Polityka zabezpieczeń kryptograficznych

Polityka zabezpieczeń kryptograficznych (P18) ustanawia obowiązkowe środki kontrolne regulujące stosowanie mechanizmów kryptograficznych w całej organizacji w celu zapewnienia poufności, integralności, dostępności (CIA) oraz autentyczności wszystkich informacji wrażliwych i danych regulowanych. Uznając, że kryptografia stanowi podstawę bezpiecznej komunikacji, zgodności regulacyjnej oraz ochrony danych, niniejsza polityka opisuje szczegółowe wymagania zgodne z wiodącymi globalnymi normami oraz zmieniającymi się wymogami regulacyjnymi. Głównym celem jest zagwarantowanie, że odpowiednie metody kryptograficzne są konsekwentnie stosowane wszędzie tam, gdzie dane wrażliwe są przesyłane, przetwarzane lub przechowywane, budując zaufanie organizacyjne i wspierając bezpieczne operacje we wszystkich obszarach biznesowych. Polityka ma zastosowanie w całej organizacji i obejmuje wszystkie funkcje biznesowe, cały personel oraz odpowiednich dostawców usług stron trzecich zaangażowanych w operacje kryptograficzne. Zakres obejmuje środowisko produkcyjne, środowiska rozwojowe, środowiska testowe, systemy kopii zapasowych oraz środowisko odtwarzania po awarii, z wyraźnym odniesieniem do systemów obsługujących dane poufne, wysoce poufne lub dane regulowane. Przypadki użycia kryptografii obejmują szyfrowanie symetryczne i asymetryczne, podpisy cyfrowe, bezpieczne haszowanie oraz szyfrowanie na poziomie interfejsów API, a także solidne generowanie, dystrybucję i niszczenie kluczy, w tym technologie takie jak moduły bezpieczeństwa sprzętowego (HSM), Trusted Platform Modules (TPM) oraz systemy zarządzania kluczami (KMS). Ustanowiono silne ramy zarządzania, prowadzone przez menedżera ds. bezpieczeństwa informacji lub CISO, który jest właścicielem polityki i zapewnia jej zgodność m.in. z ISO/IEC 27001:2022, załącznikiem A, środkiem kontrolnym 8.24. Kierownik ds. operacji kryptograficznych utrzymuje wykaz zatwierdzonych metod kryptograficznych (ACML) oraz rejestr zarządzania kluczami, prowadząc przegląd i integrację nowych technologii. Bezpośredni przełożony, administratorzy systemów, właściciel aktywów, programiści oraz dostawcy usług stron trzecich mają jasno określone obowiązki w zakresie zatwierdzania, konfiguracji, egzekwowania i przeglądu zabezpieczeń kryptograficznych w swoich obszarach. Wymagane są coroczne przeglądy oraz przeglądy projektu kryptograficznego (CDR) dla wszystkich nowych lub zmodyfikowanych wdrożeń, aby zapewnić zgodność z aktualnymi zagrożeniami i wymaganiami regulacyjnymi. Wymagania wdrożeniowe polityki są kompleksowe. Dozwolone jest wyłącznie stosowanie algorytmów i protokołów zatwierdzonych przez organizację, w tym AES-256 dla szyfrowania symetrycznego, RSA 2048+/ECC dla asymetrycznego, SHA-256/SHA-3 dla haszowania oraz TLS 1.2+ dla transportu. Zdefiniowano formalny, centralnie zarządzany proces zarządzania kluczami, obejmujący bezpieczne generowanie, przechowywanie, użycie, rotację, unieważnianie, niszczenie oraz odnawianie certyfikatów. Rozdzielenie obowiązków oraz podwójna kontrola dla operacji wrażliwych zapewniają rozliczalność i ograniczają zagrożenia wewnętrzne, a ciągłe monitorowanie identyfikuje wygaśnięcie certyfikatów, użycie przestarzałych szyfrów oraz nieautoryzowany dostęp do kluczy. Postępowanie z ryzykiem, wyjątkami i egzekwowaniem jest rygorystyczne. Odstępstwo od standardowych algorytmów wymaga udokumentowanego procesu zatwierdzania, w tym oceny ryzyka oraz kontroli kompensacyjnych. Coroczny audyt zabezpieczeń kryptograficznych, ścisła eskalacja w przypadku niezgodności lub kompromitacji klucza oraz formalne środki dyscyplinarne lub umowne środki zaradcze stanowią standardową procedurę. Polityka jest regularnie przeglądana i aktualizowana w odpowiedzi na nowe podatności kryptograficzne, zmiany regulacyjne, audyty operacyjne lub istotne aktualizacje narzędzi, z centralną komunikacją i kontrolą wersji poprzez rejestr kontroli dokumentów SZBI.