Politika kriptografskih kontrola

Politika kriptografskih kontrola (P18) uspostavlja obvezne kontrole koje upravljaju uporabom kriptografskih mehanizama u cijeloj organizaciji kako bi se osigurala povjerljivost, cjelovitost i autentičnost svih osjetljivih i reguliranih informacija. Prepoznajući da je kriptografija temelj sigurne komunikacije, usklađenosti s propisima i zaštite podataka, ova politika opisuje detaljne zahtjeve usklađene s vodećim globalnim standardima i promjenjivim regulatornim zahtjevima. Primarna svrha je jamčiti da se odgovarajuće kriptografske metode dosljedno primjenjuju gdje god se osjetljivi podaci prenose, obrađuju ili pohranjuju, jačajući povjerenje organizacije i podržavajući sigurne operacije u svim poslovnim domenama. Politika se primjenjuje na razini cijele organizacije te obuhvaća sve poslovne funkcije, svo osoblje i relevantne pružatelje usluga treće strane uključene u kriptografske operacije. Obuhvat se proteže na produkcijsko okruženje, razvoj, staging, sustave za sigurnosno kopiranje i okruženje za oporavak od katastrofe, uz izričito upućivanje na sustave koji obrađuju Povjerljivo, Visoko povjerljivo ili regulirane podatke. Kriptografski slučajevi uporabe uključuju simetrično i asimetrično šifriranje, digitalne potpise, sigurnu provjeru sažetka, šifriranje na razini sučelja za programiranje aplikacija te robusnu izradu, distribuciju i uništavanje ključeva, uključujući tehnologije kao što su Hardware Security Modules (HSMs), Trusted Platform Modules (TPMs) i Key Management Systems (KMS). Uspostavlja se snažan okvir upravljanja, pod vodstvom Voditelja informacijske sigurnosti ili CISO-a, koji je vlasnik politike i osigurava njezinu usklađenost s ISO/IEC 27001:2022 Prilogom A, kontrolom 8.24, među ostalim. Voditelj kriptografskih operacija održava Popis odobrenih kriptografskih metoda (ACML) i Registar upravljanja ključevima te vodi pregled i integraciju novih tehnologija. Neposredni rukovoditelji, administratori sustava, vlasnik imovine, razvijatelji i pružatelji treće strane imaju jasno definirane odgovornosti za odobravanje, konfiguraciju, provedbu i pregled kriptografskih kontrola u svojim područjima. Propisuju se godišnji pregledi i pregledi kriptografskog dizajna (CDR) za sva nova ili izmijenjena uvođenja, uz osiguranje usklađenosti s aktualnim prijetnjama i regulatornim zahtjevima. Zahtjevi implementacije politike su sveobuhvatni. Smiju se koristiti samo algoritmi i protokoli koje je odobrila organizacija, uključujući AES-256 za simetrično šifriranje, RSA 2048+/ECC za asimetrično, SHA-256/SHA-3 za provjeru sažetka i TLS 1.2+ za transport. Definira se formalni, centralno upravljan postupak upravljanja ključevima, koji obuhvaća sigurnu izradu ključeva, pohranu, uporabu, periodičnu promjenu, opoziv, uništavanje i obnovu certifikata. Razdvajanje uloga i dvostruko skrbništvo za osjetljive operacije osiguravaju odgovornost i smanjuju insajderske prijetnje, dok kontinuirano praćenje identificira istek certifikata, uporabu zastarjelih šifri i neovlašteni pristup ključevima. Postupanje s rizikom, iznimkama i provedbom je strogo. Odstupanje od standardnih algoritama zahtijeva dokumentirani postupak odobravanja, uključujući procjenu rizika i kompenzacijske kontrole. Godišnja revizija kriptografskih kontrola, stroga eskalacija za neusklađenost ili kompromitaciju ključa te formalne disciplinske mjere ili ugovorne mjere standardni su postupak. Politika se redovito pregledava i ažurira kao odgovor na nove kriptografske ranjivosti, regulatorne promjene, operativne revizije ili značajne nadogradnje alata, uz centraliziranu komunikaciju i upravljanje verzijama putem Registra kontrole dokumenata ISMS-a.