ISO 27002:2022 – Valvonta 8.24 – Kryptografian käyttö

Turvallisen tiedonkäsittelyn varmistaminen kryptografialla ISO 27002:2022:ssa

Kun tietoja siirretään verkkojen ja laitteiden välillä, kyberhyökkääjät voivat käyttää erilaisia ​​tekniikoita varastaakseen arkaluontoisia tietoja siirron aikana, peukaloidakseen tietojen sisältöä, esiintyä lähettäjänä/vastaanottajana saadakseen luvattoman pääsyn tietoihin tai siepatakseen tiedon siirron.

Verkkorikolliset voivat esimerkiksi käyttää man-in-the-middle (MITM) -hyökkäystekniikkaa, siepata tiedonsiirron ja esiintyä palvelimena taivuttaakseen lähettäjän paljastamaan kirjautumistietonsa väärälle palvelimelle. He voivat sitten käyttää näitä valtuustietoja päästäkseen järjestelmiin ja vaarantamaan arkaluonteisia tietoja.

Salauksen, kuten salauksen, käyttö voi olla tehokas tietoresurssien luottamuksellisuuden, eheyden ja saatavuuden suojaamisessa niiden siirron aikana.

Lisäksi salaustekniikat voivat myös ylläpitää tietovarojen turvallisuutta niiden ollessa levossa.

Ohjaus 8.24 käsittelee sitä, kuinka organisaatiot voivat laatia ja toteuttaa sääntöjä ja menettelyjä salauksen käytölle.

Valvonnan tarkoitus 8.24

Control 8.24 antaa organisaatioille mahdollisuuden säilyttää tietoresurssien luottamuksellisuus, eheys, aitous ja saatavuus ottamalla salaustekniikat asianmukaisesti käyttöön ja ottamalla huomioon seuraavat kriteerit:

• Liiketoiminnan tarpeet.
• Tietoturvavaatimukset.
• Lakisääteiset, sopimukset ja organisatoriset vaatimukset kryptografian käytöstä.

Ohjauksen ominaisuudet 8.24

Ohjaus 8.24 on ennaltaehkäisevä valvonta, joka vaatii organisaatioita laatimaan säännöt ja menettelyt salaustekniikoiden tehokkaalle käytölle ja siten eliminoimaan ja minimoimaan tietovarallisuuden vaarantumisriskit niiden ollessa siirrossa tai lepotilassa.

Omistusoikeus määräysvallassa 8.24

Kohdan 8.24 noudattaminen edellyttää erityisen salauskäytännön luomista ja toteuttamista, tehokkaan avaintenhallintaprosessin luomista ja salaustekniikan tyypin määrittämistä tietylle tietoresurssille määritetyn tiedon luokittelun tasolle.

Siksi tietoturvapäällikön tulisi olla vastuussa salausavainten käyttöä koskevien asianmukaisten sääntöjen ja menettelyjen laatimisesta.

Yleiset noudattamisohjeet

Ohjaus 8.24 luettelee seitsemän vaatimusta, joita organisaatioiden tulee noudattaa salaustekniikoita käyttäessään:

1. Organisaatioiden tulee luoda ja ylläpitää aihekohtaista politiikkaa kryptografian käytöstä. Tämä käytäntö on välttämätön kryptografisten tekniikoiden hyödyn maksimoimiseksi ja vähentää salauksen käytöstä mahdollisesti aiheutuvia riskejä. On myös huomattava, että tämän politiikan tulisi kattaa yleiset tietojen suojaa koskevat periaatteet.
2. Organisaatioiden tulee ottaa huomioon tietoresurssien herkkyys ja niille määritetty tiedon luokittelutaso päättäessään salausalgoritmin tyypistä, vahvuudesta ja laadusta.
3. Organisaatioiden tulee ottaa käyttöön salaustekniikoita, kun tietoa siirretään mobiililaitteisiin tai tallennusvälinelaitteisiin tai kun tietoja tallennetaan näille laitteille.
4. Organisaatioiden tulee käsitellä avainten hallintaan liittyviä kysymyksiä, mukaan lukien salausavainten luominen ja suojaaminen sekä salattujen tietojen palautussuunnitelma siinä tapauksessa, että avaimet katoavat tai vaarantuvat.
5. Organisaatioiden tulee määritellä roolit ja vastuut seuraaville asioille:
• Salaustekniikoiden käyttöä koskevien sääntöjen laatiminen ja täytäntöönpano.
• Miten avaimia käsitellään, mukaan lukien kuinka ne luodaan.
6. Salausalgoritmeja, salauksen vahvuutta ja salauksen käyttökäytäntöjä koskevien standardien käyttöönotto ja hyväksyminen koko organisaatiossa.
7. Organisaation tulee selvittää, miten salatut tiedot voivat häiritä sisällön tarkastukseen liittyviä hallintatoimia, kuten haittaohjelmien havaitsemista.

Lisäksi Control 8.24 korostaa, että organisaatioiden tulee ottaa huomioon lait ja vaatimukset, jotka voivat rajoittaa salauksen käyttöä, mukaan lukien salatun tiedon rajat ylittävä siirto.

Organisaatioita kehotetaan myös ottamaan huomioon vastuu ja palvelujen jatkuvuus, kun ne tekevät palvelusopimuksia kolmansien osapuolten kanssa salauspalvelujen tarjoamisesta.

Täydentävä opas avainten hallintaan

Organisaatioiden tulee määritellä ja soveltaa suojattuja menettelyjä salausavainten luomiseen, tallentamiseen, hakemiseen ja tuhoamiseen.

Organisaatioiden tulisi erityisesti ottaa käyttöön vankka avainten hallintajärjestelmä, joka sisältää säännöt, prosessit ja standardit seuraavia asioita varten:

• Salausavaimien luominen eri järjestelmiin ja sovelluksiin.
• Julkisen avaimen varmenteiden myöntäminen ja hankinta.
• Avainten jakaminen aiotuille vastaanottajille, mukaan lukien avainten aktivointiprosessi.
• Avainten tallennus ja miten valtuutetut osapuolet pääsevät käsiksi avaimiin.
• Avainten vaihto.
• Vaarallisten avainten käsittely.
• Avainten peruuttaminen sen vuoksi, miksi ne ovat vaarantuneet tai kun valtuutetut henkilöt poistuvat organisaatiosta.
• Kadonneiden avainten palautus.
• Avainten varmuuskopiointi ja arkistointi.
• Avainten tuhoaminen.
• Pidä kirjaa kaikista kuhunkin avaimeen liittyvistä toiminnoista.
• Avainten aktivointi- ja deaktivointipäivämäärien määrittäminen.
• Vastaaminen laillisiin pyyntöihin päästä käsiksi avaimiin.

Viimeisenä mutta ei vähäisimpänä, nämä lisäohjeet varoittavat organisaatioita kolmesta erityisestä riskistä:

• Salaiset ja suojatut avaimet tulee suojata luvattomalta käytöltä.
• Salausavainten luomiseen tai tallentamiseen käytettävät laitteet on suojattava fyysisin turvatoimin.
• Organisaatioiden tulee säilyttää julkisten avainten aitous.

Mitkä ovat kryptografian edut?

Korostettuaan, että organisaatiot voivat varmistaa julkisten avainten aitouden menetelmillä, kuten julkisen avaimen hallintaprosesseilla, Control 8.24 selittää, kuinka salaus voi auttaa organisaatioita saavuttamaan neljä tietoturvatavoitetta:

1. Luottamuksellisuus: Salaus suojaa ja ylläpitää tietojen luottamuksellisuutta sekä siirron aikana että lepotilassa.
2. Rehellisyys ja aitous: Digitaaliset allekirjoitukset ja todennuskoodit voivat varmistaa toimitettujen tietojen aitouden ja eheyden.
3. Kiistämättömyys: Kryptografiset menetelmät tarjoavat todisteita kaikista tapahtumista tai toiminnoista, kuten tiedon vastaanottamisesta.
4. Authentication: Salausmenetelmien avulla organisaatiot voivat tarkistaa järjestelmien ja sovellusten käyttöoikeutta pyytävien käyttäjien henkilöllisyyden.

Muutokset ja erot standardista ISO 27002:2013

27002:2022/8.24 korvaa 27002:2013/(10.1.1. ja 10.1.2)

Vaikka molempien versioiden sisältö on lähes identtinen, on joitakin rakenteellisia muutoksia.

Vuoden 2013 versiossa käsiteltiin salauksen käyttöä kahdessa erillisessä valvonnassa, nimittäin 10.1.1. Ja 10.1.2, vuoden 2022 versio, yhdisti nämä kaksi yhteen Controliin, 8.24.

Uudet ISO 27002 -säätimet

Miten ISMS.online auttaa

ISMS.Online on johtava ISO 27002 -hallintajärjestelmäohjelmisto, joka tukee ISO 27002 -standardin noudattamista ja auttaa yrityksiä yhdenmukaistamaan tietoturvapolitiikkansa ja -menettelynsä standardin kanssa.

Pilvipohjainen alusta tarjoaa täydellisen valikoiman työkaluja, jotka auttavat organisaatioita luomaan ISO 27002 -standardin mukaisen tietoturvan hallintajärjestelmän (ISMS).

Ota yhteyttä ja varaa esittely.