Crypto-services

Verwante principes → BIO Thema Clouddiensten → Binnen dit normenkader èn beveiligingsaspect → Alle Normenkaders → Alle Beveiligingsprincipes → Alle Normen → Beveiligingsaspecten → ISOR

Cryptoservices zijn technische functies voor het versleutelen en ontsleutelen van data, het maken van elektronische handtekeningen en kunnen toepassen van versterkte authenticatie, al dan niet via Public-Key-Infrastructuur (PKI) technologie. Sleutelbeheer is een onderdeel van cryptoservices. Desgewenst kan de CSC in haar PvE(W), de crypto-eisen van het Nationaal Bureau Verbindingsveiligheid (NBV) specificeren. NB Er volgt in de versie 1.1 een principe ‘Cryptobeleid’ waarin beleidsmaatregelen ten aanzien van cryptservices is opgenomen AP WTJV.

Criterium

Gevoelige data van CSC’s behoort conform het overeengekomen beleid inzake cryptografische maatregelen, tijdens transport via netwerken en bij opslag bij CSP te zijn versleuteld.

Doelstelling

Risico

Indeling binnen ISOR

Dit beveiligingsprincipe:

• is gericht op Beveiligingsaspect Uitvoering
  
• valt binnen de IFGS-indeling IFGS Gedrag
  ℹ️(Klik om uitleg open/dicht te klappen)

De ISOR-wiki bevat normenkaders waarin beveiligings- en privacyprincipes zijn beschreven. Deze themaprincipes zijn conform de SIVA-methode ingedeeld in drie aspecten:Beleid, Uitvoering of Control. Daarnaast zijn ze geordend in invalshoeken: Intentie, Functie, Gedrag, Structuur.

Grondslag

De grondslag voor dit principe is ISO 27040 7.7.1, IT-Grundschutz (Basis für Informationssicherheit) C5 5.8 KRY en C5 5.8 KRY03, ISO 27005 , NEN-ISO/IEC 27002 10.1

Onderliggende normen

ID	Conformiteitsindicator	Stelling	Pagina
Cloud_U.11.01	beleid	In het cryptografiebeleid zijn minimaal de volgende onderwerpen uitgewerkt: wanneer cryptografie ingezet wordt; wie verantwoordelijk is voor de implementatie van cryptologie ; wie verantwoordelijk is voor het sleutelbeheer; welke normen als basis dienen voor cryptografie en de wijze waarop de normen van het Forum Standaardisatie worden toegepast; de wijze waarop het beschermingsniveau vastgesteld wordt; het onderling vaststellen van het beleid voor communicatie tussen organisaties.	Uitwerken cryptografiebeleid
Cloud_U.11.02	cryptografische maatregelen	In geval van PKI-overheidscertificaten worden de PKI-overheidseisen gehanteerd ten aanzien van het sleutelbeheer. In overige situaties worden de ISO 11770 standaard voor het beheer van cryptografische sleutels gehanteerd.	Hanteren PKI-overheidseisen en ISO 11770 voor sleutelbeheer
Cloud_U.11.03	versleuteld	Gevoelige data (op transport en in rust) is altijd versleuteld, waarbij private-key’s in beheer zijn bij de CSC. Het gebruik van een private-sleutel door de CSP is gebaseerd op een gecontroleerde procedure en moet gezamenlijk worden overeengekomen met de CSC-organisatie.	Versleutelen gevoelige data en private-sleutelgebruik baseren op gecontroleerde overeengekomen procedure