Policy för kryptografiska kontroller

Policy för kryptografiska kontroller (P18) fastställer de obligatoriska kontroller som styr användningen av kryptografiska mekanismer i hela organisationen för att säkerställa konfidentialitet, riktighet och autenticitet för all känslig och reglerad information. Med insikten att kryptografi är grundläggande för säkra kommunikationer, regelefterlevnad och dataskydd beskriver denna policy detaljerade krav i linje med ledande globala standarder och föränderliga regulatoriska krav. Huvudsyftet är att säkerställa att lämpliga kryptografiska metoder konsekvent tillämpas där känsliga data överförs, behandlas eller lagras, vilket bygger organisatoriskt förtroende och stödjer säker drift i alla verksamhetsområden. Policyn gäller i hela organisationen och omfattar alla verksamhetsfunktioner, all personal och relevanta tredjepartstjänsteleverantörer som deltar i kryptografiska aktiviteter. Omfattningen sträcker sig över produktions-, utvecklings-, staging-, säkerhetskopieringssystem och katastrofåterställningsmiljöer, med uttrycklig hänvisning till system som hanterar konfidentiell, mycket konfidentiell eller reglerade data. Kryptografiska användningsfall omfattar symmetrisk och asymmetrisk kryptering, digitala signaturer, säker hashning och kryptering på API-nivå samt robust nyckelgenerering, distribution och destruktion, inklusive tekniker såsom Hardware Security Modules (HSM:er), Trusted Platform Modules (TPM:er) och Key Management Systems (KMS). Ett starkt styrningsramverk etableras, lett av informationssäkerhetschef (CISO), som äger policyn och säkerställer dess efterlevnad av ISO/IEC 27001:2022 bilaga A, kontroll 8.24, bland annat. Ansvarig för kryptografiska operationer underhåller listan över godkända kryptografiska metoder (ACML) och nyckelhanteringsregistret samt leder översyn och integrering av ny teknik. Linjechefer, systemadministratörer, tillgångsägare, utvecklare och tredjepartsleverantörer tilldelas tydliga ansvar för godkännande, konfiguration, genomdrivande och översyn av kryptografiska kontroller inom sina områden. Årliga översyner och kryptografiska designgranskningar (CDR:er) krävs för alla nya eller ändrade driftsättningar, vilket säkerställer anpassning till aktuella hot och regulatoriska krav. Krav för införande av policyn är omfattande. Endast organisationsgodkända algoritmer och protokoll, inklusive AES-256 för symmetrisk kryptering, RSA 2048+/ECC för asymmetrisk, SHA-256/SHA-3 för hashning och TLS 1.2+ för transport, får användas. En formell, centralt hanterad process för nyckelhantering definieras och omfattar säker nyckelgenerering, lagring, användning, rotation, återkallelse, destruktion och förnyelse av certifikat. Funktionsåtskillnad och dubbel förvaring för känsliga operationer säkerställer ansvarsskyldighet och minskar insiderhot, medan kontinuerlig övervakning identifierar certifikatutgång, användning av utfasade chiffer och obehörig nyckelåtkomst. Hanteringen av risk, undantag och genomdrivande är rigorös. Avvikelse från standardalgoritmer kräver en dokumenterad godkännandeprocess, inklusive riskbedömning och kompenserande kontroller. Årlig revision av kryptografiska kontroller, strikt eskalering vid bristande efterlevnad eller nyckelkompromettering samt formella disciplinära eller avtalsmässiga åtgärder är standardförfarande. Policyn ses regelbundet över och uppdateras som svar på nya kryptografiska sårbarheter, regulatoriska förändringar, operativa revisioner eller betydande verktygsuppgraderingar, med centraliserad kommunikation och versionshantering via ISMS Document Control Register.