Kryptografisten hallintakeinojen politiikka

Kryptografisten hallintakeinojen politiikka (P18) määrittää pakolliset hallintakeinot, jotka ohjaavat kryptografisten mekanismien käyttöä koko organisaatiossa, jotta varmistetaan kaiken arkaluonteisen ja sääntelyn alaisen tiedon luottamuksellisuus, eheys ja aitous. Koska kryptografia on keskeinen osa turvallista viestintää, sääntelyvaatimusten noudattamista ja tietosuojaa, tämä politiikka kuvaa yksityiskohtaiset vaatimukset, jotka ovat yhdenmukaisia johtavien kansainvälisten standardien ja kehittyvien sääntelyvaatimusten kanssa. Ensisijainen tarkoitus on varmistaa, että asianmukaisia kryptografisia menetelmiä sovelletaan johdonmukaisesti aina, kun arkaluonteista dataa siirretään, käsitellään tai tallennetaan, vahvistaen luottamusta ja tukien turvallista toimintaa kaikilla liiketoiminta-alueilla. Politiikka koskee koko organisaatiota ja kattaa kaikki liiketoiminnot, koko henkilöstön sekä asiaankuuluvat kolmannen osapuolen palveluntarjoajat, jotka osallistuvat kryptografisiin toimintoihin. Soveltamisala ulottuu tuotanto-, kehitys-, staging-, varmuuskopiointijärjestelmä- ja katastrofipalautusympäristöihin, ja viittaa nimenomaisesti järjestelmiin, jotka käsittelevät Luottamuksellinen-, Erittäin luottamuksellinen- tai sääntelyn alaiset tiedot -luokiteltuja tietoja. Kryptografiset käyttötapaukset kattavat symmetrisen ja epäsymmetrisen salauksen, digitaaliset allekirjoitukset, turvallisen tiivisteytyksen sekä API-tason salauksen, ja lisäksi vahvan avainten luomisen, jakelun ja tuhoamisen, mukaan lukien teknologiat kuten Hardware Security Modules (HSMs), Trusted Platform Modules (TPMs) ja Key Management Systems (KMS). Vahva hallintotapaviitekehys perustetaan, ja sitä johtaa tietoturvapäällikkö tai tietoturvajohtaja (CISO), joka omistaa politiikan ja varmistaa sen vaatimustenmukaisuuden ISO/IEC 27001:2022 Liite A:n hallintakeinon 8.24 ja muiden vaatimusten kanssa. Kryptografisten toimintojen vetäjä ylläpitää hyväksyttyjen kryptografisten menetelmien luetteloa (ACML) ja avainten hallintarekisteriä sekä johtaa uusien teknologioiden katselmointia ja integrointia. Lähiesihenkilöt, järjestelmänvalvojat, omaisuuden omistaja, kehittäjät ja kolmannen osapuolen palveluntarjoajat saavat selkeät vastuut kryptografisten hallintakeinojen hyväksynnästä, konfiguroinnista, täytäntöönpanosta ja katselmoinnista omilla vastuualueillaan. Vuosittaiset katselmoinnit ja kryptografiset suunnittelukatselmoinnit (CDR) ovat pakollisia kaikille uusille tai muutetuille käyttöönotolle, jotta varmistetaan yhdenmukaisuus ajankohtaisten uhkien ja sääntelyvaatimusten kanssa. Politiikan toteutusvaatimukset ovat kattavat. Vain organisaation hyväksymiä algoritmeja ja protokollia, mukaan lukien AES-256 symmetriseen salaukseen, RSA 2048+/ECC epäsymmetriseen, SHA-256/SHA-3 tiivisteytykseen ja TLS 1.2+ siirtoon, saa käyttää. Muodollinen, keskitetysti hallittu avainten hallintaprosessi määritellään ja kattaa turvallisen avainten luomisen, säilytyksen, käytön, kierron, perumisen, tuhoamisen ja varmenteiden uusimisen. Tehtävien eriyttäminen ja kahden henkilön säilytysvastuu arkaluonteisissa toiminnoissa varmistavat vastuuvelvollisuuden ja vähentävät sisäpiiriuhkia, kun taas jatkuva seuranta tunnistaa varmenteiden vanhenemisen, käytöstä poistettujen salausmenetelmien käytön ja luvattoman avainpääsyn. Riskien, poikkeusten ja täytäntöönpanon käsittely on tiukkaa. Poikkeaminen vakiomenetelmistä edellyttää dokumentoitua hyväksyntäprosessia, mukaan lukien riskien arviointi ja kompensoivat hallintakeinot. Kryptografisten hallintakeinojen vuosittainen auditointi, tiukka eskalointi vaatimustenvastaisuuden tai avainten vaarantumisen yhteydessä sekä muodolliset kurinpidolliset tai sopimukselliset seuraamukset ovat vakiomenettely. Politiikka katselmoidaan ja päivitetään säännöllisesti vastauksena uusiin kryptografisiin haavoittuvuuksiin, sääntelymuutoksiin, operatiivisiin auditointeihin tai merkittäviin työkalupäivityksiin, ja keskitetty viestintä sekä versionhallinta toteutetaan ISMS Document Control Registerin kautta.