Kriptografinių kontrolės priemonių politika

Kriptografinių kontrolės priemonių politika (P18) nustato privalomas kontrolės priemones, reglamentuojančias kriptografinių mechanizmų naudojimą visoje organizacijoje, siekiant užtikrinti visos jautrios ir reglamentuojamos informacijos konfidencialumą, vientisumą ir autentiškumą. Pripažįstant, kad kriptografija yra esminė saugių ryšių, atitikties reglamentavimo reikalavimams ir duomenų apsaugos dalis, ši politika aprašo išsamius reikalavimus, suderintus su pagrindiniais pasauliniais standartais ir kintančiais reglamentavimo įpareigojimais. Pagrindinis tikslas – užtikrinti, kad tinkami kriptografiniai metodai būtų nuosekliai taikomi visur, kur jautrūs duomenys perduodami, tvarkomi ar saugomi, didinant organizacijos pasitikėjimą ir palaikant saugias operacijas visose verslo srityse. Politika taikoma visoje organizacijoje, apimant visas verslo funkcijas, visą personalą ir atitinkamus trečiųjų šalių paslaugų teikėjus, dalyvaujančius kriptografinėse operacijose. Aprėptis apima gamybos, kūrimo, parengiamąsias, atsarginių kopijų ir atkūrimo po katastrofos aplinkas, aiškiai nurodant sistemas, tvarkančias konfidencialius, labai konfidencialius arba reglamentuojamus duomenis. Kriptografijos naudojimo atvejai apima simetrinį ir asimetrinį šifravimą, skaitmeninius parašus, saugų maišos skaičiavimą ir API lygmens šifravimą, taip pat patikimą raktų generavimą, platinimą ir sunaikinimą, įskaitant tokias technologijas kaip aparatinės įrangos saugumo moduliai (HSM), patikimos platformos moduliai (TPM) ir raktų valdymo sistemos (KMS). Nustatoma tvirta valdysenos sistema, kuriai vadovauja Informacijos saugos vadovas arba Vyriausiasis informacijos saugumo pareigūnas (CISO), kuris yra politikos savininkas ir užtikrina jos atitiktį ISO/IEC 27001:2022 A priedo kontrolei 8.24 ir kt. Kriptografinių operacijų vadovas prižiūri Patvirtintų kriptografinių metodų sąrašą (ACML) ir Raktų valdymo registrą, vadovauja naujų technologijų peržiūrai ir integracijai. Tiesioginiai vadovai, sistemų administratoriai, turto savininkas, kūrėjai ir trečiųjų šalių paslaugų teikėjai turi aiškiai apibrėžtas atsakomybes dėl kriptografinių kontrolės priemonių patvirtinimo, konfigūravimo, vykdymo užtikrinimo ir peržiūros savo srityse. Privalomos kasmetinės peržiūros ir Kriptografinio dizaino peržiūros (CDR) visiems naujiems ar pakeistiems diegimams, užtikrinant suderinamumą su aktualiomis grėsmėmis ir reglamentavimo reikalavimais. Politikos įgyvendinimo reikalavimai yra išsamūs. Leidžiama naudoti tik organizacijos patvirtintus algoritmus ir protokolus, įskaitant AES-256 simetriniam šifravimui, RSA 2048+/ECC asimetriniam, SHA-256/SHA-3 maišos skaičiavimui ir TLS 1.2+ transportui. Apibrėžiamas formalus, centralizuotai valdomas raktų valdymo procesas, apimantis saugų raktų generavimą, saugojimą, naudojimą, rotaciją, atšaukimą, sunaikinimą ir sertifikatų atnaujinimą. Pareigų atskyrimas ir dviguba globa jautrioms operacijoms užtikrina atskaitomybę ir mažina vidinių grėsmių riziką, o nuolatinė stebėsena identifikuoja sertifikatų galiojimo pabaigą, pasenusių šifrų naudojimą ir nesankcionuotą prieigą prie raktų. Rizikos, išimčių ir vykdymo užtikrinimo tvarkymas yra griežtas. Nukrypimui nuo standartinių algoritmų reikalingas dokumentuotas patvirtinimo procesas, įskaitant rizikos vertinimą ir kompensacines kontrolės priemones. Kasmetinis kriptografinių kontrolės priemonių auditas, griežtas eskalavimas dėl neatitikties ar raktų kompromitavimo ir formalios drausminės ar sutartinės priemonės yra standartinė procedūra. Politika reguliariai peržiūrima ir atnaujinama reaguojant į naujus kriptografinius pažeidžiamumus, reglamentavimo pokyčius, operacinius auditus ar reikšmingus įrankių atnaujinimus, užtikrinant centralizuotą komunikaciją ir versijų valdymą per ISVS dokumentų kontrolės registrą.