ISO 27002:2022 – Kontrolle 8.24 – Verwendung von Kryptographie

Sicherstellung des sicheren Umgangs mit Informationen durch Kryptografie in ISO 27002:2022

Wenn Informationen zwischen Netzwerken und Geräten übertragen werden, können Cyber-Angreifer verschiedene Techniken anwenden, um vertrauliche Informationen während der Übertragung zu stehlen, den Inhalt der Informationen zu manipulieren, sich als Absender/Empfänger auszugeben, um unbefugten Zugriff auf Informationen zu erhalten, oder die Übertragung von Informationen abzufangen.

Beispielsweise können Cyberkriminelle die Man-in-the-Middle-Angriffstechnik (MITM) nutzen, die Übertragung von Daten abfangen und sich als Server ausgeben, um den Absender dazu zu bringen, seine Anmeldeinformationen an den falschen Server weiterzugeben. Mithilfe dieser Anmeldeinformationen können sie sich dann Zugang zu Systemen verschaffen und vertrauliche Informationen kompromittieren.

Der Einsatz von Kryptografie wie Verschlüsselung kann wirksam sein, um die Vertraulichkeit, Integrität und Verfügbarkeit von Informationsressourcen während der Übertragung zu schützen.

Darüber hinaus können kryptografische Techniken die Sicherheit von Informationsressourcen auch im Ruhezustand gewährleisten.

In Control 8.24 geht es darum, wie Organisationen Regeln und Verfahren für den Einsatz von Kryptografie festlegen und implementieren können.

Zweck der Kontrolle 8.24

Control 8.24 ermöglicht es Organisationen, die Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit von Informationsressourcen aufrechtzuerhalten, indem sie kryptografische Techniken ordnungsgemäß implementieren und die folgenden Kriterien berücksichtigen:

• Geschäftsanforderungen.
• Anforderungen an die Informationssicherheit.
• Gesetzliche, vertragliche und organisatorische Anforderungen an den Einsatz von Kryptographie.

Kontrollattribute 8.24

Kontrolle 8.24 ist eine präventive Art der Kontrolle, die von Organisationen verlangt, Regeln und Verfahren für den effektiven Einsatz kryptografischer Techniken festzulegen und so Risiken für die Gefährdung von Informationsressourcen während der Übertragung oder im Ruhezustand zu beseitigen und zu minimieren.

Eigentum an der Kontrolle 8.24

Die Einhaltung von 8.24 erfordert die Festlegung und Umsetzung einer spezifischen Richtlinie zur Kryptografie, die Schaffung eines effektiven Schlüsselverwaltungsprozesses und die Bestimmung der Art der Kryptografietechnik, die für den Grad der Informationsklassifizierung geeignet ist, der einem bestimmten Informationsbestand zugewiesen ist.

Daher sollte der Chief Information Security Officer dafür verantwortlich sein, geeignete Regeln und Verfahren für die Verwendung kryptografischer Schlüssel festzulegen.

Allgemeine Richtlinien zur Compliance

Control 8.24 listet sieben Anforderungen auf, die Organisationen beim Einsatz kryptografischer Techniken einhalten sollten:

1. Organisationen sollten eine themenspezifische Richtlinie zur Verwendung von Kryptografie erstellen und pflegen. Diese Richtlinie ist für die Maximierung der Vorteile kryptografischer Techniken von entscheidender Bedeutung und verringert die Risiken, die sich aus der Verwendung von Kryptografie ergeben können. Es wird außerdem darauf hingewiesen, dass diese Richtlinie allgemeine Grundsätze zum Schutz von Informationen abdecken sollte.
2. Organisationen sollten den Grad der Sensibilität der Informationsbestände und die ihnen zugewiesene Informationsklassifizierungsstufe berücksichtigen, wenn sie über Art, Stärke und Qualität des Verschlüsselungsalgorithmus entscheiden.
3. Organisationen sollten kryptografische Techniken implementieren, wenn Informationen auf mobile Geräte oder Speichermedien übertragen werden oder wenn Informationen auf diesen Geräten gespeichert werden.
4. Organisationen sollten sich mit Fragen im Zusammenhang mit der Schlüsselverwaltung befassen, einschließlich der Erstellung und des Schutzes kryptografischer Schlüssel und des Wiederherstellungsplans für verschlüsselte Daten für den Fall, dass Schlüssel verloren gehen oder kompromittiert werden.
5. Organisationen sollten die Rollen und Verantwortlichkeiten für Folgendes festlegen:
• Festlegung und Umsetzung der Regeln für die Verwendung der kryptografischen Techniken.
• Wie mit Schlüsseln umgegangen wird, einschließlich der Art und Weise, wie sie generiert werden.
6. Die Übernahme und Genehmigung von Standards im gesamten Unternehmen für kryptografische Algorithmen, Verschlüsselungsstärke und Nutzungspraktiken für die Kryptografie.
7. Die Organisation sollte sich damit befassen, wie verschlüsselte Informationen die Kontrollen beeinträchtigen können, die die Inhaltsprüfung mit sich bringen, beispielsweise die Erkennung von Malware.

Darüber hinaus betont Control 8.24, dass Organisationen Gesetze und Anforderungen berücksichtigen sollten, die den Einsatz von Kryptografie, einschließlich der grenzüberschreitenden Übertragung verschlüsselter Informationen, einschränken können.

Schließlich wird Organisationen auch empfohlen, die Haftung und die Kontinuität der Dienste zu berücksichtigen, wenn sie Dienstleistungsverträge mit Dritten für die Bereitstellung kryptografischer Dienste abschließen.

Ergänzende Anleitung zur Schlüsselverwaltung

Organisationen sollten sichere Verfahren für die Erstellung, Speicherung, den Abruf und die Zerstörung kryptografischer Schlüssel definieren und anwenden.

Insbesondere sollten Organisationen ein robustes Schlüsselverwaltungssystem einrichten, das Regeln, Prozesse und Standards für Folgendes umfasst:

• Generierung kryptografischer Schlüssel für verschiedene Systeme und Anwendungen.
• Ausstellung und Erwerb von Public-Key-Zertifikaten.
• Verteilung der Schlüssel an die vorgesehenen Empfänger, einschließlich des Prozesses der Schlüsselaktivierung.
• Aufbewahrung von Schlüsseln und wie autorisierte Parteien auf Schlüssel zugreifen können.
• Schlüsselwechsel.
• Umgang mit kompromittierten Schlüsseln.
• Sperrung von Schlüsseln aus Gründen der Kompromittierung oder wenn autorisierte Personen eine Organisation verlassen.
• Wiederherstellung verlorener Schlüssel.
• Schlüsselsicherung und -archivierung.
• Schlüssel zerstören.
• Führen Sie ein Protokoll aller Aktivitäten im Zusammenhang mit jedem Schlüssel.
• Festlegung von Aktivierungs- und Deaktivierungsdaten für Schlüssel.
• Beantwortung rechtlicher Anfragen zum Zugang zu Schlüsseln.

Zu guter Letzt warnt dieser ergänzende Leitfaden Unternehmen vor drei besonderen Risiken:

• Geheime und geschützte Schlüssel sollten vor unbefugter Nutzung geschützt werden.
• Geräte, die zum Erstellen oder Speichern von Verschlüsselungsschlüsseln verwendet werden, sollten durch physische Sicherheitsmaßnahmen geschützt werden.
• Organisationen sollten die Authentizität öffentlicher Schlüssel wahren.

Was sind die Vorteile der Kryptographie?

Nachdem hervorgehoben wurde, dass Organisationen die Authentizität öffentlicher Schlüssel durch Methoden wie öffentliche Schlüsselverwaltungsprozesse sicherstellen können, erklärt Control 8.24, wie Kryptografie Organisationen dabei helfen kann, vier Ziele der Informationssicherheit zu erreichen:

1. Vertraulichkeit: Kryptographie schützt und wahrt die Vertraulichkeit von Daten sowohl bei der Übertragung als auch im Ruhezustand.
2. Integrität und Authentizität: Digitale Signaturen und Authentifizierungscodes können die Authentizität und Integrität der übermittelten Informationen sicherstellen.
3. Nicht-Zurückweisung: Kryptografische Methoden liefern den Nachweis aller durchgeführten Ereignisse oder Aktionen, wie z. B. den Empfang von Informationen.
4. Authentifizierung: Mit kryptografischen Methoden können Organisationen die Identität von Benutzern überprüfen, die Zugriff auf Systeme und Anwendungen anfordern.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/8.24 ersetzt 27002:2013/(10.1.1. und 10.1.2)

Obwohl der Inhalt beider Versionen nahezu identisch ist, gibt es einige strukturelle Änderungen.

Während die Version von 2013 den Einsatz von Kryptografie unter zwei getrennten Kontrollen behandelte, nämlich 10.1.1. Und 10.1.2, die Version 2022, kombinierte diese beiden unter einer Steuerung, 8.24.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

ISMS.Online ist die führende ISO 27002-Managementsystemsoftware, die die Einhaltung von ISO 27002 unterstützt und Unternehmen dabei hilft, ihre Sicherheitsrichtlinien und -verfahren an der Norm auszurichten.

Die cloudbasierte Plattform bietet einen vollständigen Satz an Tools, die Organisationen beim Aufbau eines Informationssicherheits-Managementsystems (ISMS) gemäß ISO 27002 unterstützen.

Nehmen Sie Kontakt auf und Demo buchen.