ISO 27002:2022, Control 8.24 – Uso de criptografía

Propiedad del Control 8.24

El cumplimiento de 8.24 requiere el establecimiento e implementación de una política específica sobre criptografía, creando un proceso de gestión de claves eficaz y determinando el tipo de técnica criptográfica adecuada al nivel de clasificación de información asignado a un activo de información en particular.

Por lo tanto, el director de seguridad de la información debe ser responsable de establecer reglas y procedimientos apropiados para el uso de claves criptográficas.

Orientación general sobre cumplimiento

Control 8.24 enumera siete requisitos que las organizaciones deben cumplir cuando utilizan técnicas criptográficas:

1. Las organizaciones deben crear y mantener una política temática específica sobre el uso de la criptografía. Esta política es esencial para maximizar los beneficios de las técnicas criptográficas y reduce los riesgos que pueden surgir del uso de la criptografía. También se señala que esta política debe cubrir los principios generales que rigen la protección de la información.
2. Las organizaciones deben considerar el nivel de sensibilidad de los activos de información y el nivel de clasificación de la información que se les asigna cuando deciden sobre el tipo, la solidez y la calidad del algoritmo de cifrado.
3. Las organizaciones deben implementar técnicas criptográficas cuando la información se transfiere a dispositivos móviles o a equipos de medios de almacenamiento o cuando la información se almacena en estos dispositivos.
4. Las organizaciones deben abordar cuestiones relacionadas con la gestión de claves, incluida la creación y protección de claves criptográficas y el plan de recuperación de datos cifrados en caso de que las claves se pierdan o se vean comprometidas.
5. Las organizaciones deben establecer las funciones y responsabilidades de lo siguiente:
• Establecimiento e implementación de las reglas sobre cómo se utilizarán las técnicas criptográficas.
• Cómo se manejarán las claves, incluido cómo se generarán.
6. La adopción y aprobación de estándares en toda la organización para los algoritmos criptográficos, la solidez del cifrado y las prácticas de uso de la criptografía.
7. La organización debe abordar cómo la información cifrada puede interferir con los controles que implican la inspección de contenido, como la detección de malware.

Además, el Control 8.24 destaca que las organizaciones deben tener en cuenta las leyes y requisitos que pueden restringir el uso de la criptografía, incluida la transferencia transfronteriza de información cifrada.

Finalmente, también se recomienda a las organizaciones que aborden la responsabilidad y la continuidad de los servicios cuando celebren acuerdos de servicio con terceros para la prestación de servicios criptográficos.

Orientación complementaria sobre gestión de claves

Las organizaciones deben definir y aplicar procedimientos seguros para la creación, almacenamiento, recuperación y destrucción de claves criptográficas.

En particular, las organizaciones deben implementar un sistema sólido de gestión de claves que incluya reglas, procesos y estándares para lo siguiente:

• Generación de claves criptográficas para diferentes sistemas y aplicaciones.
• Emisión y adquisición de certificados de clave pública.
• Distribución de claves a los destinatarios previstos, incluido el proceso de activación de claves.
• Almacenamiento de claves y cómo las partes autorizadas pueden acceder a las claves.
• Cambio de llaves.
• Manejo de claves comprometidas.
• Revocación de claves por el motivo por el cual están comprometidas o cuando personas autorizadas abandonan una organización.
• Recuperación de llaves perdidas.
• Copia de seguridad y archivo de claves.
• Destruyendo llaves.
• Mantener un registro de todas las actividades relacionadas con cada clave.
• Determinación de fechas de activación y desactivación de claves.
• Atender solicitudes legales para tener acceso a claves.

Por último, pero no menos importante, esta guía complementaria advierte a las organizaciones contra tres riesgos particulares:

• Las claves secretas y protegidas deben protegerse contra el uso no autorizado.
• El equipo utilizado para crear o almacenar claves de cifrado debe protegerse mediante medidas de seguridad físicas.
• Las organizaciones deben mantener la autenticidad de las claves públicas.

¿Cuáles son los beneficios de la criptografía?

Después de resaltar que las organizaciones pueden garantizar la autenticidad de las claves públicas mediante métodos como los procesos de gestión de claves públicas, Control 8.24 explica cómo la criptografía puede ayudar a las organizaciones a lograr cuatro objetivos de seguridad de la información:

1. Confidencialidad: La criptografía protege y mantiene la confidencialidad de los datos tanto en tránsito como en reposo.
2. Integridad y autenticidad: Las firmas digitales y los códigos de autenticación pueden garantizar la autenticidad y la integridad de la información comunicada.
3. No repudio: Los métodos criptográficos proporcionan evidencia de todos los eventos o acciones realizadas, como la recepción de información.
4. Autenticación: Los métodos criptográficos permiten a las organizaciones verificar la identidad de los usuarios que solicitan acceso a sistemas y aplicaciones.

Cambios y diferencias con respecto a ISO 27002:2013

27002:2022/8.24 reemplaza 27002:2013/(10.1.1. Y 10.1.2)

Si bien el contenido de ambas versiones es casi idéntico, existen algunos cambios estructurales.

Mientras que la versión de 2013 abordó el uso de criptografía bajo dos controles separados, a saber, 10.1.1. Y 10.1.2, la versión 2022 combinó estos dos bajo un solo Control, 8.24.

Cómo ayuda ISMS.online

ISMS.Online es el software líder en sistemas de gestión ISO 27002 que respalda el cumplimiento de ISO 27002 y ayuda a las empresas a alinear sus políticas y procedimientos de seguridad con el estándar.

La plataforma basada en la nube proporciona un conjunto completo de herramientas para ayudar a las organizaciones a configurar un sistema de gestión de seguridad de la información (SGSI) de acuerdo con la norma ISO 27002.

Ponte en contacto y RESERVAR UNA DEMOSTRACIÓN.