Krüptograafiliste kontrollimeetmete poliitika

Krüptograafiliste kontrollimeetmete poliitika (P18) kehtestab kohustuslikud kontrollimeetmed, mis reguleerivad krüptograafiliste mehhanismide kasutamist kogu organisatsioonis, et tagada kogu tundliku ja reguleeritud teabe konfidentsiaalsus, terviklus ja autentsus. Tunnistades, et krüptograafia on turvalise teabevahetuse, õigusnormidele vastavuse ja andmekaitse alus, kirjeldab see poliitika üksikasjalikke nõudeid, mis on kooskõlas juhtivate ülemaailmsete standardite ja arenevate regulatiivsete nõuetega. Peamine eesmärk on tagada, et asjakohaseid krüptograafilisi meetodeid rakendatakse järjepidevalt kõikjal, kus tundlikke andmeid edastatakse, töödeldakse või säilitatakse, suurendades organisatsioonilist usaldust ja toetades turvalisi operatsioone kõigis ärivaldkondades. Poliitika kehtib kogu organisatsioonis, hõlmates kõiki ärifunktsioone, kogu personali ja asjakohaseid kolmanda osapoole teenuseosutajaid, kes osalevad krüptograafilistes tegevustes. Käsitlusala hõlmab tootmis-, arendus- ja eelproduktsioonikeskkonda, varundussüsteeme ja katastroofitaastekeskkonda, viidates selgesõnaliselt süsteemidele, mis käitlevad konfidentsiaalseid, väga konfidentsiaalseid või reguleeritud andmeid. Krüptograafilised kasutusjuhud ulatuvad sümmeetrilisest ja asümmeetrilisest krüpteerimisest, digiallkirjadest, turvalisest räsimisest ja API-taseme krüpteerimisest kuni tugeva võtmete genereerimise, jaotamise ja hävitamiseni, sh tehnoloogiad nagu riistvaralised turvamoodulid (HSM-id), usaldusväärse platvormi moodulid (TPM-id) ja võtmehaldussüsteemid (KMS). Kehtestatakse tugev juhtimisraamistik, mida juhib infoturbejuht või CISO, kes omab poliitikat ja tagab selle vastavuse muu hulgas standardi ISO/IEC 27001:2022 lisa A kontrollimeetmele 8.24. Krüptograafiliste operatsioonide juht haldab heakskiidetud krüptograafiliste meetodite loendit (ACML) ja võtmehaldusregistrit, juhtides uute tehnoloogiate ülevaatamist ja integreerimist. Vahetud juhid, süsteemiadministraatorid, vara omanikud, arendajad ja kolmanda osapoole teenuseosutajad saavad selged vastutused krüptograafiliste kontrollimeetmete heakskiitmise, seadistamise, jõustamise ja ülevaatamise eest oma valdkondades. Kõigi uute või muudetud juurutuste puhul on kohustuslikud iga-aastased ülevaatused ja krüptograafilise disaini ülevaatused (CDR-id), tagades kooskõla ajakohaste ohtude ja regulatiivsete nõuetega. Poliitika rakendamisnõuded on põhjalikud. Kasutada tohib ainult organisatsiooni poolt heakskiidetud algoritme ja protokolle, sh AES-256 sümmeetriliseks krüpteerimiseks, RSA 2048+/ECC asümmeetriliseks, SHA-256/SHA-3 räsimiseks ja TLS 1.2+ transpordiks. Määratletakse ametlik, keskelt juhitud võtmehaldusprotsess, mis hõlmab turvalist võtmete genereerimist, säilitamist, kasutamist, rotatsiooni, tühistamist, hävitamist ja sertifikaatide uuendamist. Rollide eraldamine ja kahekordne hoidmine tundlike toimingute puhul tagavad volitused ja aruandekohustuse ning vähendavad siseohtude riski, samal ajal kui pidev seire tuvastab sertifikaatide aegumise, aegunud šifrite kasutamise ja volitamata võtmetele juurdepääsu. Riski, erandite ja jõustamise käsitlemine on range. Kõrvalekaldumine standardalgoritmidest nõuab dokumenteeritud heakskiitmisprotsessi, sh riskihindamist ja kompenseerivaid kontrollimeetmeid. Krüptograafiliste kontrollimeetmete iga-aastane auditeerimine, range eskaleerimine mittevastavuse või võtmete kompromiteerimise korral ning ametlikud distsiplinaar- või lepingulised parandusmeetmed on standardprotseduur. Poliitikat vaadatakse regulaarselt läbi ja ajakohastatakse vastusena uutele krüptograafilistele haavatavustele, regulatiivsetele muudatustele, operatiivsetele audititele või olulistele tööriistauuendustele, kasutades tsentraliseeritud teabevahetust ja versioonihaldust ISMS-i dokumendihalduse registri kaudu.