- Weitere Informationen finden Sie auch in den ISO 27002:2022 Kontrolle 8.24 .
- Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 10.1.1 .
- Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 10.1.2 .
Anhang A 8.24 Erläuterung: Implementierung sicherer kryptografischer Kontrollen
Bei der Übertragung von Informationen zwischen Netzwerken und Geräten können Cyber-Angreifer versuchen, sensible Daten zu stehlen, Inhalte zu verändern, Absender/Empfänger zu imitieren, um sich unbefugten Zugriff zu verschaffen, oder den Austausch abzufangen.
Cyber-Kriminelle könnten sich engagieren Man-in-the-Middle (MITM) Angriffe, das Abfangen von Datenübertragungen und die Tarnung als Server, um den Absender zur Offenlegung von Anmeldedaten zu bewegen. Mit diesen Zugangsdaten können sie sich Zugang zu Systemen verschaffen und sensible Daten gefährden.
Kryptographie, wie z. B. Verschlüsselung, kann die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen während der Übertragung wirksam schützen.
Kryptografische Techniken können Informationsbestände schützen, wenn sie nicht verwendet werden. Sie stellen sicher, dass die Daten vor unbefugtem Zugriff oder unbefugter Änderung geschützt sind.
ISO 27001:2022 Anhang A 8.24 beschreibt, wie Organisationen Vorschriften und Prozesse für den Einsatz von Kryptografie erstellen und anwenden können.
Zweck von ISO 27001:2022 Anhang A 8.24
ISO 27001:2022 Anhang A 8.24 ermöglicht es Organisationen, die Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit von Informationsbeständen durch die korrekte Anwendung der Kryptographie und die Erfüllung der folgenden Kriterien zu sichern:
- Geschäftsanforderungen sind ein Muss.
- Gewährleisten Informationssicherheit durch die Umsetzung strenger Anforderungen.
- Gesetzliche, vertragliche und organisatorische Vorgaben erfordern den Einsatz von Kryptographie.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Eigentum gemäß Anlage A 8.24
Die Einhaltung von Anhang A 8.24 erfordert die Umsetzung einer Richtlinie zur Kryptographie, die Einrichtung eines effizienten Schlüsselverwaltungsprozesses und die Bestimmung der Art der kryptografischen Technik, die für die Datenklassifizierung eines bestimmten Informationsbestands anwendbar ist.
Die Chief Information Security Officer müssen für die Einrichtung geeigneter Vorschriften und Protokolle bezüglich kryptografischer Schlüssel verantwortlich gemacht werden.
Allgemeine Leitlinien zur Einhaltung von ISO 27001:2022 Anhang A 8.24
ISO 27001:2022 Anhang A Control 8.24 legt sieben Anforderungen fest, die Organisationen beim Einsatz kryptografischer Methoden beachten müssen:
- Organisationen sollten über eine Richtlinie für den Einsatz von Kryptografie verfügen, um deren Nutzen zu maximieren und Risiken zu reduzieren. Diese Richtlinie sollte auch allgemeine Grundsätze zum Schutz von Informationen darlegen.
- Organisationen müssen bei der Auswahl von Typ, Stärke und Qualität des Verschlüsselungsalgorithmus berücksichtigen, wie empfindlich ihre Informationsressourcen sind und welche Informationsklassifizierungsstufe ihnen zugewiesen wurde.
- Organisationen sollten kryptografische Ansätze nutzen, wenn sie Informationen auf tragbare Geräte oder Mediengeräte übertragen oder darauf gespeichert werden.
- Unternehmen müssen sich mit allen Fragen im Zusammenhang mit der Schlüsselverwaltung befassen, z. B. mit der Bildung und Abschirmung kryptografischer Schlüssel und mit einem Plan zur Datenwiederherstellung für den Fall, dass die Schlüssel fehlen oder anfällig sind.
- Organisationen sollten die Rollen und Verantwortlichkeiten für Folgendes definieren:
- Die Regeln für den Einsatz kryptografischer Techniken müssen festgelegt und durchgesetzt werden.
- Umgang mit Schlüsseln, einschließlich deren Generierung.
- Die Organisation übernimmt und genehmigt Standards, die die kryptografischen Algorithmen, die Verschlüsselungsstärke und die Verwendungspraktiken der Kryptografie umfassen.
- Unternehmen sollten die potenziellen Auswirkungen der Verschlüsselung auf die Wirksamkeit der Inhaltsinspektionskontrollen, beispielsweise der Malware-Erkennung, berücksichtigen.
ISO 27001:2022 Anhang A 8.24 betont, dass Organisationen rechtliche Anforderungen und Einschränkungen berücksichtigen sollten, die sich auf die Verwendung von Kryptografie, einschließlich der internationalen Übertragung verschlüsselter Informationen, auswirken können.
Organisationen sollten die Haftung und Kontinuität der Dienste berücksichtigen, wenn sie Servicevereinbarungen mit externen Anbietern kryptografischer Dienste abschließen.
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Anleitung zur Schlüsselverwaltung
Organisationen müssen sichere Prozesse für die Generierung, Speicherung, den Abruf und die Entsorgung kryptografischer Schlüssel einrichten und befolgen.
Organisationen sollten ein solides Schlüsselverwaltungssystem installieren, das Vorschriften, Verfahren und Kriterien für Folgendes enthält:
- Es ist notwendig, kryptografische Schlüssel für eine Vielzahl von Systemen und Anwendungen zu generieren.
- Die Ausstellung und der Erhalt von Public-Key-Zertifikaten.
- Verteilen Sie die Schlüssel an die vorgesehenen Empfänger, einschließlich des Verfahrens zur Schlüsselaktivierung.
- Schlüssel sind sicher aufzubewahren. Zugriffsberechtigte können dies mit den erforderlichen Zugangsdaten tun.
- Schlüsselwechsel.
- Der Umgang mit kompromittierten Schlüsseln sollte ernst genommen werden.
- Wenn Schlüssel kompromittiert werden oder ein autorisiertes Personal eine Organisation verlässt, sollten sie widerrufen werden.
- Wiederherstellung verlorener Schlüssel.
- Die Sicherung und Archivierung von Schlüsseln sollte regelmäßig durchgeführt werden.
- Schlüssel zerstören.
- Führen Sie eine Aufzeichnung aller mit jedem Schlüssel verknüpften Aktivitäten.
- Festlegung der Aktivierungs- und Deaktivierungsdaten für Schlüssel.
- Zugriff auf Schlüssel als Reaktion auf rechtliche Anfragen.
Schließlich ist es wichtig, dass sich Organisationen der drei Hauptrisiken bewusst sind, die in diesem ergänzenden Leitfaden beschrieben werden:
- Sichere und private Schlüssel sollten vor unbefugter Nutzung geschützt werden.
- Die zum Erstellen oder Speichern von Verschlüsselungsschlüsseln verwendeten Geräte sollten geschützt werden physische Sicherheit Maßnahmen.
- Organisationen sollten die Gültigkeit ihrer öffentlichen Schlüssel sicherstellen.
Was sind die Vorteile der Kryptographie?
ISO 27001:2022 Anhang A 8.24 besagt, dass Kryptografie dazu eingesetzt werden kann, Organisationen dabei zu helfen, vier Informationssicherheitsziele zu erreichen. Zu diesen Zielen gehört die Überprüfung der Authentizität öffentlicher Schlüssel durch Prozesse zur Verwaltung öffentlicher Schlüssel:
- Die Kryptografie stellt sicher, dass die Vertraulichkeit der Daten sowohl bei der Übertragung als auch bei der Speicherung gewahrt bleibt.
- Digitale Signaturen und Authentifizierungscodes garantieren, dass die übermittelten Informationen echt und zuverlässig sind.
- Kryptografische Methoden geben die Gewissheit, dass alle durchgeführten Ereignisse oder Aktionen, einschließlich des Empfangs von Informationen, nicht für ungültig erklärt werden.
- Durch die Authentifizierung mithilfe kryptografischer Methoden können Organisationen die Identität von Benutzern überprüfen, die Zugriff auf Systeme und Anwendungen wünschen.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27001:2013
ISO 27001:2022 Anhang A 8.24 ersetzt ISO 27001:2013 Anhang A 10.1.1 und 10.1.2 im überarbeiteten Standard 2022.
Der Inhalt der beiden ist nahezu identisch, es gibt jedoch einige strukturelle Änderungen.
Während die Version 2013 über zwei separate Kontrollen, 10.1.1 und 10.1.2, für die Verwendung der Kryptografie verfügte, wurden diese in der Version 2022 in einer Anhang-A-Kontrolle, 8.24, zusammengefasst.
Tabelle aller ISO 27001:2022 Anhang A-Kontrollen
In der folgenden Tabelle finden Sie weitere Informationen zu jeder einzelnen ISO 27001:2022 Anhang A-Kontrolle.
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Organisatorische Kontrollen | Anhang A 5.1 |
Anhang A 5.1.1 Anhang A 5.1.2 |
Richtlinien zur Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.2 | Anhang A 6.1.1 | Rollen und Verantwortlichkeiten im Bereich Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.3 | Anhang A 6.1.2 | Aufgabentrennung |
| Organisatorische Kontrollen | Anhang A 5.4 | Anhang A 7.2.1 | Führungsaufgaben |
| Organisatorische Kontrollen | Anhang A 5.5 | Anhang A 6.1.3 | Kontakt mit Behörden |
| Organisatorische Kontrollen | Anhang A 5.6 | Anhang A 6.1.4 | Kontakt mit speziellen Interessengruppen |
| Organisatorische Kontrollen | Anhang A 5.7 | NEU | Threat Intelligence |
| Organisatorische Kontrollen | Anhang A 5.8 |
Anhang A 6.1.5 Anhang A 14.1.1 |
Informationssicherheit im Projektmanagement |
| Organisatorische Kontrollen | Anhang A 5.9 |
Anhang A 8.1.1 Anhang A 8.1.2 |
Inventar der Informationen und anderer damit verbundener Vermögenswerte |
| Organisatorische Kontrollen | Anhang A 5.10 |
Anhang A 8.1.3 Anhang A 8.2.3 |
Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.11 | Anhang A 8.1.4 | Rückgabe von Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.12 | Anhang A 8.2.1 | Klassifizierung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.13 | Anhang A 8.2.2 | Kennzeichnung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.14 |
Anhang A 13.2.1 Anhang A 13.2.2 Anhang A 13.2.3 |
Informationsübertragung |
| Organisatorische Kontrollen | Anhang A 5.15 |
Anhang A 9.1.1 Anhang A 9.1.2 |
Zugangskontrolle |
| Organisatorische Kontrollen | Anhang A 5.16 | Anhang A 9.2.1 | Identitätsmanagement |
| Organisatorische Kontrollen | Anhang A 5.17 |
Anhang A 9.2.4 Anhang A 9.3.1 Anhang A 9.4.3 |
Authentifizierungsinformationen |
| Organisatorische Kontrollen | Anhang A 5.18 |
Anhang A 9.2.2 Anhang A 9.2.5 Anhang A 9.2.6 |
Zugangsrechte |
| Organisatorische Kontrollen | Anhang A 5.19 | Anhang A 15.1.1 | Informationssicherheit in Lieferantenbeziehungen |
| Organisatorische Kontrollen | Anhang A 5.20 | Anhang A 15.1.2 | Adressierung der Informationssicherheit in Lieferantenvereinbarungen |
| Organisatorische Kontrollen | Anhang A 5.21 | Anhang A 15.1.3 | Management der Informationssicherheit in der IKT-Lieferkette |
| Organisatorische Kontrollen | Anhang A 5.22 |
Anhang A 15.2.1 Anhang A 15.2.2 |
Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen |
| Organisatorische Kontrollen | Anhang A 5.23 | NEU | Informationssicherheit für die Nutzung von Cloud-Diensten |
| Organisatorische Kontrollen | Anhang A 5.24 | Anhang A 16.1.1 | Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen |
| Organisatorische Kontrollen | Anhang A 5.25 | Anhang A 16.1.4 | Bewertung und Entscheidung zu Informationssicherheitsereignissen |
| Organisatorische Kontrollen | Anhang A 5.26 | Anhang A 16.1.5 | Reaktion auf Informationssicherheitsvorfälle |
| Organisatorische Kontrollen | Anhang A 5.27 | Anhang A 16.1.6 | Aus Informationssicherheitsvorfällen lernen |
| Organisatorische Kontrollen | Anhang A 5.28 | Anhang A 16.1.7 | Beweissammlung |
| Organisatorische Kontrollen | Anhang A 5.29 |
Anhang A 17.1.1 Anhang A 17.1.2 Anhang A 17.1.3 |
Informationssicherheit bei Störungen |
| Organisatorische Kontrollen | Anhang A 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| Organisatorische Kontrollen | Anhang A 5.31 |
Anhang A 18.1.1 Anhang A 18.1.5 |
Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen |
| Organisatorische Kontrollen | Anhang A 5.32 | Anhang A 18.1.2 | Rechte an geistigem Eigentum |
| Organisatorische Kontrollen | Anhang A 5.33 | Anhang A 18.1.3 | Schutz von Aufzeichnungen |
| Organisatorische Kontrollen | Anhang A 5.34 | Anhang A 18.1.4 | Datenschutz und Schutz personenbezogener Daten |
| Organisatorische Kontrollen | Anhang A 5.35 | Anhang A 18.2.1 | Unabhängige Überprüfung der Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.36 |
Anhang A 18.2.2 Anhang A 18.2.3 |
Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.37 | Anhang A 12.1.1 | Dokumentierte Betriebsabläufe |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Menschenkontrollen | Anhang A 6.1 | Anhang A 7.1.1 | Rekrutierung |
| Menschenkontrollen | Anhang A 6.2 | Anhang A 7.1.2 | Allgemeine Geschäftsbedingungen |
| Menschenkontrollen | Anhang A 6.3 | Anhang A 7.2.2 | Informationssicherheitsbewusstsein, Bildung und Schulung |
| Menschenkontrollen | Anhang A 6.4 | Anhang A 7.2.3 | Disziplinarverfahren |
| Menschenkontrollen | Anhang A 6.5 | Anhang A 7.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| Menschenkontrollen | Anhang A 6.6 | Anhang A 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| Menschenkontrollen | Anhang A 6.7 | Anhang A 6.2.2 | Fernarbeit |
| Menschenkontrollen | Anhang A 6.8 |
Anhang A 16.1.2 Anhang A 16.1.3 |
Berichterstattung über Informationssicherheitsereignisse |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Physikalische Kontrollen | Anhang A 7.1 | Anhang A 11.1.1 | Physische Sicherheitsbereiche |
| Physikalische Kontrollen | Anhang A 7.2 |
Anhang A 11.1.2 Anhang A 11.1.6 |
Physischer Eintritt |
| Physikalische Kontrollen | Anhang A 7.3 | Anhang A 11.1.3 | Sicherung von Büros, Räumen und Einrichtungen |
| Physikalische Kontrollen | Anhang A 7.4 | NEU | Physische Sicherheitsüberwachung |
| Physikalische Kontrollen | Anhang A 7.5 | Anhang A 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| Physikalische Kontrollen | Anhang A 7.6 | Anhang A 11.1.5 | Arbeiten in sicheren Bereichen |
| Physikalische Kontrollen | Anhang A 7.7 | Anhang A 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| Physikalische Kontrollen | Anhang A 7.8 | Anhang A 11.2.1 | Standort und Schutz der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.9 | Anhang A 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| Physikalische Kontrollen | Anhang A 7.10 |
Anhang A 8.3.1 Anhang A 8.3.2 Anhang A 8.3.3 Anhang A 11.2.5 |
Speichermedien |
| Physikalische Kontrollen | Anhang A 7.11 | Anhang A 11.2.2 | Unterstützende Dienstprogramme |
| Physikalische Kontrollen | Anhang A 7.12 | Anhang A 11.2.3 | Verkabelungssicherheit |
| Physikalische Kontrollen | Anhang A 7.13 | Anhang A 11.2.4 | Wartung der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.14 | Anhang A 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Technologische Kontrollen | Anhang A 8.1 |
Anhang A 6.2.1 Anhang A 11.2.8 |
Benutzer-Endpunktgeräte |
| Technologische Kontrollen | Anhang A 8.2 | Anhang A 9.2.3 | Privilegierte Zugriffsrechte |
| Technologische Kontrollen | Anhang A 8.3 | Anhang A 9.4.1 | Beschränkung des Informationszugriffs |
| Technologische Kontrollen | Anhang A 8.4 | Anhang A 9.4.5 | Zugang zum Quellcode |
| Technologische Kontrollen | Anhang A 8.5 | Anhang A 9.4.2 | Sichere Authentifizierung |
| Technologische Kontrollen | Anhang A 8.6 | Anhang A 12.1.3 | Kapazitätsmanagement |
| Technologische Kontrollen | Anhang A 8.7 | Anhang A 12.2.1 | Schutz vor Malware |
| Technologische Kontrollen | Anhang A 8.8 |
Anhang A 12.6.1 Anhang A 18.2.3 |
Management technischer Schwachstellen |
| Technologische Kontrollen | Anhang A 8.9 | NEU | Configuration Management |
| Technologische Kontrollen | Anhang A 8.10 | NEU | Löschen von Informationen |
| Technologische Kontrollen | Anhang A 8.11 | NEU | Datenmaskierung |
| Technologische Kontrollen | Anhang A 8.12 | NEU | Verhinderung von Datenlecks |
| Technologische Kontrollen | Anhang A 8.13 | Anhang A 12.3.1 | Informationssicherung |
| Technologische Kontrollen | Anhang A 8.14 | Anhang A 17.2.1 | Redundanz von Informationsverarbeitungseinrichtungen |
| Technologische Kontrollen | Anhang A 8.15 |
Anhang A 12.4.1 Anhang A 12.4.2 Anhang A 12.4.3 |
Protokollierung |
| Technologische Kontrollen | Anhang A 8.16 | NEU | Überwachungsaktivitäten |
| Technologische Kontrollen | Anhang A 8.17 | Anhang A 12.4.4 | Uhrensynchronisation |
| Technologische Kontrollen | Anhang A 8.18 | Anhang A 9.4.4 | Nutzung privilegierter DienstprogrammeZugriffsrechte |
| Technologische Kontrollen | Anhang A 8.19 |
Anhang A 12.5.1 Anhang A 12.6.2 |
Installation von Software auf Betriebssystemen |
| Technologische Kontrollen | Anhang A 8.20 | Anhang A 13.1.1 | Netzwerksicherheit |
| Technologische Kontrollen | Anhang A 8.21 | Anhang A 13.1.2 | Sicherheit von Netzwerkdiensten |
| Technologische Kontrollen | Anhang A 8.22 | Anhang A 13.1.3 | Trennung von Netzwerken |
| Technologische Kontrollen | Anhang A 8.23 | NEU | Web-Filter |
| Technologische Kontrollen | Anhang A 8.24 |
Anhang A 10.1.1 Anhang A 10.1.2 |
Verwendung von Kryptographie |
| Technologische Kontrollen | Anhang A 8.25 | Anhang A 14.2.1 | Sicherer Entwicklungslebenszyklus |
| Technologische Kontrollen | Anhang A 8.26 |
Anhang A 14.1.2 Anhang A 14.1.3 |
Anforderungen an die Anwendungssicherheit |
| Technologische Kontrollen | Anhang A 8.27 | Anhang A 14.2.5 | Sichere Systemarchitektur und technische Prinzipien. Lernen aus Informationssicherheitsvorfällen. |
| Technologische Kontrollen | Anhang A 8.28 | NEU | Sichere Codierung |
| Technologische Kontrollen | Anhang A 8.29 |
Anhang A 14.2.8 Anhang A 14.2.9 |
Sicherheitstests in Entwicklung und Akzeptanz |
| Technologische Kontrollen | Anhang A 8.30 | Anhang A 14.2.7 | Ausgelagerte Entwicklung |
| Technologische Kontrollen | Anhang A 8.31 |
Anhang A 12.1.4 Anhang A 14.2.6 |
Trennung von Entwicklungs-, Test- und Produktionsumgebungen |
| Technologische Kontrollen | Anhang A 8.32 |
Anhang A 12.1.2 Anhang A 14.2.2 Anhang A 14.2.3 Anhang A 14.2.4 |
Change Control |
| Technologische Kontrollen | Anhang A 8.33 | Anhang A 14.3.1 | Testinformationen |
| Technologische Kontrollen | Anhang A 8.34 | Anhang A 12.7.1 | Schutz von Informationssystemen während Audittests |
Wie ISMS.online hilft
ISMS.Online ist die führende ISO 27001-Managementsystemsoftware, die Unternehmen dabei unterstützt, ISO 27001:2022 einzuhalten und sicherzustellen, dass ihre Sicherheitsrichtlinien und -verfahren dem Standard entsprechen.
Dieser Cloud-basierte Plattform bietet eine umfassende Reihe von Tools, die Organisationen bei der Implementierung eines Informationssicherheits-Managementsystems (ISMS) gemäß ISO 27001 unterstützen.
Greifen Sie zu und Buchen Sie noch heute eine Vorführung.