ISO 27002:2022, valvonta 8.24 – kryptografian käyttö

Omistusoikeus määräysvallassa 8.24

Kohdan 8.24 noudattaminen edellyttää erityisen salauskäytännön luomista ja toteuttamista, tehokkaan avaintenhallintaprosessin luomista ja salaustekniikan tyypin määrittämistä tietylle tietoresurssille määritetyn tiedon luokittelun tasolle.

Siksi tietoturvapäällikön tulisi olla vastuussa salausavainten käyttöä koskevien asianmukaisten sääntöjen ja menettelyjen laatimisesta.

Yleiset noudattamisohjeet

Ohjaus 8.24 luettelee seitsemän vaatimusta, joita organisaatioiden tulee noudattaa salaustekniikoita käyttäessään:

1. Organisaatioiden tulee luoda ja ylläpitää aihekohtaista politiikkaa kryptografian käytöstä. Tämä käytäntö on välttämätön kryptografisten tekniikoiden hyödyn maksimoimiseksi ja vähentää salauksen käytöstä mahdollisesti aiheutuvia riskejä. On myös huomattava, että tämän politiikan tulisi kattaa yleiset tietojen suojaa koskevat periaatteet.
2. Organisaatioiden tulee ottaa huomioon tietoresurssien herkkyys ja niille määritetty tiedon luokittelutaso päättäessään salausalgoritmin tyypistä, vahvuudesta ja laadusta.
3. Organisaatioiden tulee ottaa käyttöön salaustekniikoita, kun tietoa siirretään mobiililaitteisiin tai tallennusvälinelaitteisiin tai kun tietoja tallennetaan näille laitteille.
4. Organisaatioiden tulee käsitellä avainten hallintaan liittyviä kysymyksiä, mukaan lukien salausavainten luominen ja suojaaminen sekä salattujen tietojen palautussuunnitelma siinä tapauksessa, että avaimet katoavat tai vaarantuvat.
5. Organisaatioiden tulee määritellä roolit ja vastuut seuraaville asioille:
• Salaustekniikoiden käyttöä koskevien sääntöjen laatiminen ja täytäntöönpano.
• Miten avaimia käsitellään, mukaan lukien kuinka ne luodaan.
6. Salausalgoritmeja, salauksen vahvuutta ja salauksen käyttökäytäntöjä koskevien standardien käyttöönotto ja hyväksyminen koko organisaatiossa.
7. Organisaation tulee selvittää, miten salatut tiedot voivat häiritä sisällön tarkastukseen liittyviä hallintatoimia, kuten haittaohjelmien havaitsemista.

Lisäksi Control 8.24 korostaa, että organisaatioiden tulee ottaa huomioon lait ja vaatimukset, jotka voivat rajoittaa salauksen käyttöä, mukaan lukien salatun tiedon rajat ylittävä siirto.

Organisaatioita kehotetaan myös ottamaan huomioon vastuu ja palvelujen jatkuvuus, kun ne tekevät palvelusopimuksia kolmansien osapuolten kanssa salauspalvelujen tarjoamisesta.

Täydentävä opas avainten hallintaan

Organisaatioiden tulee määritellä ja soveltaa suojattuja menettelyjä salausavainten luomiseen, tallentamiseen, hakemiseen ja tuhoamiseen.

Organisaatioiden tulisi erityisesti ottaa käyttöön vankka avainten hallintajärjestelmä, joka sisältää säännöt, prosessit ja standardit seuraavia asioita varten:

• Salausavaimien luominen eri järjestelmiin ja sovelluksiin.
• Julkisen avaimen varmenteiden myöntäminen ja hankinta.
• Avainten jakaminen aiotuille vastaanottajille, mukaan lukien avainten aktivointiprosessi.
• Avainten tallennus ja miten valtuutetut osapuolet pääsevät käsiksi avaimiin.
• Avainten vaihto.
• Vaarallisten avainten käsittely.
• Avainten peruuttaminen sen vuoksi, miksi ne ovat vaarantuneet tai kun valtuutetut henkilöt poistuvat organisaatiosta.
• Kadonneiden avainten palautus.
• Avainten varmuuskopiointi ja arkistointi.
• Avainten tuhoaminen.
• Pidä kirjaa kaikista kuhunkin avaimeen liittyvistä toiminnoista.
• Avainten aktivointi- ja deaktivointipäivämäärien määrittäminen.
• Vastaaminen laillisiin pyyntöihin päästä käsiksi avaimiin.

Viimeisenä mutta ei vähäisimpänä, nämä lisäohjeet varoittavat organisaatioita kolmesta erityisestä riskistä:

• Salaiset ja suojatut avaimet tulee suojata luvattomalta käytöltä.
• Salausavainten luomiseen tai tallentamiseen käytettävät laitteet on suojattava fyysisin turvatoimin.
• Organisaatioiden tulee säilyttää julkisten avainten aitous.

Mitkä ovat kryptografian edut?

Korostettuaan, että organisaatiot voivat varmistaa julkisten avainten aitouden menetelmillä, kuten julkisen avaimen hallintaprosesseilla, Control 8.24 selittää, kuinka salaus voi auttaa organisaatioita saavuttamaan neljä tietoturvatavoitetta:

1. Luottamuksellisuus: Salaus suojaa ja ylläpitää tietojen luottamuksellisuutta sekä siirron aikana että lepotilassa.
2. Rehellisyys ja aitous: Digitaaliset allekirjoitukset ja todennuskoodit voivat varmistaa toimitettujen tietojen aitouden ja eheyden.
3. Kiistämättömyys: Kryptografiset menetelmät tarjoavat todisteita kaikista tapahtumista tai toiminnoista, kuten tiedon vastaanottamisesta.
4. Authentication: Salausmenetelmien avulla organisaatiot voivat tarkistaa järjestelmien ja sovellusten käyttöoikeutta pyytävien käyttäjien henkilöllisyyden.

Muutokset ja erot standardista ISO 27002:2013

27002:2022/8.24 korvaa 27002:2013/(10.1.1. ja 10.1.2)

Vaikka molempien versioiden sisältö on lähes identtinen, on joitakin rakenteellisia muutoksia.

Vuoden 2013 versiossa käsiteltiin salauksen käyttöä kahdessa erillisessä valvonnassa, nimittäin 10.1.1. Ja 10.1.2, vuoden 2022 versio, yhdisti nämä kaksi yhteen Controliin, 8.24.

Miten ISMS.online auttaa

ISMS.Online on johtava ISO 27002 -hallintajärjestelmäohjelmisto, joka tukee ISO 27002 -standardin noudattamista ja auttaa yrityksiä yhdenmukaistamaan tietoturvapolitiikkansa ja -menettelynsä standardin kanssa.

Pilvipohjainen alusta tarjoaa täydellisen valikoiman työkaluja, jotka auttavat organisaatioita luomaan ISO 27002 -standardin mukaisen tietoturvan hallintajärjestelmän (ISMS).

Ota yhteyttä ja varaa esittely.