När information överförs mellan nätverk och enheter kan cyberangripare använda olika tekniker för att stjäla känslig information under transport, manipulera innehållet i informationen, utge sig för att vara avsändaren/mottagaren för att få obehörig åtkomst till information eller avlyssna överföringen av information.
Till exempel kan cyberbrottslingar använda man-in-the-middle (MITM) attackteknik, avlyssna överföringen av data och imitera servern för att övertala avsändaren att avslöja hans/hennes inloggningsuppgifter till den falska servern. De kan sedan använda dessa referenser för att få tillgång till system och äventyra känslig information.
Användningen av kryptografi som kryptering kan vara effektiv för att skydda konfidentialitet, integritet och tillgänglighet för informationstillgångar när de är på väg.
Dessutom kan kryptografiska tekniker också upprätthålla säkerheten för informationstillgångar när de är i vila.
Kontroll 8.24 tar upp hur organisationer kan upprätta och implementera regler och procedurer för användning av kryptografi.
Kontroll 8.24 gör det möjligt för organisationer att upprätthålla konfidentialitet, integritet, äkthet och tillgänglighet för informationstillgångar genom att korrekt implementera kryptografiska tekniker och genom att ta hänsyn till följande kriterier:
Kontroll 8.24 är en förebyggande typ av kontroll som kräver att organisationer upprättar regler och förfaranden för effektiv användning av kryptografiska tekniker och på så sätt eliminerar och minimerar riskerna för att informationstillgångar äventyras när de är i transit eller i vila.
Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
---|---|---|---|---|
#Förebyggande | #Sekretess #Integritet #Tillgänglighet | #Skydda | #Säker konfiguration | #Skydd |
Överensstämmelse med 8.24 kräver upprättande och implementering av en specifik policy för kryptografi, skapande av en effektiv nyckelhanteringsprocess och bestämning av vilken typ av kryptografisk teknik som är lämplig för den informationsklassificeringsnivå som tilldelats en viss informationstillgång.
Därför bör informationssäkerhetschefen ansvara för att fastställa lämpliga regler och förfaranden för användning av kryptografiska nycklar.
Kontroll 8.24 listar sju krav som organisationer bör följa när de använder kryptografiska tekniker:
Vidare framhåller Control 8.24 att organisationer bör ta hänsyn till lagar och krav som kan begränsa användningen av kryptografi, inklusive gränsöverskridande överföring av krypterad information.
Slutligen uppmanas organisationer också att ta itu med ansvar och kontinuitet för tjänster när de ingår serviceavtal med tredje part för tillhandahållande av kryptografiska tjänster.
Organisationer bör definiera och tillämpa säkra procedurer för att skapa, lagra, hämta och förstöra kryptografiska nycklar.
I synnerhet bör organisationer införa ett robust nyckelhanteringssystem som inkluderar regler, processer och standarder för följande:
Sist men inte minst varnar denna kompletterande vägledning organisationer mot tre särskilda risker:
Vi ger dig ett försprång på 81 %
från det ögonblick du loggar in
Boka din demo
Efter att ha betonat att organisationer kan säkerställa äktheten hos offentliga nycklar med metoder som hantering av offentliga nycklar, förklarar Control 8.24 hur kryptografi kan hjälpa organisationer att uppnå fyra informationssäkerhetsmål:
27002:2022/8.24 ersätt 27002:2013/(10.1.1. Och 10.1.2)
Även om innehållet i båda versionerna är nästan identiskt, finns det några strukturella förändringar.
Medan 2013 års version behandlade användningen av kryptografi under två separata kontroller, nämligen 10.1.1. Och 10.1.2, 2022-versionen kombinerade dessa två under en kontroll, 8.24.
ISMS.Online är den ledande mjukvaran för ledningssystem för ISO 27002 som stöder överensstämmelse med ISO 27002 och hjälper företag att anpassa sina säkerhetspolicyer och rutiner till standarden.
Den molnbaserade plattformen tillhandahåller en komplett uppsättning verktyg för att hjälpa organisationer att sätta upp ett ledningssystem för informationssäkerhet (ISMS) enligt ISO 27002.
Hör av dig och boka en demo.
Boka en skräddarsydd hands-on session
utifrån dina behov och mål
Boka din demo
ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
---|---|---|
5.7 | Nya | Hot intelligens |
5.23 | Nya | Informationssäkerhet för användning av molntjänster |
5.30 | Nya | ICT-beredskap för kontinuitet i verksamheten |
7.4 | Nya | Fysisk säkerhetsövervakning |
8.9 | Nya | Konfigurationshantering |
8.10 | Nya | Radering av information |
8.11 | Nya | Datamaskering |
8.12 | Nya | Förebyggande av dataläckage |
8.16 | Nya | Övervakningsaktiviteter |
8.23 | Nya | Webbfiltrering |
8.28 | Nya | Säker kodning |
ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
---|---|---|
6.1 | 07.1.1 | Screening |
6.2 | 07.1.2 | Anställningsvillkor |
6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
6.4 | 07.2.3 | Disciplinär process |
6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
6.7 | 06.2.2 | Fjärrbearbetning |
6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
---|---|---|
7.1 | 11.1.1 | Fysiska säkerhetsområden |
7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
7.4 | Nya | Fysisk säkerhetsövervakning |
7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
7.6 | 11.1.5 | Arbeta i säkra områden |
7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
7.8 | 11.2.1 | Utrustningsplacering och skydd |
7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
7.11 | 11.2.2 | Stöd till verktyg |
7.12 | 11.2.3 | Kabelsäkerhet |
7.13 | 11.2.4 | Utrustningsunderhåll |
7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |