הבנת ISO 27701 סעיף 6.7: בקרות קריפטוגרפיות להגנה על PII
קריפטוגרפיה (הצפנה), יחד עם גישה מבוססת תפקידים, היא השיטה המובילה לאבטחת PII ומידע הקשור לפרטיות משימוש לא מורשה.
בקרות קריפטוגרפיות הן תנאי מוקדם כמעט לכל הפעילויות הקשורות ל-PII, שבהן מידע פרטי מועבר בין מערכות, יישומים, משתמשים וצדדים שלישיים.
מה מכוסה בסעיף 27701 של ISO 6.7
ISO 27701 6.7 מכיל שני סעיפי משנה, שניהם מסתמכים על אותן הערות הנחיות מ-ISO 27002 8.2.4, המספקת מסגרת קריפטוגרפית לארגונים לפעול במסגרת:
- ISO 27002 6.7.1.1 - מדיניות על שימוש בבקרות הצפנה (References ISO 27002 Control 8.24)
- ISO 27002 6.7.1.2 - ניהול מפתחות (References ISO 27002 Control 8.24)
ISO 27002 6.7.1.1 מכיל הנחיה הנופלת תחת חקיקת ה-GDPR הבריטית. המאמרים הרלוונטיים סופקו לנוחיותך.
שים לב שהציטוטים של GDPR הם למטרות אינדיקטיביות בלבד. ארגונים צריכים לבחון את החקיקה ולעשות שיקול דעת בעצמם על אילו חלקים בחוק חלים עליהם.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
ISO 27701 סעיף 6.7.1.1 - מדיניות על שימוש בבקרים קריפטוגרפיים
הפניות ISO 27002 בקרה 8.24
ארגונים צריכים להשתמש בהצפנה כדי להגן על סודיות, אותנטיות ו שלמות של PII ומידע הקשור לפרטיות, ולעמוד בהתחייבויות החוזיות, החוקיות או הרגולטוריות השונות שלהם.
הצפנה היא מושג מרחיק לכת - אין גישה של 'גודל אחד מתאים לכולם'. ארגונים צריכים להעריך את הצרכים שלהם ולבחור בפתרון קריפטוגרפי העונה על היעדים המסחריים והתפעוליים הייחודיים שלהם.
ליווי כללי
ארגונים צריכים לשקול:
- פיתוח א ספציפי לנושא גישה לקריפטוגרפיה, הלוקחת בחשבון דרישות מחלקתיות, מבוססות תפקידים ותפעוליות שונות.
- רמת ההגנה המתאימה (יחד עם סוג המידע שיש להצפין).
- מכשירים ניידים ומדיה אחסון.
- ניהול מפתחות קריפטוגרפיים (אחסון, עיבוד וכו').
- תפקידים ואחריות מיוחדים עבור פונקציות קריפטוגרפיות, כולל הטמעה וניהול מפתחות (ראה ISO 27002 8.24).
- תקני ההצפנה הטכניים שיש לאמץ, כולל אלגוריתמים, חוזק צופן, הנחיות שיטות עבודה מומלצות.
- כיצד תעבוד ההצפנה לצד מאמצי אבטחת סייבר אחרים, כגון הגנה מפני תוכנות זדוניות ואבטחת שער.
- חוקים והנחיות חוצי גבולות ותחומי שיפוט (ראה ISO 27002 5.31).
- חוזים עם שותפי הצפנה של צד שלישי המכסים אחריות, אמינות וזמני תגובה כולה או חלקית.
ניהול מפתח
נהלי ניהול מפתח צריכים להתפרס על פני 7 פונקציות עיקריות:
- דוֹר.
- אחסון.
- אחסון בארכיון.
- שְׁלִיפָה.
- הפצה.
- פורש לגמלאות.
- הֶרֶס.
מערכות ניהול מפתחות ארגוניות צריכות:
- נהל יצירת מפתחות עבור כל שיטות ההצפנה.
- הטמעת אישורי מפתח ציבורי.
- ודא שכל הישויות האנושיות והלא אנושיות הרלוונטיות מקבלות את המפתחות הנדרשים.
- אחסן מפתחות.
- תקן מפתחות, לפי הצורך.
- יש לנהל נהלים להתמודדות עם מפתחות שעלולים להיפגע.
- השבת מפתחות, או ביטול גישה על בסיס משתמש למשתמש.
- שחזר מפתחות שאבדו או לא תקינים, בין אם מגיבויים וארכיוני מפתחות.
- הרס מפתחות שאינם נחוצים עוד.
- נהל את מחזור החיים של ההפעלה וההשבתה, כך שמפתחות מסוימים יהיו זמינים רק לפרק הזמן שבו הם נחוצים.
- לעבד בקשות רשמיות לגישה, מסוכנויות אכיפת חוק או, בנסיבות מסוימות, סוכנויות רגולטוריות.
- מכיל בקרות גישה המגנות על גישה פיזית למפתחות ומידע מוצפן.
- שקול את האותנטיות של מפתחות ציבוריים, לפני היישום (רשויות אישורים ותעודות ציבוריות).
בקרות ISO 27002 רלוונטיות
- ISO 27002 5.31
- ISO 27002 8.24
מאמרי GDPR ישימים
- סעיף 32 – (1)(א)
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
ISO 27701 סעיף 6.7.1.2 – ניהול מפתחות
הפניות ISO 27002 בקרה 8.24
ראה סעיף לעיל בנושא ניהול מפתח (ISO 27701 6.7.1.1).
בקרות תומכות מ-ISO 27002 ו-GDPR
| מזהה סעיף ISO 27701 | שם סעיף ISO 27701 | דרישת ISO 27002 | מאמרי GDPR משויכים |
|---|---|---|---|
| 6.7.1.1 | מדיניות על שימוש בבקרות קריפטוגרפיות | 8.24 - שימוש בקריפטוגרפיה עבור ISO 27002 | סעיף (32) |
| 6.7.1.2 | ניהול מפתח | 8.24 - שימוש בקריפטוגרפיה עבור ISO 27002 | ללא חתימה |
כיצד ISMS.online עוזר
איך אנחנו עוזרים?
ISO 27701 מראה לך כיצד לבנות מערכת ניהול מידע פרטיות התואמת לרוב תקנות הפרטיות, כולל GDPR של האיחוד האירופי, BS 10012 ו-POPIA של דרום אפריקה.
התוכנה הפשוטה, המאובטחת ובת-הקיימא שלנו עוזרת לך לעקוב בקלות אחר הגישה המתוארת בתקן המוכר הבינלאומי.
כל התכונות שאתה צריך:
- ROPA קל
- בנק סיכונים מובנה
- מקום מאובטח עבור DRR
גלה כמה זמן וכסף תחסוך במסע שלך להסמכת ISO 27002 ו-27701 משולבת באמצעות ISMS.online על ידי הזמנת הדגמה.
