Πολιτική Κρυπτογραφικών Ελέγχων

Η Πολιτική Κρυπτογραφικών Ελέγχων (P18) καθορίζει τους υποχρεωτικούς ελέγχους που διέπουν τη χρήση κρυπτογραφικών μηχανισμών σε όλο τον οργανισμό, ώστε να διασφαλίζεται η εμπιστευτικότητα, η ακεραιότητα και η αυθεντικότητα όλων των ευαίσθητων και ρυθμιζόμενων πληροφοριών. Αναγνωρίζοντας ότι η κρυπτογραφία αποτελεί θεμέλιο για ασφαλείς επικοινωνίες, κανονιστική συμμόρφωση και προστασία δεδομένων, η παρούσα πολιτική περιγράφει λεπτομερείς απαιτήσεις ευθυγραμμισμένες με κορυφαία παγκόσμια πρότυπα και εξελισσόμενες ρυθμιστικές επιταγές. Κύριος σκοπός είναι να διασφαλιστεί ότι κατάλληλες κρυπτογραφικές μέθοδοι εφαρμόζονται με συνέπεια όπου ευαίσθητα δεδομένα μεταδίδονται, υποβάλλονται σε επεξεργασία ή αποθηκεύονται, ενισχύοντας την εμπιστοσύνη στον οργανισμό και υποστηρίζοντας ασφαλείς λειτουργίες σε όλους τους επιχειρησιακούς τομείς. Η πολιτική εφαρμόζεται σε όλο τον οργανισμό, καλύπτοντας όλες τις επιχειρησιακές λειτουργίες, όλο το προσωπικό και τους σχετικούς τρίτους παρόχους υπηρεσιών που εμπλέκονται σε κρυπτογραφικές λειτουργίες. Η κάλυψη εκτείνεται σε περιβάλλον παραγωγής, ανάπτυξης, staging, συστήματα αντιγράφων ασφαλείας και περιβάλλον ανάκαμψης από καταστροφή, με ρητή αναφορά σε συστήματα που χειρίζονται δεδομένα Εμπιστευτικό, Άκρως Εμπιστευτικό ή Ρυθμιζόμενα. Οι περιπτώσεις χρήσης περιλαμβάνουν συμμετρική και ασύμμετρη κρυπτογράφηση, ψηφιακές υπογραφές, ασφαλή κατακερματισμό και κρυπτογράφηση σε επίπεδο διεπαφών προγραμματισμού εφαρμογών, καθώς και ισχυρή δημιουργία, διανομή και καταστροφή κλειδιών, συμπεριλαμβανομένων τεχνολογιών όπως Hardware Security Modules (HSMs), Trusted Platform Modules (TPMs) και Key Management Systems (KMS). Θεσπίζεται ισχυρό πλαίσιο διακυβέρνησης, υπό την ηγεσία του Υπεύθυνου Ασφάλειας Πληροφοριών ή του Επικεφαλής Ασφάλειας Πληροφοριών (CISO), ο οποίος είναι ιδιοκτήτης της πολιτικής και διασφαλίζει τη συμμόρφωσή της με το ISO/IEC 27001:2022 Annex A Control 8.24, μεταξύ άλλων. Ο Υπεύθυνος Κρυπτογραφικών Λειτουργιών διατηρεί τον Κατάλογο Εγκεκριμένων Κρυπτογραφικών Μεθόδων (ACML) και το Μητρώο Διαχείρισης Κλειδιών, ηγούμενος της ανασκόπησης και ενσωμάτωσης νέων τεχνολογιών. Οι άμεσοι προϊστάμενοι, διαχειριστές συστημάτων, ιδιοκτήτες περιουσιακών στοιχείων, προγραμματιστές και τρίτοι πάροχοι υπηρεσιών λαμβάνουν σαφείς αρμοδιότητες για την έγκριση, διαμόρφωση, επιβολή και ανασκόπηση κρυπτογραφικών ελέγχων στους τομείς τους. Επιβάλλονται ετήσιες ανασκοπήσεις και Ανασκοπήσεις Κρυπτογραφικού Σχεδιασμού (CDRs) για όλες τις νέες ή τροποποιημένες εγκαταστάσεις, διασφαλίζοντας ευθυγράμμιση με τις τρέχουσες απειλές και τις ρυθμιστικές απαιτήσεις. Οι απαιτήσεις υλοποίησης είναι ολοκληρωμένες. Επιτρέπεται η χρήση μόνο αλγορίθμων και πρωτοκόλλων εγκεκριμένων από τον οργανισμό, συμπεριλαμβανομένων AES-256 για συμμετρική κρυπτογράφηση, RSA 2048+/ECC για ασύμμετρη, SHA-256/SHA-3 για κατακερματισμό και TLS 1.2+ για μεταφορά. Ορίζεται επίσημη, κεντρικά διαχειριζόμενη διαδικασία διαχείρισης κλειδιών, που καλύπτει ασφαλή δημιουργία, αποθήκευση, χρήση, περιοδική αλλαγή, ανάκληση, καταστροφή και ανανέωση πιστοποιητικών. Ο διαχωρισμός καθηκόντων και η διπλή θεματοφυλακή για ευαίσθητες λειτουργίες διασφαλίζουν λογοδοσία και μειώνουν τον κίνδυνο εσωτερικών απειλών, ενώ η συνεχής παρακολούθηση εντοπίζει λήξη πιστοποιητικών, χρήση παρωχημένων κρυπτοσυστημάτων και μη εξουσιοδοτημένη πρόσβαση σε κλειδιά. Η αντιμετώπιση κινδύνου, οι εξαιρέσεις και η επιβολή είναι αυστηρές. Απόκλιση από τυπικούς αλγορίθμους απαιτεί τεκμηριωμένη διαδικασία έγκρισης, συμπεριλαμβανομένης εκτίμησης κινδύνου και αντισταθμιστικών ελέγχων. Η ετήσια διενέργεια ελέγχων των κρυπτογραφικών ελέγχων, η αυστηρή κλιμάκωση για μη συμμόρφωση ή συμβιβασμό κλειδιών και οι επίσημες πειθαρχικές ή συμβατικές διορθώσεις αποτελούν τυπική διαδικασία. Η πολιτική ανασκοπείται και επικαιροποιείται τακτικά ως απόκριση σε νέες κρυπτογραφικές ευπάθειες, ρυθμιστικές αλλαγές, επιχειρησιακούς ελέγχους ή σημαντικές αναβαθμίσεις εργαλείων, με κεντρική επικοινωνία και έλεγχο εκδόσεων μέσω του Μητρώου Ελέγχου Εγγράφων ΣΔΑΠ.