Norm

Rationale	Deze maatregel borgt dat gegevens versleuteld worden uitgewisseld met versleuteling zoals beschreven in de Architectuur van Zorgeloos Vastgoed. Dit heeft als doel dat de vertrouwelijkheid en integriteit van de gegevens gewaarborgd is, ook indien een onbevoegd persoon toegang verkrijgt tot de datadrager of logische dataopslag.
Implementatie	Alle gegevens die worden uitgewisseld binnen het afsprakenstelsel worden beschermd door middel van encryptie. Hiervoor wordt verwezen naar de aanbevelingen die gelden voor 'near-term protection' en 'long-term protection', zie https://www.keylength.com/.
Toelichting	Deze maatregel mag uitgesloten worden indien Softwareleverancier Consument onder zijn verantwoording geen persoonlijke gegevens opslaat. Een overzicht van publicaties is te vinden op https://www.keylength.com/. Er kan gebruik gemaakt worden van de ECRYPT-CS-, NIST- of BSI- aanbevelingen. Deze norm betreft alle opgeslagen persoonlijke gegevens, inclusief logfiles, backups en/of archieven.
ISO 27001:2017	A.10.1.1 Beleid inzake het gebruik van cryptografische beheersmaatregelen

Beoordeling

Auditmethode

Stel op basis van de architecturele inrichting vast of er wordt voldaan aan de aanbevelingen die gelden voor 'near-term protection' en 'long-term protection’ volgens de door Aangeslotene gekozen invulling van encryptiestandaarden en -sleutels, bijvoorbeeld ECRYPT-CSA, NIST of BSI (zie https://www.keylength.com/). De Aangeslotene zal moeten aangeven welke encryptiestandaarden, sleutellengtes en derdelijke er gekozen zijn voor de opslag van gegevens.
Stel op basis van een steekproef vast of aanbevelingen ook daadwerkelijk geïmplementeerd zijn.

Verificatie