ISO 27002:2022, בקרה 8.24 - שימוש בקריפטוגרפיה

בעלות על שליטה 8.24

עמידה ב-8.24 מחייבת הקמה ויישום של מדיניות ספציפית בנושא קריפטוגרפיה, יצירת תהליך יעיל של ניהול מפתחות וקביעת סוג הטכניקה ההצפנה המתאימה לרמת סיווג המידע המוקצה לנכס מידע מסוים.

לפיכך, על קצין אבטחת המידע הראשי להיות אחראי לקביעת כללים ונהלים מתאימים לשימוש במפתחות הצפנה.

הנחיות כלליות בנושא ציות

Control 8.24 מפרט שבע דרישות שארגונים צריכים לעמוד בהן בעת ​​שימוש בטכניקות הצפנה:

1. ארגונים צריכים ליצור ולתחזק מדיניות ספציפית לנושא לגבי השימוש בהצפנה. מדיניות זו חיונית למיצוי היתרונות של טכניקות קריפטוגרפיות והיא מפחיתה את הסיכונים שעלולים לנבוע משימוש בהצפנה. כמו כן, יצוין כי מדיניות זו צריכה לכסות עקרונות כלליים המסדירים את הגנת המידע.
2. ארגונים צריכים לשקול את רמת הרגישות של נכסי המידע ואת רמת סיווג המידע המוקצת להם כאשר הם מחליטים על סוג, חוזק ואיכות אלגוריתם ההצפנה.
3. ארגונים צריכים ליישם טכניקות הצפנה כאשר מידע מועבר למכשירים ניידים או לציוד מדיה אחסון או כאשר מידע מאוחסן במכשירים אלו.
4. ארגונים צריכים להתייחס לנושאים הקשורים לניהול מפתחות, לרבות יצירה והגנה של מפתחות קריפטוגרפיים ותוכנית השחזור של נתונים מוצפנים במקרה שמפתחות אובדים או נפגעים.
5. ארגונים צריכים להגדיר את התפקידים והאחריות עבור הדברים הבאים:
• קביעת ויישום הכללים לגבי אופן השימוש בטכניקות ההצפנה.
• כיצד יטופלו מפתחות, כולל כיצד ייווצרו.
6. אימוץ ואישור של תקנים ברחבי הארגון עבור אלגוריתמים הצפנה, חוזק הצופן ונהלי השימוש בהצפנה.
7. הארגון צריך להתייחס לאופן שבו מידע מוצפן עלול להפריע לפקדים הכרוכים בבדיקת התוכן, כגון זיהוי תוכנות זדוניות.

יתר על כן, Control 8.24 מדגיש שארגונים צריכים לקחת בחשבון חוקים ודרישות שעלולים להגביל את השימוש בהצפנה, לרבות העברה חוצת גבולות של מידע מוצפן.

לבסוף, מומלץ לארגונים להתייחס גם לאחריות ולהמשכיות השירותים כאשר הם מתקשרים בהסכמי שירות עם צדדים שלישיים למתן שירותי קריפטוגרפיה.

הדרכה משלימה בנושא ניהול מפתח

ארגונים צריכים להגדיר וליישם נהלים מאובטחים ליצירה, אחסון, אחזור והשמדה של מפתחות קריפטוגרפיים.

בפרט, ארגונים צריכים להקים מערכת ניהול מפתחות חזקה הכוללת כללים, תהליכים ותקנים עבור הדברים הבאים:

• יצירת מפתחות קריפטוגרפיים למערכות ויישומים שונים.
• הנפקה ורכישה של תעודות מפתח ציבורי.
• חלוקת מפתחות לנמענים המיועדים לרבות תהליך הפעלת המפתחות.
• אחסון מפתחות וכיצד גורמים מורשים יכולים לגשת למפתחות.
• החלפת מפתחות.
• טיפול במפתחות שנפגעו.
• שלילת מפתחות בגלל הסיבה שהם נפגעים או כאשר אנשים מורשים עוזבים ארגון.
• שחזור מפתחות שאבדו.
• גיבוי מפתח וארכיון.
• הורס מפתחות.
• ניהול יומן של כל הפעילויות הקשורות לכל מפתח.
• קביעת תאריכי הפעלה והשבתה של מפתחות.
• מענה לבקשות משפטיות לקבלת גישה למפתחות.

אחרון חביב, הנחיה משלימה זו מזהירה ארגונים מפני שלושה סיכונים מסוימים:

• יש להגן על מפתחות סודיים ומוגנים מפני שימוש לא מורשה.
• ציוד המשמש ליצירה או אחסון של מפתחות הצפנה צריך להיות מוגן באמצעות אמצעי אבטחה פיזיים.
• ארגונים צריכים לשמור על האותנטיות של מפתחות ציבוריים.

מהם היתרונות של קריפטוגרפיה?

לאחר שהדגיש שארגונים יכולים להבטיח את האותנטיות של מפתחות ציבוריים באמצעות שיטות כמו תהליכי ניהול מפתחות ציבוריים, Control 8.24 מסביר כיצד הצפנה יכולה לעזור לארגונים להשיג ארבע יעדי אבטחת מידע:

1. סודיות: קריפטוגרפיה מגינה ושומרת על סודיות הנתונים הן במעבר והן בזמן מנוחה.
2. יושרה ואותנטיות: חתימות דיגיטליות וקודי אימות יכולים להבטיח את האותנטיות והשלמות של המידע המועבר.
3. אי-דחייה: שיטות קריפטוגרפיות מספקות עדות לכל האירועים או הפעולות שבוצעו כגון קבלת מידע.
4. אימות: שיטות קריפטוגרפיות מאפשרות לארגונים לאמת את זהות המשתמשים המבקשים גישה למערכות ויישומים.

שינויים והבדלים מ-ISO 27002:2013

27002:2022/8.24 להחליף 27002:2013/(10.1.1. ו-10.1.2)

בעוד התוכן של שתי הגרסאות כמעט זהה, ישנם כמה שינויים מבניים.

ואילו גרסת 2013 התייחסה לשימוש בקריפטוגרפיה תחת שני בקרות נפרדות, כלומר 10.1.1. ו-10.1.2, גרסת 2022 שילבה את שני אלה תחת שליטה אחת, 8.24.

כיצד ISMS.online עוזר

ISMS.Online היא תוכנת מערכת הניהול המובילה בתקן ISO 27002 התומכת בעמידה בתקן ISO 27002, ומסייעת לחברות להתאים את מדיניות ונהלי האבטחה שלהן לתקן.

הפלטפורמה מבוססת הענן מספקת סט שלם של כלים לסייע לארגונים בהקמת מערכת ניהול אבטחת מידע (ISMS) לפי ISO 27002.

צרו קשר ו הזמן הדגמה.