, 8.3 Tietoturvariskien käsittely

Avaimen peruutus

Varmista, että käytössä on mekanismit avainten peruuttamiseksi, kun niitä ei enää tarvita tai jos ne vaarantuvat.

Yleisiä haasteita:

• Peruuttamisen levittäminen: Varmistetaan, että avainten peruuttaminen leviää nopeasti ja tehokkaasti kaikissa järjestelmissä.
• Varmuuskopiointiavainten hallinta: Hallitse peruutettujen avainten varmuuskopioita turvallisuudesta tinkimättä.
• Ratkaisumme:
  • Ota käyttöön automaattiset peruutusluettelot.
  • Suojatut varmuuskopioiden tallennusmenetelmät.
• Liittyvät ISO 27001 -lausekkeet: 8.1 Toiminnan suunnittelu ja valvonta, 9.2 Sisäinen tarkastus

3. Salausalgoritmit

Valinta

Valitse salausalgoritmit, jotka sopivat vaadittavalle suojaustasolle ja ovat yleisesti tunnustettuja turvallisiksi (esim. AES, RSA).

Yleisiä haasteita:

• Algoritmipäivitykset: Pysy ajan tasalla salausalgoritmien ja niiden turvallisuuden edistymisestä.
• Standardien noudattaminen: Varmistetaan, että valitut algoritmit ovat alan standardien ja määräysten mukaisia.
• Ratkaisumme:
  • Tarkista ja päivitä salauskäytännöt säännöllisesti uusimpien suojattujen algoritmien sisällyttämiseksi.
  • Käytä vaatimustenmukaisuustyökaluja standardien noudattamisen varmistamiseksi.
• Liittyvät ISO 27001 -lausekkeet: 8.3 Tietoturvariskien käsittely, 9.1 Seuranta, mittaus, analyysi ja arviointi

Algoritmin vahvuus

Varmista, että valitut algoritmit ovat riittävän vahvoja (esim. avaimen pituus) kestämään nykyisiä ja ennakoitavissa olevia kryptografisia hyökkäyksiä.

Yleisiä haasteita:

• Suorituskyvyn ja suojauksen tasapaino: Tasapainottaa vahvan salauksen tarve järjestelmän suorituskyvyn kanssa.
• Future Proofing: Valitse algoritmit ja avainten pituudet, jotka pysyvät turvallisina pitkällä aikavälillä.
• Ratkaisumme:
  • Suorita suorituskyvyn benchmarking löytääksesi optimaaliset kokoonpanot.
  • Arvioi säännöllisesti uudelleen algoritmien vahvuudet uusia uhkia vastaan.
• Liittyvät ISO 27001 -lausekkeet: 8.3 Tietoturvariskien käsittely, 9.1 Seuranta, mittaus, analyysi ja arviointi

4. Toteutus ja käyttö

Käytännöt ja menettelyt

Kehittää ja toteuttaa politiikkaa ja menettelytapoja, jotka ohjaavat salauksen käyttöä organisaatiossa.

Yleisiä haasteita:

• Käytännön kehittäminen: Kattavien käytäntöjen luominen, jotka kattavat kaikki kryptografisen käytön näkökohdat.
• Johdonmukaisuus: Varmistetaan käytäntöjen johdonmukainen soveltaminen koko organisaatiossa.
• Ratkaisumme:
  • Ota monialaisia ​​tiimejä mukaan politiikan kehittämiseen.
  • Käytä keskitettyjen käytäntöjen hallintatyökaluja johdonmukaisuuden varmistamiseksi.
• Liittyvät ISO 27001 -lausekkeet: 5.2 Tietoturvapolitiikka, 7.5 Dokumentoidut tiedot

koulutus

Kouluttaa henkilökuntaa salaustyökalujen oikeasta käytöstä ja salausavainten suojaamisen tärkeydestä.

Yleisiä haasteita:

• Sitoutuminen: Henkilöstön ottaminen mukaan käynnissä oleviin salauskoulutukseen ja tietoisuusohjelmiin.
• Tietämyksen säilyttäminen: Varmistetaan, että henkilöstö säilyttää ja soveltaa koulutuksesta saatua tietoa.
• Ratkaisumme:
  • Käytä interaktiivisia koulutusmenetelmiä ja säännöllisiä arviointeja oppimisen vahvistamiseksi.
• Liittyvät ISO 27001 -lausekkeet: 7.2 Pätevyys, 7.3 Tietoisuus, 7.5 Dokumentoitu tieto

Vaatimustenmukaisuuden seuranta

Seuraa ja tarkasta säännöllisesti salaustoimintojen käyttöä varmistaaksesi, että ne noudattavat vahvistettuja käytäntöjä ja menettelyjä.

Yleisiä haasteita:

• Resurssien allokointi: Riittävät resurssit jatkuvaan seurantaan ja auditointiin.
• Oikea-aikainen korjaus: Sääntöjen noudattamatta jättämiseen liittyvien ongelmien ratkaiseminen nopeasti ja tehokkaasti.
• Ratkaisumme:
  • Hyödynnä automaattisia valvontatyökaluja.
  • Perusta oma vaatimustenmukaisuustiimi ongelman ratkaisemiseksi nopeasti.
• Liittyvät ISO 27001 -lausekkeet: 9.1 Seuranta, mittaus, analyysi ja arviointi, 9.2 sisäinen tarkastus, 9.3 johdon tarkastus

5. Salauspalvelut

Digitaaliset allekirjoitukset

Käytä digitaalisia allekirjoituksia tietojen aitouden ja eheyden tarkistamiseen.

Yleisiä haasteita:

• Käyttäjien hyväksyminen: Kannustetaan digitaalisten allekirjoitusten laajaa käyttöönottoa organisaatiossa.
• Integrointi: Digitaalisen allekirjoituksen ratkaisujen integrointi olemassa oleviin työnkulkuihin ja järjestelmiin.
• Ratkaisumme:
  • Mainosta digitaalisten allekirjoitusten etuja.
  • Varmista saumaton integrointi yrityssovellusten kanssa.
• Liittyvät ISO 27001 -lausekkeet: 8.1 Toiminnan suunnittelu ja valvonta, 9.1 Seuranta, mittaus, analyysi ja arviointi

Varmenteiden hallinta

Hallinnoi digitaalisia varmenteita, mukaan lukien myöntäminen, uusiminen ja peruuttaminen, varmistaaksesi organisaation entiteettien aitouden.

Yleisiä haasteita:

• Elinkaarihallinta: Hallitse digitaalisten sertifikaattien koko elinkaarta tehokkaasti.
• Sertifikaattien leviäminen: Vältetään hallitsematon määrä varmenteita organisaatiossa.
• Ratkaisumme:
  • Käytä keskitettyjä varmenteiden hallintaratkaisuja.
  • Suorita säännöllisiä tarkastuksia estääksesi varmenteiden leviämisen.
• Liittyvät ISO 27001 -lausekkeet: 8.1 Toiminnan suunnittelu ja valvonta, 9.1 Seuranta, mittaus, analyysi ja arviointi

6. Dokumentaatio ja asiakirjat

Dokumentaatio

Ylläpidä salauskäytäntöjen, menettelyjen, avaintenhallintaprosessien ja kokoonpanojen dokumentaatiota.

Yleisiä haasteita:

• Dokumentaation ylikuormitus: Suurten dokumentaatiomäärien hallinta ja tarkkuuden varmistaminen.
• Saavutettavuus: Varmista, että asiakirjat ovat tarvittaessa valtuutetun henkilöstön saatavilla.
• Ratkaisumme:
  • Käytä asiakirjanhallintajärjestelmiä salausdokumentaation järjestämiseen ja hallitsemiseen.
• Liittyvät ISO 27001 -lausekkeet: 7.5 Dokumentoitu tieto, 8.1 Toiminnan suunnittelu ja valvonta

Audit Trails

Säilytä yksityiskohtaisia ​​lokeja ja kirjausketjuja salausavainten käytöstä ja hallintatoimista.

Yleisiä haasteita:

• Lokien hallinta: Hallitse ja tallenna tehokkaasti suuria määriä tarkastuslokeja.
• Lokianalyysi: Lokien analysointi mahdollisten tietoturvahäiriöiden havaitsemiseksi ja niihin reagoimiseksi.
• Ratkaisumme:
  • Ota käyttöön lokinhallintaratkaisuja automaattisilla analyysiominaisuuksilla.
• Liittyvät ISO 27001 -lausekkeet: 7.5 dokumentoitu tieto, 9.1 seuranta, mittaus, analyysi ja arviointi

Vaatimustenmukaisuuden edut

• parannettu turvallisuus: Suojaa arkaluontoiset tiedot luvattomalta käytöltä ja muuttamiselta.
• Sääntelyn noudattaminen: Täytä tietoturvaan ja salaukseen liittyvät laki-, säädös- ja sopimusvaatimukset.
• Riskienhallinta: Vähennä tietoturvaloukkauksiin ja arkaluonteisten tietojen luvattomaan käyttöön liittyviä riskejä.

ISMS.online-ominaisuudet A.8.24:n noudattamisen osoittamiseen

• Politiikan hallinta
  • Käytäntömallit: Käytä valmiita käytäntömalleja luodaksesi nopeasti kattavat salauskäytännöt.
  • Versionhallinta: Seuraa käytäntöjen muutoksia ja varmista, että uusimmat versiot ovat aina käytössä.
  • Asiakirjojen käyttö: Hallitse, kuka voi tarkastella ja muokata salauskäytäntöjä, mikä varmistaa turvallisen pääsyn.
• Riskienhallinta
  • Dynaaminen riskikartta: Visualisoi salausohjaimiin liittyvät riskit ja seuraa niiden tilaa.
  • Riskien valvonta: Seuraa jatkuvasti salausavainten hallintaan ja salauskäytäntöihin liittyviä riskejä.
• Tapahtumien hallinta
  • Incident Tracker: Dokumentoi ja hallitse tapauksia, joihin liittyy salausvirheitä tai tietomurtoja.
  • Työnkulku ja ilmoitukset: Automatisoi tapaturmien reagointityönkulkuja ja varmista oikea-aikaiset ilmoitukset asiaankuuluville sidosryhmille.
• Tarkastuksen hallinta
  • Tarkastusmallit: Käytä erityisiä malleja salauksen ohjauksen ja avainten hallintaprosessien tarkastamiseen.
  • Korjaavat toimet: Seuraa ja hallitse auditoinneista johtuvia korjaavia toimia jatkuvan parantamisen varmistamiseksi.
• Koulutus ja tietoisuus
  • Koulutusmoduulit: Tarjoa työntekijöille koulutusta salauskäytännöistä ja avainten hallinnasta.
  • Koulutuksen seuranta: Valvo ja dokumentoi koulutuksen valmistumista varmistaaksesi, että koko henkilökunta on ajan tasalla salausmenetelmistä.
• Dokumentaation hallinta
  • Asiakirjamallit: Käytä asiakirjamalleja säilyttääksesi kattavat tiedot salausavainten hallintakäytännöistä.
  • Versionhallinta ja säilytys: Varmista, että kaikki salausdokumentaatio on versiohallinnassa ja säilytetään käytäntöjen mukaisesti.

Yksityiskohtainen liite A.8.24 Vaatimustenmukaisuuden tarkistuslista

1. salaus

• Varmista lepotilassa olevien tietojen salaus kaikilla laitteilla, palvelimilla ja tallennusvälineillä.
• Tarkista salaustyökalujen integrointi olemassa oleviin järjestelmiin.
• Tarkkaile salausprosessien suorituskykyä ja optimoi tarvittaessa.
• Ota käyttöön salausprotokollat ​​(esim. TLS, VPN) siirrettävälle tiedolle.
• Varmista salausprotokollien yhteensopivuus eri järjestelmien ja verkkojen välillä.
• Suojaa avainten vaihtoprosessi estääksesi sieppauksen.

2. Avainten hallinta

• Luo salausavaimia turvallisesti korkealaatuisella satunnaisuudesta.
• Varaa riittävästi laskentaresursseja avainten luomiseen.
• Tallenna avaimet turvallisesti käyttämällä laitteiston suojausmoduuleja (HSM) tai salattua avainten tallennusta.
• Ota käyttöön tiukka pääsynvalvonta avainten säilytykseen.
• Kehitä ja valvo avainten käyttöä koskevia käytäntöjä.
• Kouluta henkilökuntaa asianmukaisesta avainten käsittelystä säännöllisen koulutuksen avulla.
• Ota käyttöön avainten kiertokäytäntöjä vaihtaaksesi avaimia säännöllisesti.
• Minimoi toimintahäiriöt avainten kierrosten aikana.
• Automatisoi avainten kiertoprosessit mahdollisuuksien mukaan.
• Varmista, että käytössä on mekanismit avainten peruuttamiseksi tarvittaessa.
• Levitä avainten peruutus nopeasti ja tehokkaasti kaikissa järjestelmissä.
• Hallitse peruutettujen avainten varmuuskopioita turvallisesti.

3. Salausalgoritmit

• Valitse salausalgoritmit, jotka on yleisesti tunnustettu turvallisiksi (esim. AES, RSA).
• Pysy ajan tasalla salausalgoritmien edistymisestä.
• Varmista, että valitut algoritmit ovat alan standardien ja määräysten mukaisia.
• Varmista, että algoritmeilla on riittävästi voimaa vastustaa nykyisiä ja ennakoitavia hyökkäyksiä.
• Tasapainota vahvan salauksen tarve järjestelmän suorituskyvyn kanssa.
• Tulevaisuuden kestävät algoritmit ja avainten pituudet pysyvät turvallisina pitkällä aikavälillä.

4. Toteutus ja käyttö

• Kehitä kattavat käytännöt ja menettelyt kryptografista käyttöä varten.
• Varmista, että käytäntöjä sovelletaan johdonmukaisesti koko organisaatiossa.
• Tarjoa henkilökunnalle jatkuvaa kryptografista koulutusta ja tietoisuusohjelmia.
• Sitouta henkilöstö koulutukseen ja varmista tiedon säilyttäminen.
• Tarkkaile ja tarkasta salausohjauksia säännöllisesti.
• Jatkuvaan seurantaan ja auditointiin osoitetaan riittävästi resursseja.
• Käsittele noudattamatta jättämisongelmat nopeasti ja tehokkaasti.

5. Salauspalvelut

• Ota käyttöön digitaaliset allekirjoitukset tietojen aitouden ja eheyden varmistamiseksi.
• Edistää digitaalisten allekirjoitusten käyttöönottoa organisaatiossa.
• Integroi digitaalisen allekirjoituksen ratkaisut olemassa oleviin työnkulkuihin ja järjestelmiin.
• Hallitse digitaalisten sertifikaattien koko elinkaarta tehokkaasti.
• Vältä hallitsematonta sertifikaattien määrää organisaatiossa.

6. Dokumentaatio ja asiakirjat

• Ylläpidä salauskäytäntöjen, menettelyjen, avaintenhallintaprosessien ja kokoonpanojen dokumentaatiota.
• Varmista, että asiakirjat ovat tarvittaessa valtuutetun henkilöstön saatavilla.
• Säilytä yksityiskohtaisia ​​lokeja ja kirjausketjuja salausavainten käytöstä ja hallintatoimista.
• Hallitse ja tallenna tehokkaasti suuria määriä tarkastuslokeja.
• Analysoi lokit havaitaksesi mahdolliset tietoturvahäiriöt ja reagoidaksesi niihin.

Jokainen liitteen A tarkistuslistataulukko

Kuinka ISMS.online auttaa A.8.24:ssä

Oletko valmis parantamaan organisaatiosi tietoturvan hallintaa huippuluokan salausohjaimilla?

Tutustu siihen, kuinka ISMS.online voi virtaviivaistaa noudattamistasi, yksinkertaistaa riskienhallintaa ja varmistaa vankan tietosuojan. Alustamme tarjoaa tehokkaita ominaisuuksia, jotka on suunniteltu auttamaan sinua saavuttamaan ja ylläpitämään ISO/IEC 27001:2022 -sertifiointia tehokkaasti.

Valtuuta organisaatiosi työkaluilla ja asiantuntemuksella tietovarojen turvaamiseen ja huippuosaamiseen tietoturvan hallinnassa. Varaa demosi jo tänään!