Turvallisen tiedonkäsittelyn varmistaminen kryptografialla ISO 27002:2022:ssa
Kun tietoja siirretään verkkojen ja laitteiden välillä, kyberhyökkääjät voivat käyttää erilaisia tekniikoita varastaakseen arkaluontoisia tietoja siirron aikana, peukaloidakseen tietojen sisältöä, esiintyä lähettäjänä/vastaanottajana saadakseen luvattoman pääsyn tietoihin tai siepatakseen tiedon siirron.
Verkkorikolliset voivat esimerkiksi käyttää man-in-the-middle (MITM) -hyökkäystekniikkaa, siepata tiedonsiirron ja esiintyä palvelimena taivuttaakseen lähettäjän paljastamaan kirjautumistietonsa väärälle palvelimelle. He voivat sitten käyttää näitä valtuustietoja päästäkseen järjestelmiin ja vaarantamaan arkaluonteisia tietoja.
Salauksen, kuten salauksen, käyttö voi olla tehokas tietoresurssien luottamuksellisuuden, eheyden ja saatavuuden suojaamisessa niiden siirron aikana.
Lisäksi salaustekniikat voivat myös ylläpitää tietovarojen turvallisuutta niiden ollessa levossa.
Ohjaus 8.24 käsittelee sitä, kuinka organisaatiot voivat laatia ja toteuttaa sääntöjä ja menettelyjä salauksen käytölle.
Valvonnan tarkoitus 8.24
Control 8.24 antaa organisaatioille mahdollisuuden säilyttää tietoresurssien luottamuksellisuus, eheys, aitous ja saatavuus ottamalla salaustekniikat asianmukaisesti käyttöön ja ottamalla huomioon seuraavat kriteerit:
- Liiketoiminnan tarpeet.
- Tietoturvavaatimukset.
- Lakisääteiset, sopimukset ja organisatoriset vaatimukset kryptografian käytöstä.
Ohjauksen ominaisuudet 8.24
Ohjaus 8.24 on ennaltaehkäisevä valvonta, joka vaatii organisaatioita laatimaan säännöt ja menettelyt salaustekniikoiden tehokkaalle käytölle ja siten eliminoimaan ja minimoimaan tietovarallisuuden vaarantumisriskit niiden ollessa siirrossa tai lepotilassa.
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Suojella | #Suojattu määritys | #Suojaus |
| #Integrity | ||||
| #Saatavuus |
ISO 27001 helposti
81 %:n etumatka ensimmäisestä päivästä lähtien
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.
Omistusoikeus määräysvallassa 8.24
Kohdan 8.24 noudattaminen edellyttää erityisen salauskäytännön luomista ja toteuttamista, tehokkaan avaintenhallintaprosessin luomista ja salaustekniikan tyypin määrittämistä tietylle tietoresurssille määritetyn tiedon luokittelun tasolle.
Siksi tietoturvapäällikön tulisi olla vastuussa salausavainten käyttöä koskevien asianmukaisten sääntöjen ja menettelyjen laatimisesta.
Yleiset noudattamisohjeet
Ohjaus 8.24 luettelee seitsemän vaatimusta, joita organisaatioiden tulee noudattaa salaustekniikoita käyttäessään:
- Organisaatioiden tulee luoda ja ylläpitää aihekohtaista politiikkaa kryptografian käytöstä. Tämä käytäntö on välttämätön kryptografisten tekniikoiden hyödyn maksimoimiseksi ja vähentää salauksen käytöstä mahdollisesti aiheutuvia riskejä. On myös huomattava, että tämän politiikan tulisi kattaa yleiset tietojen suojaa koskevat periaatteet.
- Organisaatioiden tulee ottaa huomioon tietoresurssien herkkyys ja niille määritetty tiedon luokittelutaso päättäessään salausalgoritmin tyypistä, vahvuudesta ja laadusta.
- Organisaatioiden tulee ottaa käyttöön salaustekniikoita, kun tietoa siirretään mobiililaitteisiin tai tallennusvälinelaitteisiin tai kun tietoja tallennetaan näille laitteille.
- Organisaatioiden tulee käsitellä avainten hallintaan liittyviä kysymyksiä, mukaan lukien salausavainten luominen ja suojaaminen sekä salattujen tietojen palautussuunnitelma siinä tapauksessa, että avaimet katoavat tai vaarantuvat.
- Organisaatioiden tulee määritellä roolit ja vastuut seuraaville asioille:
- Salaustekniikoiden käyttöä koskevien sääntöjen laatiminen ja täytäntöönpano.
- Miten avaimia käsitellään, mukaan lukien kuinka ne luodaan.
- Salausalgoritmeja, salauksen vahvuutta ja salauksen käyttökäytäntöjä koskevien standardien käyttöönotto ja hyväksyminen koko organisaatiossa.
- Organisaation tulee selvittää, miten salatut tiedot voivat häiritä sisällön tarkastukseen liittyviä hallintatoimia, kuten haittaohjelmien havaitsemista.
Lisäksi Control 8.24 korostaa, että organisaatioiden tulee ottaa huomioon lait ja vaatimukset, jotka voivat rajoittaa salauksen käyttöä, mukaan lukien salatun tiedon rajat ylittävä siirto.
Organisaatioita kehotetaan myös ottamaan huomioon vastuu ja palvelujen jatkuvuus, kun ne tekevät palvelusopimuksia kolmansien osapuolten kanssa salauspalvelujen tarjoamisesta.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Täydentävä opas avainten hallintaan
Organisaatioiden tulee määritellä ja soveltaa suojattuja menettelyjä salausavainten luomiseen, tallentamiseen, hakemiseen ja tuhoamiseen.
Organisaatioiden tulisi erityisesti ottaa käyttöön vankka avainten hallintajärjestelmä, joka sisältää säännöt, prosessit ja standardit seuraavia asioita varten:
- Salausavaimien luominen eri järjestelmiin ja sovelluksiin.
- Julkisen avaimen varmenteiden myöntäminen ja hankinta.
- Avainten jakaminen aiotuille vastaanottajille, mukaan lukien avainten aktivointiprosessi.
- Avainten tallennus ja miten valtuutetut osapuolet pääsevät käsiksi avaimiin.
- Avainten vaihto.
- Vaarallisten avainten käsittely.
- Avainten peruuttaminen sen vuoksi, miksi ne ovat vaarantuneet tai kun valtuutetut henkilöt poistuvat organisaatiosta.
- Kadonneiden avainten palautus.
- Avainten varmuuskopiointi ja arkistointi.
- Avainten tuhoaminen.
- Pidä kirjaa kaikista kuhunkin avaimeen liittyvistä toiminnoista.
- Avainten aktivointi- ja deaktivointipäivämäärien määrittäminen.
- Vastaaminen laillisiin pyyntöihin päästä käsiksi avaimiin.
Viimeisenä mutta ei vähäisimpänä, nämä lisäohjeet varoittavat organisaatioita kolmesta erityisestä riskistä:
- Salaiset ja suojatut avaimet tulee suojata luvattomalta käytöltä.
- Salausavainten luomiseen tai tallentamiseen käytettävät laitteet on suojattava fyysisin turvatoimin.
- Organisaatioiden tulee säilyttää julkisten avainten aitous.
Mitkä ovat kryptografian edut?
Korostettuaan, että organisaatiot voivat varmistaa julkisten avainten aitouden menetelmillä, kuten julkisen avaimen hallintaprosesseilla, Control 8.24 selittää, kuinka salaus voi auttaa organisaatioita saavuttamaan neljä tietoturvatavoitetta:
- Luottamuksellisuus: Salaus suojaa ja ylläpitää tietojen luottamuksellisuutta sekä siirron aikana että lepotilassa.
- Rehellisyys ja aitous: Digitaaliset allekirjoitukset ja todennuskoodit voivat varmistaa toimitettujen tietojen aitouden ja eheyden.
- Kiistämättömyys: Kryptografiset menetelmät tarjoavat todisteita kaikista tapahtumista tai toiminnoista, kuten tiedon vastaanottamisesta.
- Authentication: Salausmenetelmien avulla organisaatiot voivat tarkistaa järjestelmien ja sovellusten käyttöoikeutta pyytävien käyttäjien henkilöllisyyden.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Muutokset ja erot standardista ISO 27002:2013
27002:2022/8.24 korvaa 27002:2013/(10.1.1. ja 10.1.2)
Vaikka molempien versioiden sisältö on lähes identtinen, on joitakin rakenteellisia muutoksia.
Vuoden 2013 versiossa käsiteltiin salauksen käyttöä kahdessa erillisessä valvonnassa, nimittäin 10.1.1. Ja 10.1.2, vuoden 2022 versio, yhdisti nämä kaksi yhteen Controliin, 8.24.
Uudet ISO 27002 -säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | UUSI | Uhan älykkyys |
| 5.23 | UUSI | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 8.9 | UUSI | Kokoonpanonhallinta |
| 8.10 | UUSI | Tietojen poistaminen |
| 8.11 | UUSI | Tietojen peittäminen |
| 8.12 | UUSI | Tietovuotojen esto |
| 8.16 | UUSI | Toimien seuranta |
| 8.23 | UUSI | Web-suodatus |
| 8.28 | UUSI | Turvallinen koodaus |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Miten ISMS.online auttaa
ISMS.Online on johtava ISO 27002 -hallintajärjestelmäohjelmisto, joka tukee ISO 27002 -standardin noudattamista ja auttaa yrityksiä yhdenmukaistamaan tietoturvapolitiikkansa ja -menettelynsä standardin kanssa.
Pilvipohjainen alusta tarjoaa täydellisen valikoiman työkaluja, jotka auttavat organisaatioita luomaan ISO 27002 -standardin mukaisen tietoturvan hallintajärjestelmän (ISMS).
Ota yhteyttä ja varaa esittely.
