ISO 27002:2022 – Kontroll 8.24 – Användning av kryptografi

Säkerställa säker informationshantering med kryptografi i ISO 27002:2022

När information överförs mellan nätverk och enheter kan cyberangripare använda olika tekniker för att stjäla känslig information under transport, manipulera innehållet i informationen, utge sig för att vara avsändaren/mottagaren för att få obehörig åtkomst till information eller avlyssna överföringen av information.

Till exempel kan cyberbrottslingar använda man-in-the-middle (MITM) attackteknik, avlyssna överföringen av data och imitera servern för att övertala avsändaren att avslöja hans/hennes inloggningsuppgifter till den falska servern. De kan sedan använda dessa referenser för att få tillgång till system och äventyra känslig information.

Användningen av kryptografi som kryptering kan vara effektiv för att skydda konfidentialitet, integritet och tillgänglighet för informationstillgångar när de är på väg.

Dessutom kan kryptografiska tekniker också upprätthålla säkerheten för informationstillgångar när de är i vila.

Kontroll 8.24 tar upp hur organisationer kan upprätta och implementera regler och procedurer för användning av kryptografi.

Syfte med kontroll 8.24

Kontroll 8.24 gör det möjligt för organisationer att upprätthålla konfidentialitet, integritet, äkthet och tillgänglighet för informationstillgångar genom att korrekt implementera kryptografiska tekniker och genom att ta hänsyn till följande kriterier:

• Företag behov.
• Krav på informationssäkerhet.
• Lagstadgade, avtalsmässiga och organisatoriska krav angående användningen av kryptografi.

Kontrollattribut 8.24

Kontroll 8.24 är en förebyggande typ av kontroll som kräver att organisationer upprättar regler och förfaranden för effektiv användning av kryptografiska tekniker och på så sätt eliminerar och minimerar riskerna för att informationstillgångar äventyras när de är i transit eller i vila.

Ägarskap på kontroll 8.24

Överensstämmelse med 8.24 kräver upprättande och implementering av en specifik policy för kryptografi, skapande av en effektiv nyckelhanteringsprocess och bestämning av vilken typ av kryptografisk teknik som är lämplig för den informationsklassificeringsnivå som tilldelats en viss informationstillgång.

Därför bör informationssäkerhetschefen ansvara för att fastställa lämpliga regler och förfaranden för användning av kryptografiska nycklar.

Allmän vägledning om efterlevnad

Kontroll 8.24 listar sju krav som organisationer bör följa när de använder kryptografiska tekniker:

1. Organisationer bör skapa och underhålla en ämnesspecifik policy för användningen av kryptografi. Denna policy är avgörande för att maximera fördelarna med kryptografiska tekniker och den minskar riskerna som kan uppstå vid användning av kryptografi. Det noteras också att denna policy bör omfatta allmänna principer för skydd av information.
2. Organisationer bör överväga känslighetsnivån för informationstillgångarna och den informationsklassificeringsnivå som tilldelats dem när de beslutar om typen, styrkan och kvaliteten på krypteringsalgoritmen.
3. Organisationer bör implementera kryptografiska tekniker när information överförs till mobila enheter eller till lagringsmedieutrustning eller när information lagras på dessa enheter.
4. Organisationer bör ta itu med frågor relaterade till nyckelhantering, inklusive skapande och skydd av kryptografiska nycklar och återställningsplanen för krypterad data i händelse av att nycklar går förlorade eller äventyras.
5. Organisationer bör ange roller och ansvar för följande:
• Upprättande och implementering av reglerna för hur kryptoteknikerna ska användas.
• Hur nycklar kommer att hanteras, inklusive hur de kommer att genereras.
6. Antagande och godkännande av standarder över hela organisationen för kryptografiska algoritmer, chifferstyrka och användningsmetoder för kryptografi.
7. Organisationen bör ta itu med hur krypterad information kan störa kontrollerna som medför innehållsinspektionen, såsom upptäckt av skadlig programvara.

Vidare framhåller Control 8.24 att organisationer bör ta hänsyn till lagar och krav som kan begränsa användningen av kryptografi, inklusive gränsöverskridande överföring av krypterad information.

Slutligen uppmanas organisationer också att ta itu med ansvar och kontinuitet för tjänster när de ingår serviceavtal med tredje part för tillhandahållande av kryptografiska tjänster.

Kompletterande vägledning om nyckelhantering

Organisationer bör definiera och tillämpa säkra procedurer för att skapa, lagra, hämta och förstöra kryptografiska nycklar.

I synnerhet bör organisationer införa ett robust nyckelhanteringssystem som inkluderar regler, processer och standarder för följande:

• Generering av kryptografiska nycklar för olika system och applikationer.
• Utfärdande och förvärv av certifikat med offentliga nyckel.
• Distribution av nycklar till avsedda mottagare, inklusive processen för nyckelaktivering.
• Förvaring av nycklar och hur behöriga parter kan komma åt nycklar.
• Byte av nycklar.
• Hantering av komprometterade nycklar.
• Återkallelse av nycklar för varför de äventyras eller när behöriga personer lämnar en organisation.
• Återställning av förlorade nycklar.
• Nyckelbackup och arkivering.
• Förstör nycklar.
• Föra en logg över alla aktiviteter relaterade till varje nyckel.
• Fastställande av aktiverings- och deaktiveringsdatum för nycklar.
• Svara på juridiska förfrågningar om att få tillgång till nycklar.

Sist men inte minst varnar denna kompletterande vägledning organisationer mot tre särskilda risker:

• Hemliga och skyddade nycklar bör skyddas mot obehörig användning.
• Utrustning som används för att skapa eller lagra krypteringsnycklar bör skyddas med fysiska säkerhetsåtgärder.
• Organisationer bör bibehålla äktheten för offentliga nycklar.

Vilka är fördelarna med kryptografi?

Efter att ha betonat att organisationer kan säkerställa äktheten hos offentliga nycklar med metoder som hantering av offentliga nycklar, förklarar Control 8.24 hur kryptografi kan hjälpa organisationer att uppnå fyra informationssäkerhetsmål:

1. Sekretess: Kryptografi skyddar och upprätthåller konfidentialitet för data både under överföring och vila.
2. Integritet och äkthet: Digitala signaturer och autentiseringskoder kan säkerställa autenticiteten och integriteten hos den information som kommuniceras.
3. Icke förkastande: Kryptografiska metoder ger bevis på alla händelser eller åtgärder som utförts såsom mottagande av information.
4. Autentisering: Kryptografiska metoder gör det möjligt för organisationer att verifiera identiteten på användare som begär åtkomst till system och applikationer.

Ändringar och skillnader från ISO 27002:2013

27002:2022/8.24 ersätt 27002:2013/(10.1.1. Och 10.1.2)

Även om innehållet i båda versionerna är nästan identiskt, finns det några strukturella förändringar.

Medan 2013 års version behandlade användningen av kryptografi under två separata kontroller, nämligen 10.1.1. Och 10.1.2, 2022-versionen kombinerade dessa två under en kontroll, 8.24.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

ISMS.Online är den ledande mjukvaran för ledningssystem för ISO 27002 som stöder överensstämmelse med ISO 27002 och hjälper företag att anpassa sina säkerhetspolicyer och rutiner till standarden.

Den molnbaserade plattformen tillhandahåller en komplett uppsättning verktyg för att hjälpa organisationer att sätta upp ett ledningssystem för informationssäkerhet (ISMS) enligt ISO 27002.

Hör av dig och boka en demo.