ISO 27002 :2022 – Contrôle 8.24 – Utilisation de la cryptographie

Assurer la gestion sécurisée des informations grâce à la cryptographie dans la norme ISO 27002:2022

Lorsque des informations sont transmises entre des réseaux et des appareils, les cyberattaquants peuvent utiliser diverses techniques pour voler des informations sensibles pendant le transit, altérer le contenu des informations, usurper l'identité de l'expéditeur/destinataire pour obtenir un accès non autorisé aux informations ou intercepter le transfert d'informations.

Par exemple, les cybercriminels peuvent utiliser la technique d'attaque de l'homme du milieu (MITM), intercepter la transmission de données et usurper l'identité du serveur pour persuader l'expéditeur de divulguer ses identifiants de connexion au faux serveur. Ils peuvent ensuite utiliser ces informations d’identification pour accéder aux systèmes et compromettre des informations sensibles.

L'utilisation de la cryptographie telle que le cryptage peut être efficace pour protéger la confidentialité, l'intégrité et la disponibilité des actifs informationnels lorsqu'ils sont en transit.

De plus, les techniques cryptographiques peuvent également maintenir la sécurité des actifs informationnels lorsqu’ils sont au repos.

Le contrôle 8.24 explique comment les organisations peuvent établir et mettre en œuvre des règles et des procédures pour l'utilisation de la cryptographie.

Objectif du contrôle 8.24

Control 8.24 permet aux organisations de maintenir la confidentialité, l'intégrité, l'authenticité et la disponibilité des actifs informationnels en mettant en œuvre correctement les techniques cryptographiques et en prenant en compte les critères suivants :

• Les besoins de l'entreprise.
• Exigences en matière de sécurité des informations.
• Exigences légales, contractuelles et organisationnelles concernant l'utilisation de la cryptographie.

Attributs du contrôle 8.24

Le contrôle 8.24 est un type de contrôle préventif qui oblige les organisations à établir des règles et des procédures pour l'utilisation efficace des techniques cryptographiques et ainsi éliminer et minimiser les risques de compromission des actifs informationnels lorsqu'ils sont en transit ou au repos.

Propriété sur le contrôle 8.24

La conformité à 8.24 nécessite l'établissement et la mise en œuvre d'une politique spécifique en matière de cryptographie, la création d'un processus de gestion de clés efficace et la détermination du type de technique cryptographique appropriée au niveau de classification des informations attribué à un actif informationnel particulier.

Par conséquent, le responsable de la sécurité de l’information devrait être chargé d’établir les règles et procédures appropriées pour l’utilisation des clés cryptographiques.

Orientations générales sur la conformité

Control 8.24 énumère sept exigences que les organisations doivent respecter lorsqu'elles utilisent des techniques cryptographiques :

1. Les organisations doivent créer et maintenir une politique spécifique sur l'utilisation de la cryptographie. Cette politique est essentielle pour maximiser les bénéfices des techniques cryptographiques et réduit les risques pouvant découler de l’utilisation de la cryptographie. Il est également à noter que cette politique devrait couvrir les principes généraux régissant la protection des informations.
2. Les organisations doivent prendre en compte le niveau de sensibilité des actifs informationnels et le niveau de classification des informations qui leur est attribué lorsqu'elles décident du type, de la force et de la qualité de l'algorithme de chiffrement.
3. Les organisations doivent mettre en œuvre des techniques cryptographiques lorsque les informations sont transférées vers des appareils mobiles ou vers des équipements de stockage ou lorsque les informations sont stockées sur ces appareils.
4. Les organisations doivent résoudre les problèmes liés à la gestion des clés, notamment la création et la protection des clés cryptographiques et le plan de récupération des données chiffrées en cas de perte ou de compromission des clés.
5. Les organisations doivent définir les rôles et responsabilités des éléments suivants :
• Établissement et mise en œuvre des règles sur la manière dont les techniques cryptographiques seront utilisées.
• Comment les clés seront gérées, y compris la manière dont elles seront générées.
6. L'adoption et l'approbation de normes dans toute l'organisation concernant les algorithmes cryptographiques, la force de chiffrement et les pratiques d'utilisation de la cryptographie.
7. L'organisation doit réfléchir à la manière dont les informations chiffrées peuvent interférer avec les contrôles qui impliquent l'inspection du contenu, comme la détection de logiciels malveillants.

En outre, le contrôle 8.24 souligne que les organisations doivent prendre en compte les lois et exigences susceptibles de restreindre l'utilisation de la cryptographie, y compris le transfert transfrontalier d'informations cryptées.

Enfin, il est également conseillé aux organisations de prendre en compte la responsabilité et la continuité des services lorsqu'elles concluent des accords de service avec des tiers pour la fourniture de services cryptographiques.

Conseils supplémentaires sur la gestion des clés

Les organisations doivent définir et appliquer des procédures sécurisées pour la création, le stockage, la récupération et la destruction des clés cryptographiques.

En particulier, les organisations doivent mettre en place un système de gestion des clés robuste qui comprend des règles, des processus et des normes pour les éléments suivants :

• Génération de clés cryptographiques pour différents systèmes et applications.
• Émission et acquisition de certificats de clé publique.
• Distribution des clés aux destinataires prévus, y compris le processus d'activation des clés.
• Stockage des clés et comment les parties autorisées peuvent accéder aux clés.
• Changement de clés.
• Gestion des clés compromises.
• Révocation des clés pour savoir pourquoi elles sont compromises ou lorsque des personnes autorisées quittent une organisation.
• Récupération des clés perdues.
• Sauvegarde et archivage des clés.
• Détruire les clés.
• Tenir un journal de toutes les activités liées à chaque clé.
• Détermination des dates d'activation et de désactivation des clés.
• Répondre aux demandes légales d'accès aux clés.

Enfin et surtout, ces lignes directrices supplémentaires mettent en garde les organisations contre trois risques particuliers :

• Les clés secrètes et protégées doivent être protégées contre toute utilisation non autorisée.
• L'équipement utilisé pour créer ou stocker des clés de chiffrement doit être protégé par des mesures de sécurité physique.
• Les organisations doivent maintenir l’authenticité des clés publiques.

Quels sont les avantages de la cryptographie ?

Après avoir souligné que les organisations peuvent garantir l'authenticité des clés publiques par des méthodes telles que les processus de gestion des clés publiques, Control 8.24 explique comment la cryptographie peut aider les organisations à atteindre quatre objectifs de sécurité de l'information :

1. Confidentialité: La cryptographie protège et maintient la confidentialité des données en transit et au repos.
2. Intégrité et authenticité: Les signatures numériques et les codes d'authentification peuvent garantir l'authenticité et l'intégrité des informations communiquées.
3. Non-répudiation: Les méthodes cryptographiques fournissent la preuve de tous les événements ou actions effectués comme la réception d'informations.
4. Authentification: Les méthodes cryptographiques permettent aux organisations de vérifier l'identité des utilisateurs demandant l'accès aux systèmes et applications.

Modifications et différences par rapport à la norme ISO 27002:2013

27002:2022/8.24 remplace 27002:2013/(10.1.1. Et 10.1.2)

Bien que le contenu des deux versions soit presque identique, quelques changements structurels sont à noter.

Alors que la version 2013 traitait de l'utilisation de la cryptographie sous deux contrôles distincts, à savoir 10.1.1. Et 10.1.2, la version 2022 combinait ces deux sous un seul contrôle, 8.24.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

ISMS.Online est le principal logiciel de système de gestion ISO 27002 qui prend en charge la conformité à la norme ISO 27002 et aide les entreprises à aligner leurs politiques et procédures de sécurité sur la norme.

La plate-forme basée sur le cloud fournit un ensemble complet d'outils pour aider les organisations à mettre en place un système de gestion de la sécurité de l'information (ISMS) conformément à la norme ISO 27002.

Contactez-nous et réserver une démo.