Politika dwar il-Kontrolli Kriptografiċi

Il-Politika dwar il-Kontrolli Kriptografiċi (P18) tistabbilixxi l-kontrolli obbligatorji li jirregolaw l-użu ta’ mekkaniżmi kriptografiċi madwar l-organizzazzjoni biex tiżgura l-Kunfidenzjalità, l-Integrità, id-Disponibbiltà (CIA) u l-awtentiċità tal-informazzjoni sensittiva u tad-dejta rregolata kollha. Billi tirrikonoxxi li l-kriptografija hija fundamentali għal komunikazzjonijiet siguri, konformità regolatorja, u protezzjoni tad-data, din il-politika tiddeskrivi rekwiżiti dettaljati allinjati ma’ standards globali ewlenin u mandati regolatorji li qed jevolvu. L-għan primarju huwa li jiġi garantit li metodi kriptografiċi xierqa jiġu applikati b’mod konsistenti kull fejn dejta sensittiva tiġi trasmessa, immaniġġjata, jew maħżuna, biex tinbena fiduċja organizzattiva u jiġu appoġġjati operazzjonijiet siguri fl-oqsma kollha tan-negozju. Il-politika tapplika għall-organizzazzjoni kollha, u tinkludi l-funzjonijiet kollha tan-negozju, il-persunal kollu, u fornituri ta’ servizzi ta’ partijiet terzi rilevanti involuti f’operazzjonijiet kriptografiċi. Il-kopertura testendi għal ambjent ta’ produzzjoni, żvilupp, staging, sistemi ta’ backup, u ambjent ta’ rkupru minn diżastri, b’referenza espliċita għal sistemi li jimmaniġġjaw dejta Kunfidenzjali, Kunfidenzjali ħafna, jew dejta rregolata. Il-każijiet ta’ użu kriptografiku jvarjaw minn iċċifrar simmetriku u asimmetriku, firem diġitali, hashing sigur, u iċċifrar fil-livell tal-interfaċċi tal-ipprogrammar tal-applikazzjonijiet, sa ġenerazzjoni, distribuzzjoni, u qerda robusti tal-keys, inklużi teknoloġiji bħal Hardware Security Modules (HSMs), Trusted Platform Modules (TPMs), u Key Management Systems (KMS). Jiġi stabbilit qafas ta’ governanza b’saħħtu, immexxi mill-Maniġer tas-Sigurtà tal-Informazzjoni jew CISO, li huwa s-sid tal-politika u jiżgura l-konformità tagħha ma’ ISO/IEC 27001:2022 Annex A Kontroll 8.24, fost oħrajn. Il-Lead tal-Operazzjonijiet Kriptografiċi jżomm il-Lista tal-Metodi Kriptografiċi Approvati (ACML) u r-Reġistru tal-Ġestjoni tal-Keys, u jmexxi r-rieżami u l-integrazzjoni ta’ teknoloġiji ġodda. Maniġers tal-linja, amministraturi tas-sistema, sidien tal-assi, żviluppaturi, u fornituri ta’ servizzi ta’ partijiet terzi kollha jingħataw responsabbiltajiet ċari għall-approvazzjoni, il-konfigurazzjoni, l-infurzar, u r-rieżami tal-kontrolli kriptografiċi fl-oqsma tagħhom. Rieżamijiet annwali u Rieżamijiet tad-Disinn Kriptografiku (CDRs) huma obbligatorji għal kull tqegħid fis-servizz ġdid jew modifikat, biex jiġi żgurat allinjament mat-theddid attwali u rekwiżiti regolatorji. Ir-rekwiżiti tal-implimentazzjoni tal-politika huma komprensivi. Jistgħu jintużaw biss algoritmi u protokolli approvati mill-organizzazzjoni, inkluż AES-256 għall-iċċifrar simmetriku, RSA 2048+/ECC għall-asimmetriku, SHA-256/SHA-3 għall-hashing, u TLS 1.2+ għat-trasport. Jiġi definit proċess formali u ġestit ċentralment għall-ġestjoni tal-keys, li jkopri ġenerazzjoni sigura tal-keys, ħażna, użu, rotazzjoni, revoka, qerda, u tiġdid taċ-ċertifikati. Is-segregazzjoni tad-dmirijiet u l-kustodja doppja għal operazzjonijiet sensittivi jiżguraw responsabbiltà u jnaqqsu r-riskju ta’ theddid minn ġewwa, filwaqt li monitoraġġ kontinwu jidentifika skadenza taċ-ċertifikati, użu ta’ ċifri deprecati, u aċċess mhux awtorizzat għall-keys. It-trattament tar-riskju, l-eċċezzjonijiet, u l-infurzar huwa rigoruż. Devjazzjoni minn algoritmi standard teħtieġ proċess ta’ approvazzjoni dokumentat, inkluż valutazzjoni tar-riskju u kontrolli kumpensatorji. Awditjar annwali tal-kontrolli kriptografiċi, eskalazzjoni stretta għal nuqqas ta’ konformità jew kompromess tal-keys, u rimedji dixxiplinari jew kuntrattwali formali huma kollha proċedura standard. Il-politika tiġi riveduta u aġġornata regolarment b’reazzjoni għal vulnerabbiltajiet kriptografiċi ġodda, bidla regolatorja, awditi operazzjonali, jew aġġornamenti sinifikanti tal-għodod, b’komunikazzjoni ċentralizzata u sistemi ta’ kontroll tal-verżjoni permezz tar-Reġistru tal-Kontroll tad-Dokumenti tal-ISMS.