Zorgen voor veilige informatieverwerking met cryptografie in ISO 27002:2022
Wanneer informatie tussen netwerken en apparaten wordt verzonden, kunnen cyberaanvallers verschillende technieken gebruiken om tijdens de overdracht gevoelige informatie te stelen, met de inhoud van de informatie te knoeien, zich voor te doen als de afzender/ontvanger om ongeoorloofde toegang tot informatie te verkrijgen of de overdracht van informatie te onderscheppen.
Cybercriminelen kunnen bijvoorbeeld de man-in-the-middle-aanvalstechniek (MITM) gebruiken, de overdracht van gegevens onderscheppen en zich voordoen als de server om de afzender te overtuigen zijn/haar inloggegevens bekend te maken aan de valse server. Ze kunnen deze inloggegevens vervolgens gebruiken om toegang te krijgen tot systemen en gevoelige informatie in gevaar te brengen.
Het gebruik van cryptografie, zoals encryptie, kan effectief zijn om de vertrouwelijkheid, integriteit en beschikbaarheid van informatiemiddelen te beschermen wanneer deze onderweg zijn.
Bovendien kunnen cryptografische technieken ook de veiligheid van informatiemiddelen handhaven wanneer deze in rust zijn.
Controle 8.24 behandelt hoe organisaties regels en procedures voor het gebruik van cryptografie kunnen vaststellen en implementeren.
Doel van de controle 8.24
Controle 8.24 stelt organisaties in staat de vertrouwelijkheid, integriteit, authenticiteit en beschikbaarheid van informatiemiddelen te behouden door cryptografische technieken op de juiste manier te implementeren en door rekening te houden met de volgende criteria:
- Bedrijfs benodigdheden.
- Vereisten voor informatiebeveiliging.
- Wettelijke, contractuele en organisatorische vereisten met betrekking tot het gebruik van cryptografie.
Kenmerken van controle 8.24
Controle 8.24 is een preventieve vorm van controle waarbij organisaties regels en procedures moeten vaststellen voor het effectieve gebruik van cryptografische technieken en zo de risico's voor het compromitteren van informatiemiddelen tijdens het transport of in rust moeten elimineren en minimaliseren.
| controle Type | Eigenschappen voor informatiebeveiliging | Cyberbeveiligingsconcepten | Operationele mogelijkheden | Beveiligingsdomeinen |
|---|---|---|---|---|
| #Preventief | #Vertrouwelijkheid | #Beschermen | #Veilige configuratie | #Bescherming |
| #Integriteit | ||||
| #Beschikbaarheid |
ISO 27001 eenvoudig gemaakt
Een voorsprong van 81% vanaf dag één
Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.
Eigendom van zeggenschap 8.24
Naleving van 8.24 vereist het vaststellen en implementeren van een specifiek beleid inzake cryptografie, het creëren van een effectief sleutelbeheerproces en het bepalen van het type cryptografische techniek dat geschikt is voor het niveau van informatieclassificatie dat aan een bepaald informatiemiddel is toegewezen.
Daarom moet de Chief Information Security Officer verantwoordelijk zijn voor het vaststellen van passende regels en procedures voor het gebruik van cryptografische sleutels.
Algemene richtlijnen voor naleving
Controle 8.24 somt zeven eisen op waaraan organisaties zich moeten houden bij het gebruik van cryptografische technieken:
- Organisaties moeten een onderwerpspecifiek beleid inzake het gebruik van cryptografie opstellen en onderhouden. Dit beleid is essentieel voor het maximaliseren van de voordelen van cryptografische technieken en vermindert de risico's die kunnen voortvloeien uit het gebruik van cryptografie. Er wordt ook opgemerkt dat dit beleid de algemene beginselen inzake de bescherming van informatie moet omvatten.
- Organisaties moeten rekening houden met het gevoeligheidsniveau van de informatiemiddelen en het daaraan toegewezen informatieclassificatieniveau wanneer zij beslissen over het type, de sterkte en de kwaliteit van het versleutelingsalgoritme.
- Organisaties moeten cryptografische technieken implementeren wanneer informatie wordt overgedragen naar mobiele apparaten of opslagmedia-apparatuur of wanneer informatie op deze apparaten wordt opgeslagen.
- Organisaties moeten problemen aanpakken die verband houden met sleutelbeheer, inclusief het aanmaken en beschermen van cryptografische sleutels en het herstelplan voor versleutelde gegevens in het geval dat sleutels verloren gaan of gecompromitteerd worden.
- Organisaties moeten de rollen en verantwoordelijkheden voor het volgende vastleggen:
- Vaststelling en implementatie van de regels over hoe de cryptografische technieken zullen worden gebruikt.
- Hoe sleutels worden verwerkt, inclusief hoe ze worden gegenereerd.
- De adoptie en goedkeuring van standaarden binnen de hele organisatie voor de cryptografische algoritmen, coderingssterkte en gebruikspraktijken voor cryptografie.
- Organisaties moeten onderzoeken hoe versleutelde informatie de controles die de inhoudsinspectie met zich meebrengen, zoals malwaredetectie, kan verstoren.
Bovendien benadrukt Control 8.24 dat organisaties rekening moeten houden met wetten en vereisten die het gebruik van cryptografie kunnen beperken, inclusief de grensoverschrijdende overdracht van gecodeerde informatie.
Ten slotte wordt organisaties ook geadviseerd om aansprakelijkheid en continuïteit van dienstverlening aan te pakken wanneer zij dienstverleningsovereenkomsten aangaan met derde partijen voor het leveren van cryptografische diensten.
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
Aanvullend richtsnoer voor sleutelbeheer
Organisaties moeten veilige procedures definiëren en toepassen voor het aanmaken, opslaan, ophalen en vernietigen van cryptografische sleutels.
In het bijzonder moeten organisaties een robuust sleutelbeheersysteem opzetten dat regels, processen en standaarden omvat voor het volgende:
- Generatie van cryptografische sleutels voor verschillende systemen en toepassingen.
- Uitgifte en verwerving van certificaten met een publieke sleutel.
- Distributie van sleutels aan de beoogde ontvangers, inclusief het proces van sleutelactivering.
- Opslag van sleutels en hoe geautoriseerde partijen toegang kunnen krijgen tot sleutels.
- Wisselen van sleutels.
- Omgaan met gecompromitteerde sleutels.
- Intrekking van sleutels vanwege de reden waarom deze gecompromitteerd zijn of wanneer bevoegde personen een organisatie verlaten.
- Herstel van verloren sleutels.
- Sleutelback-up en archivering.
- Sleutels vernietigen.
- Een logboek bijhouden van alle activiteiten met betrekking tot elke sleutel.
- Vaststellen van activatie- en deactiveringsdata voor sleutels.
- Reageren op juridische verzoeken om toegang tot sleutels.
Last but not least waarschuwt deze aanvullende leidraad organisaties voor drie specifieke risico’s:
- Geheime en beveiligde sleutels moeten worden beschermd tegen ongeoorloofd gebruik.
- Apparatuur die wordt gebruikt om encryptiesleutels aan te maken of op te slaan, moet worden beschermd via fysieke beveiligingsmaatregelen.
- Organisaties moeten de authenticiteit van publieke sleutels behouden.
Wat zijn de voordelen van cryptografie?
Na te hebben benadrukt dat organisaties de authenticiteit van publieke sleutels kunnen garanderen door middel van methoden zoals beheerprocessen voor publieke sleutels, legt Control 8.24 uit hoe cryptografie organisaties kan helpen vier informatiebeveiligingsdoelstellingen te bereiken:
- Vertrouwelijkheid: Cryptografie beschermt en onderhoudt de vertrouwelijkheid van gegevens, zowel tijdens verzending als in rust.
- Integriteit en authenticiteit: Digitale handtekeningen en authenticatiecodes kunnen de authenticiteit en integriteit van de gecommuniceerde informatie garanderen.
- Niet-afwijzing: Cryptografische methoden leveren bewijs van alle uitgevoerde gebeurtenissen of acties, zoals het ontvangen van informatie.
- authenticatie: Cryptografische methoden stellen organisaties in staat de identiteit te verifiëren van gebruikers die toegang vragen tot systemen en applicaties.
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Wijzigingen en verschillen ten opzichte van ISO 27002:2013
27002:2022/8.24 vervangt 27002:2013/(10.1.1. En 10.1.2)
Hoewel de inhoud van beide versies vrijwel identiek is, zijn er enkele structurele wijzigingen.
Terwijl de versie van 2013 het gebruik van cryptografie onder twee afzonderlijke controles behandelde, namelijk 10.1.1. En 10.1.2, de versie uit 2022 combineerde deze twee onder één Controle, 8.24.
Nieuwe ISO 27002-controles
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 5.7 | NIEUW | Bedreigingsintelligentie |
| 5.23 | NIEUW | Informatiebeveiliging voor gebruik van clouddiensten |
| 5.30 | NIEUW | ICT gereed voor bedrijfscontinuïteit |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 8.9 | NIEUW | Configuratiebeheer |
| 8.10 | NIEUW | Verwijdering van informatie |
| 8.11 | NIEUW | Gegevensmaskering |
| 8.12 | NIEUW | Preventie van gegevenslekken |
| 8.16 | NIEUW | Monitoring activiteiten |
| 8.23 | NIEUW | Web filtering |
| 8.28 | NIEUW | Veilige codering |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 6.1 | 07.1.1 | Doorlichting |
| 6.2 | 07.1.2 | Arbeidsvoorwaarden |
| 6.3 | 07.2.2 | Bewustzijn, opleiding en training op het gebied van informatiebeveiliging |
| 6.4 | 07.2.3 | Disciplinair proces |
| 6.5 | 07.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| 6.6 | 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| 6.7 | 06.2.2 | Werken op afstand |
| 6.8 | 16.1.2, 16.1.3 | Rapportage van informatiebeveiligingsgebeurtenissen |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 7.1 | 11.1.1 | Fysieke veiligheidsperimeters |
| 7.2 | 11.1.2, 11.1.6 | Fysieke toegang |
| 7.3 | 11.1.3 | Beveiligen van kantoren, kamers en faciliteiten |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 7.5 | 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| 7.6 | 11.1.5 | Werken in beveiligde ruimtes |
| 7.7 | 11.2.9 | Overzichtelijk bureau en helder scherm |
| 7.8 | 11.2.1 | Locatie en bescherming van apparatuur |
| 7.9 | 11.2.6 | Beveiliging van activa buiten het terrein |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Opslag media |
| 7.11 | 11.2.2 | Ondersteunende nutsvoorzieningen |
| 7.12 | 11.2.3 | Beveiliging van de bekabeling |
| 7.13 | 11.2.4 | Apparatuuronderhoud |
| 7.14 | 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
Hoe ISMS.online helpt
ISMS.Online is de toonaangevende ISO 27002-managementsysteemsoftware die de naleving van ISO 27002 ondersteunt en bedrijven helpt hun beveiligingsbeleid en -procedures op één lijn te brengen met de norm.
Het cloudgebaseerde platform biedt een complete set tools om organisaties te helpen bij het opzetten van een informatiebeveiligingsmanagementsysteem (ISMS) volgens ISO 27002.
Neem contact op en boek een demo.
