Kriptogrāfisko kontroles pasākumu politika

Kriptogrāfisko kontroles pasākumu politika (P18) nosaka obligātos kontroles pasākumus, kas regulē kriptogrāfisko mehānismu izmantošanu visā organizācijā, lai nodrošinātu visas sensitīvās un reglamentētās informācijas konfidencialitāti, integritāti un autentiskumu. Atzīstot, ka kriptogrāfija ir pamats drošai saziņai, regulatīvajai atbilstībai un datu aizsardzībai, šī politika apraksta detalizētas prasības, kas saskaņotas ar vadošajiem globālajiem standartiem un mainīgajām regulatīvajām prasībām. Galvenais mērķis ir garantēt, ka atbilstošas kriptogrāfiskās metodes tiek konsekventi piemērotas visur, kur sensitīvi dati tiek pārsūtīti, apstrādāti vai glabāti, veidojot organizācijas uzticēšanos un atbalstot drošas operācijas visās biznesa jomās. Politika ir piemērojama visā organizācijā, aptverot visas biznesa funkcijas, personālu un attiecīgos trešo pušu pakalpojumu sniedzējus, kas iesaistīti kriptogrāfiskajās operācijās. Aptvērums attiecas uz ražošanas, izstrādes, testēšanas, rezerves kopiju un avārijas atjaunošanas vidēm, ar tiešu atsauci uz sistēmām, kas apstrādā konfidenciālus, ļoti konfidenciālus vai reglamentētus datus. Kriptogrāfijas lietošanas gadījumi ietver simetrisko un asimetrisko šifrēšanu, digitālos parakstus, drošu hešošanu un API līmeņa šifrēšanu, kā arī stingru atslēgu ģenerēšanu, izplatīšanu un iznīcināšanu, tostarp tādas tehnoloģijas kā aparatūras drošības moduļi (HSM), uzticamās platformas moduļi (TPM) un atslēgu pārvaldības sistēmas (KMS). Tiek izveidots spēcīgs pārvaldības ietvars, ko vada informācijas drošības vadītājs vai galvenais informācijas drošības vadītājs (CISO), kurš ir politikas īpašnieks un nodrošina tās atbilstību ISO/IEC 27001:2022 A pielikuma 8.24. kontrolei, kā arī citām prasībām. Kriptogrāfisko operāciju vadītājs uztur apstiprināto kriptogrāfisko metožu sarakstu (ACML) un atslēgu pārvaldības reģistru, vadot jaunu tehnoloģiju pārskatīšanu un integrāciju. Tiešie vadītāji, sistēmu administratori, aktīva īpašnieks, izstrādātāji un trešo pušu pakalpojumu sniedzēji saņem skaidri definētus pienākumus kriptogrāfisko kontroles pasākumu apstiprināšanai, konfigurēšanai, izpildei un pārskatīšanai savās jomās. Ikgadējie pārskati un kriptogrāfiskās izstrādes pārskati (CDR) ir obligāti visām jaunām vai modificētām ieviešanām, nodrošinot atbilstību aktuālajiem draudiem un regulatīvajām prasībām. Politikas ieviešanas prasības ir visaptverošas. Drīkst izmantot tikai organizācijas apstiprinātus algoritmus un protokolus, tostarp AES-256 simetriskajai šifrēšanai, RSA 2048+/ECC asimetriskajai, SHA-256/SHA-3 hešošanai un TLS 1.2+ pārvadei. Tiek definēts formāls, centralizēti pārvaldīts atslēgu pārvaldības process, kas aptver drošu atslēgu ģenerēšanu, glabāšanu, izmantošanu, rotāciju, atsaukšanu, iznīcināšanu un sertifikātu atjaunošanu. Pienākumu nodalīšana un dubultā glabāšana sensitīvām operācijām nodrošina pilnvaras un pārskatatbildību un samazina iekšējo draudu risku, savukārt nepārtraukta uzraudzība identificē sertifikātu termiņa beigas, novecojušu šifru izmantošanu un nesankcionētu piekļuvi atslēgām. Riska, izņēmumu un izpildes apstrāde ir stingra. Atkāpe no standarta algoritmiem prasa dokumentētu apstiprināšanas procesu, tostarp riska novērtēšanu un kompensējošās kontroles. Ikgadējs kriptogrāfisko kontroles pasākumu audits, stingra eskalācija neatbilstības vai atslēgu kompromitēšanas gadījumā, kā arī formāli disciplinārie vai līgumiskie tiesiskās aizsardzības līdzekļi ir standarta procedūra. Politika tiek regulāri pārskatīta un atjaunināta, reaģējot uz jaunām kriptogrāfiskām ievainojamībām, regulējuma izmaiņām, operatīvajiem auditiem vai būtiskiem rīku jauninājumiem, ar centralizētu komunikāciju un versiju kontroli, izmantojot ISMS dokumentu kontroles reģistru.