ISO 27002:2022, Controle 8.24 – Gebruik van cryptografie

Eigendom van zeggenschap 8.24

Naleving van 8.24 vereist het vaststellen en implementeren van een specifiek beleid inzake cryptografie, het creëren van een effectief sleutelbeheerproces en het bepalen van het type cryptografische techniek dat geschikt is voor het niveau van informatieclassificatie dat aan een bepaald informatiemiddel is toegewezen.

Daarom moet de Chief Information Security Officer verantwoordelijk zijn voor het vaststellen van passende regels en procedures voor het gebruik van cryptografische sleutels.

Algemene richtlijnen voor naleving

Controle 8.24 somt zeven eisen op waaraan organisaties zich moeten houden bij het gebruik van cryptografische technieken:

1. Organisaties moeten een onderwerpspecifiek beleid inzake het gebruik van cryptografie opstellen en onderhouden. Dit beleid is essentieel voor het maximaliseren van de voordelen van cryptografische technieken en vermindert de risico's die kunnen voortvloeien uit het gebruik van cryptografie. Er wordt ook opgemerkt dat dit beleid de algemene beginselen inzake de bescherming van informatie moet omvatten.
2. Organisaties moeten rekening houden met het gevoeligheidsniveau van de informatiemiddelen en het daaraan toegewezen informatieclassificatieniveau wanneer zij beslissen over het type, de sterkte en de kwaliteit van het versleutelingsalgoritme.
3. Organisaties moeten cryptografische technieken implementeren wanneer informatie wordt overgedragen naar mobiele apparaten of opslagmedia-apparatuur of wanneer informatie op deze apparaten wordt opgeslagen.
4. Organisaties moeten problemen aanpakken die verband houden met sleutelbeheer, inclusief het aanmaken en beschermen van cryptografische sleutels en het herstelplan voor versleutelde gegevens in het geval dat sleutels verloren gaan of gecompromitteerd worden.
5. Organisaties moeten de rollen en verantwoordelijkheden voor het volgende vastleggen:
• Vaststelling en implementatie van de regels over hoe de cryptografische technieken zullen worden gebruikt.
• Hoe sleutels worden verwerkt, inclusief hoe ze worden gegenereerd.
6. De adoptie en goedkeuring van standaarden binnen de hele organisatie voor de cryptografische algoritmen, coderingssterkte en gebruikspraktijken voor cryptografie.
7. Organisaties moeten onderzoeken hoe versleutelde informatie de controles die de inhoudsinspectie met zich meebrengen, zoals malwaredetectie, kan verstoren.

Bovendien benadrukt Control 8.24 dat organisaties rekening moeten houden met wetten en vereisten die het gebruik van cryptografie kunnen beperken, inclusief de grensoverschrijdende overdracht van gecodeerde informatie.

Ten slotte wordt organisaties ook geadviseerd om aansprakelijkheid en continuïteit van dienstverlening aan te pakken wanneer zij dienstverleningsovereenkomsten aangaan met derde partijen voor het leveren van cryptografische diensten.

Aanvullend richtsnoer voor sleutelbeheer

Organisaties moeten veilige procedures definiëren en toepassen voor het aanmaken, opslaan, ophalen en vernietigen van cryptografische sleutels.

In het bijzonder moeten organisaties een robuust sleutelbeheersysteem opzetten dat regels, processen en standaarden omvat voor het volgende:

• Generatie van cryptografische sleutels voor verschillende systemen en toepassingen.
• Uitgifte en verwerving van certificaten met een publieke sleutel.
• Distributie van sleutels aan de beoogde ontvangers, inclusief het proces van sleutelactivering.
• Opslag van sleutels en hoe geautoriseerde partijen toegang kunnen krijgen tot sleutels.
• Wisselen van sleutels.
• Omgaan met gecompromitteerde sleutels.
• Intrekking van sleutels vanwege de reden waarom deze gecompromitteerd zijn of wanneer bevoegde personen een organisatie verlaten.
• Herstel van verloren sleutels.
• Sleutelback-up en archivering.
• Sleutels vernietigen.
• Een logboek bijhouden van alle activiteiten met betrekking tot elke sleutel.
• Vaststellen van activatie- en deactiveringsdata voor sleutels.
• Reageren op juridische verzoeken om toegang tot sleutels.

Last but not least waarschuwt deze aanvullende leidraad organisaties voor drie specifieke risico’s:

• Geheime en beveiligde sleutels moeten worden beschermd tegen ongeoorloofd gebruik.
• Apparatuur die wordt gebruikt om encryptiesleutels aan te maken of op te slaan, moet worden beschermd via fysieke beveiligingsmaatregelen.
• Organisaties moeten de authenticiteit van publieke sleutels behouden.

Wat zijn de voordelen van cryptografie?

Na te hebben benadrukt dat organisaties de authenticiteit van publieke sleutels kunnen garanderen door middel van methoden zoals beheerprocessen voor publieke sleutels, legt Control 8.24 uit hoe cryptografie organisaties kan helpen vier informatiebeveiligingsdoelstellingen te bereiken:

1. Vertrouwelijkheid: Cryptografie beschermt en onderhoudt de vertrouwelijkheid van gegevens, zowel tijdens verzending als in rust.
2. Integriteit en authenticiteit: Digitale handtekeningen en authenticatiecodes kunnen de authenticiteit en integriteit van de gecommuniceerde informatie garanderen.
3. Niet-afwijzing: Cryptografische methoden leveren bewijs van alle uitgevoerde gebeurtenissen of acties, zoals het ontvangen van informatie.
4. authenticatie: Cryptografische methoden stellen organisaties in staat de identiteit te verifiëren van gebruikers die toegang vragen tot systemen en applicaties.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022/8.24 vervangt 27002:2013/(10.1.1. En 10.1.2)

Hoewel de inhoud van beide versies vrijwel identiek is, zijn er enkele structurele wijzigingen.

Terwijl de versie van 2013 het gebruik van cryptografie onder twee afzonderlijke controles behandelde, namelijk 10.1.1. En 10.1.2, de versie uit 2022 combineerde deze twee onder één Controle, 8.24.

Hoe ISMS.online helpt

ISMS.Online is de toonaangevende ISO 27002-managementsysteemsoftware die de naleving van ISO 27002 ondersteunt en bedrijven helpt hun beveiligingsbeleid en -procedures op één lijn te brengen met de norm.

Het cloudgebaseerde platform biedt een complete set tools om organisaties te helpen bij het opzetten van een informatiebeveiligingsmanagementsysteem (ISMS) volgens ISO 27002.

Neem contact op en boek een demo.