Crypto-services

Uit NORA Online
ISOR:Crypto-services /
Versie door Annemiekedewit (Overleg | bijdragen) op 12 mei 2020 om 18:26 (grondslagen gecorrigeerd)

(wijz) ← Oudere versie | Huidige versie (wijz) | Nieuwere versie → (wijz)
Ga naar: navigatie, zoeken
Logo ISOR themaprincipes (vier hangsloten die in elkaar geklikt zitten met tekst ISOR Beveiliging Principe)

Cryptoservices zijn technische functies voor het versleutelen en ontsleutelen van data, het maken van elektronische handtekeningen en kunnen toepassen van versterkte authenticatie, al dan niet via Public-Key-Infrastructuur (PKI) technologie. Sleutelbeheer is een onderdeel van cryptoservices. Desgewenst kan de CSC in haar PvE(W), de crypto-eisen van het Nationaal Bureau Verbindingsveiligheid (NBV) specificeren. NB Er volgt in de versie 1.1 een principe ‘Cryptobeleid’ waarin beleidsmaatregelen ten aanzien van cryptservices is opgenomen AP WTJV.


Criterium

Gevoelige data van CSC’s behoort conform het overeengekomen beleid inzake cryptografische maatregelen, tijdens transport via netwerken en bij opslag bij CSP te zijn versleuteld.

Doelstelling

Risico

Indeling binnen ISOR

Dit beveiligingsprincipe:

De ISOR-wiki bevat normenkaders waarin beveiligings- en privacyprincipes zijn beschreven. Deze themaprincipes zijn conform de SIVA-methode ingedeeld in drie aspecten:Beleid, Uitvoering of Control. Daarnaast zijn ze geordend in invalshoeken: Intentie, Functie, Gedrag, Structuur.

Grondslag

De grondslag voor dit principe is NEN-ISO/IEC 27002 10.1, ISO 27040 7.7.1, IT-Grundschutz (Basis für Informationssicherheit) C5 5.8 KRY en C5 5.8 KRY03, ISO 27005

Onderliggende normen

IDConformiteitsindicatorStelling
Cloud_U.11.01 beleid

In het cryptografiebeleid zijn minimaal de volgende onderwerpen uitgewerkt:

  1. wanneer cryptografie ingezet wordt;
  2. wie verantwoordelijk is voor de implementatie van cryptologie ;
  3. wie verantwoordelijk is voor het sleutelbeheer;
  4. welke normen als basis dienen voor cryptografie en de wijze waarop de normen van het Forum Standaardisatie worden toegepast;
  5. de wijze waarop het beschermingsniveau vastgesteld wordt;
  6. het onderling vaststellen van het beleid voor communicatie tussen organisaties.
Cloud_U.11.02 cryptografische maatregelen

In geval van PKI-overheidscertificaten worden de PKI-overheidseisen gehanteerd ten aanzien van het sleutelbeheer. In overige situaties worden de ISO 11770 standaard voor het beheer van cryptografische sleutels gehanteerd.

Cloud_U.11.03 versleuteld

Gevoelige data (op transport en in rust) is altijd versleuteld, waarbij private-key’s in beheer zijn bij de CSC. Het gebruik van een private-sleutel door de CSP is gebaseerd op een gecontroleerde procedure en moet gezamenlijk worden overeengekomen met de CSC-organisatie.