Kriptográfiai kontrollok szabályzat

A Kriptográfiai kontrollok szabályzat (P18) meghatározza azokat a kötelező kontrollokat, amelyek a kriptográfiai mechanizmusok használatát irányítják a szervezet egészében annak érdekében, hogy biztosítsák valamennyi érzékeny és szabályozott információ bizalmasságát, sértetlenségét és hitelességét. Felismerve, hogy a kriptográfia alapvető a biztonságos kommunikációhoz, a jogszabályi megfeleléshez és az adatvédelemhez, a szabályzat részletes követelményeket ír le, amelyek összhangban vannak a vezető globális szabványokkal és a folyamatosan változó szabályozási előírásokkal. Elsődleges célja annak garantálása, hogy a megfelelő kriptográfiai módszerek következetesen alkalmazásra kerüljenek minden olyan esetben, amikor érzékeny adatot továbbítanak, dolgoznak fel vagy tárolnak, erősítve a szervezeti bizalmat és támogatva a biztonságos működést valamennyi üzleti területen. A szabályzat szervezeti szinten alkalmazandó, kiterjed valamennyi üzleti funkcióra, valamennyi munkatársra, valamint a kriptográfiai műveletekben részt vevő releváns harmadik fél szolgáltatókra. A lefedettség kiterjed az éles környezetre, a fejlesztési, a staging, a biztonsági mentési rendszerek és a vészhelyzeti helyreállítási környezet területeire, kifejezett hivatkozással a bizalmas, kiemelten bizalmas vagy szabályozott adatokat kezelő rendszerekre. A kriptográfiai felhasználási esetek a szimmetrikus és aszimmetrikus titkosítástól, a digitális aláírásokon és a biztonságos hashelésen át az API-szintű titkosításig terjednek, valamint a robusztus kulcselőállítás, -terjesztés és -megsemmisítés követelményeit is magukban foglalják, beleértve az olyan technológiákat, mint a hardveres biztonsági modulok (HSM-ek), a Trusted Platform Modules (TPM-ek) és a Key Management Systems (KMS). Erős irányítási keretrendszer kerül kialakításra, amelyet az információbiztonsági vezető (CISO) vezet, aki a szabályzat gazdája, és biztosítja annak megfelelését többek között az ISO/IEC 27001:2022 A melléklet 8.24. kontrolljának. A kriptográfiai műveleti vezető fenntartja a jóváhagyott kriptográfiai módszerek listáját (ACML) és a kulcskezelési nyilvántartást, és vezeti az új technológiák felülvizsgálatát és integrációját. A közvetlen felettesek, a rendszergazdák, az eszköztulajdonosok, a fejlesztők és a harmadik fél szolgáltatók egyértelmű felelősségeket kapnak a kriptográfiai kontrollok jóváhagyására, konfigurálására, kikényszerítésére és felülvizsgálatára a saját területükön. Éves felülvizsgálatok és kriptográfiai tervezési felülvizsgálatok (CDR-ek) kötelezőek minden új vagy módosított telepítés esetén, biztosítva az összhangot az aktuális fenyegetésekkel és szabályozási követelményekkel. A szabályzat bevezetési követelményei átfogóak. Kizárólag a szervezet által jóváhagyott algoritmusok és protokollok használhatók, beleértve az AES-256-ot szimmetrikus titkosításhoz, az RSA 2048+/ECC-t aszimmetrikushoz, a SHA-256/SHA-3-at hasheléshez, valamint a TLS 1.2+-t az átvitelhez. Formális, központilag kezelt kulcskezelési folyamat kerül meghatározásra, amely lefedi a biztonságos kulcselőállítást, tárolást, használatot, rotációt, visszavonást, megsemmisítést és a tanúsítványok megújítását. A feladatkörök szétválasztása és a kettős letétkezelés az érzékeny műveletek esetén biztosítja az elszámoltathatóságot és csökkenti a belső fenyegetések kockázatát, míg a folyamatos monitorozás azonosítja a tanúsítványok lejáratát, az elavult titkosítási eljárások használatát és a jogosulatlan kulcshozzáférést. A kockázatok kezelése, a kivételek és az érvényesítés szigorú. A standard algoritmusoktól való eltérés dokumentált jóváhagyási folyamatot igényel, beleértve a kockázatértékelést és a kompenzáló kontrollok alkalmazását. A kriptográfiai kontrollok éves auditálása, a meg nem felelés vagy kulcskompromittálódás esetén alkalmazott szigorú eszkaláció, valamint a formális fegyelmi vagy szerződéses jogorvoslatok mind standard eljárások. A szabályzatot rendszeresen felülvizsgálják és frissítik új kriptográfiai sérülékenységek, szabályozási változások, operatív auditok vagy jelentős eszközfrissítések esetén, központosított kommunikációval és verziókezeléssel az ISMS dokumentumkezelési nyilvántartáson keresztül.