ISO 27001:2022 Annexe A Contrôle 8.24

Orientations générales sur la conformité à la norme ISO 27001:2022 Annexe A 8.24

ISO 27001: 2022 Annexe A Le contrôle 8.24 stipule sept exigences que les organisations doivent respecter lorsqu'elles utilisent des méthodes cryptographiques :

1. Les organisations doivent avoir une politique en place concernant l’utilisation de la cryptographie, afin de maximiser ses avantages et de réduire les risques. Cette politique devrait également définir les principes généraux de protection des informations.
2. Les organisations doivent tenir compte de la délicatesse de leurs ressources d’informations, ainsi que du niveau de classification des informations qui leur est attribué, lors de la sélection du type, de la force et de la qualité de l’algorithme de chiffrement.
3. Les organisations doivent utiliser des approches cryptographiques lors du transfert d'informations vers des appareils portables, des équipements multimédias ou lorsqu'elles y sont stockées.
4. Les organisations doivent s'attaquer à toutes les questions liées à la gestion des clés, comme la formation et la protection des clés cryptographiques et la mise en place d'un système de récupération des données au cas où les clés seraient manquantes ou vulnérables.
5. Les organisations doivent définir les rôles et responsabilités des éléments suivants :
• Les règles d'utilisation des techniques cryptographiques doivent être établies et appliquées.
• Manipulation des clés, y compris leur génération.
6. L'organisation adopte et approuve des normes englobant les algorithmes cryptographiques, la force de chiffrement et les pratiques d'utilisation de la cryptographie.
7. Les organisations doivent prendre en compte l'impact potentiel du chiffrement sur l'efficacité des contrôles d'inspection du contenu, tels que la détection des logiciels malveillants.

La norme ISO 27001 :2022, annexe A 8.24, souligne que les organisations doivent prendre en compte les exigences et restrictions juridiques pouvant avoir un impact sur l'utilisation de la cryptographie, y compris le transfert international d'informations cryptées.

Les organisations doivent prendre en compte la responsabilité et la continuité des services lorsqu'elles concluent des accords de service avec des fournisseurs externes de services cryptographiques.

Conseils sur la gestion des clés

Les organisations doivent mettre en place et suivre des processus sécurisés pour la génération, le stockage, la récupération et l'élimination des clés cryptographiques.

Les organisations doivent installer un système de gestion des clés solide comprenant des réglementations, des procédures et des critères pour :

• Il est nécessaire de générer des clés cryptographiques pour divers systèmes et applications.
• La délivrance et l'obtention de certificats de clé publique.
• Distribuez les clés aux destinataires prévus, y compris la procédure d'activation des clés.
• Les clés doivent être conservées en toute sécurité. Les personnes autorisées à y accéder peuvent le faire avec les informations d'identification nécessaires.
• Changement de clés.
• La gestion des clés compromises doit être prise au sérieux.
• Si les clés sont compromises ou si un personnel autorisé quitte une organisation, elles doivent être révoquées.
• Récupération des clés perdues.
• La sauvegarde et l'archivage des clés doivent être effectués régulièrement.
• Détruire les clés.
• Tenir un registre de toutes les activités liées à chaque clé.
• Établir les dates d'activation et de désactivation des clés.
• Accéder aux clés en réponse à des demandes légales.

Enfin, il est essentiel que les organisations soient conscientes des trois principaux risques soulignés dans ces lignes directrices supplémentaires :

1. Les clés sécurisées et privées doivent être protégées contre toute utilisation non autorisée.
2. La protection des équipements utilisés pour créer ou stocker des clés de chiffrement doit être effectuée avec la sécurité physique les mesures.
3. Les organisations doivent garantir la validité de leurs clés publiques.

Quels sont les avantages de la cryptographie ?

La norme ISO 27001 : 2022, annexe A 8.24, indique que la cryptographie peut être utilisée pour aider les organisations à atteindre quatre objectifs de sécurité des informations. Ces objectifs incluent la vérification de l'authenticité des clés publiques à travers des processus de gestion des clés publiques :

1. La cryptographie garantit la préservation de la confidentialité des données, tant en transit que lors de leur stockage.
2. Les signatures numériques et les codes d'authentification garantissent que les informations communiquées sont authentiques et fiables.
3. Les méthodes cryptographiques garantissent que tous les événements ou actions entreprises, y compris la réception d'informations, ne seront pas désavoués.
4. L'authentification via des méthodes cryptographiques permet aux organisations de valider l'identité des utilisateurs cherchant à accéder aux systèmes et applications.

Modifications et différences par rapport à la norme ISO 27001:2013

ISO 27001:2022 Annexe A 8.24 remplace ISO 27001:2013 Annexe A 10.1.1 et 10.1.2 dans la norme révisée 2022.

Le contenu des deux est presque le même, bien qu’il y ait quelques modifications structurelles.

Alors que la version 2013 comportait deux contrôles distincts, 10.1.1 et 10.1.2, pour l'utilisation de la cryptographie, la version 2022 les a regroupés en un seul contrôle de l'Annexe A, 8.24.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.

Comment l'aide d'ISMS.online

ISMS.Online est le principal logiciel de système de gestion ISO 27001, aidant les entreprises à adhérer à la norme ISO 27001:2022 et à garantir que leurs politiques et procédures de sécurité sont conformes à la norme.

Ce plate-forme en nuage propose un ensemble complet d'outils pour aider les organisations à mettre en œuvre un système de gestion de la sécurité de l'information (ISMS) conforme à la norme ISO 27001.

Tendre la main et réservez une démonstration aujourd'hui.