Przejdź do głównej zawartości

8.24 Stosowanie kryptografii

W skrócie: organizacja ma zasady, kiedy i jak szyfrować i podpisywać, oraz zarządza kluczami przez cały ich cykl życia.

Cel: zapewnienie właściwego i skutecznego stosowania kryptografii do ochrony poufności, autentyczności lub integralności informacji, zgodnie z wymaganiami biznesowymi, bezpieczeństwa i prawa.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona)
Zdolności operacyjne#Secure_configuration (bezpieczna konfiguracja)
Domeny bezpieczeństwa#Protection (ochrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Organizacja ustanawia politykę tematyczną kryptografii, która określa m.in.: ogólne podejście do ochrony informacji kryptografią, wymagany poziom ochrony (rodzaj, siła i jakość algorytmów), stosowanie kryptografii do informacji na urządzeniach mobilnych, nośnikach i w transmisji, zarządzanie kluczami, role i odpowiedzialności, standardy do przyjęcia w całej organizacji.
  • Bierze się pod uwagę wpływ szyfrowania na zabezpieczenia oparte na inspekcji treści (np. wykrywanie malware, filtrowanie).
  • Uwzględnia się wymagania prawne dotyczące kryptografii, w tym ograniczenia eksportu i importu (5.31).
  • Zarządzanie kluczami obejmuje cały cykl życia: generowanie, wydawanie i uzyskiwanie certyfikatów, dystrybucję do uprawnionych podmiotów, przechowywanie, zmianę lub aktualizację, postępowanie z kluczami ujawnionymi, unieważnianie, odzyskiwanie utraconych kluczy, kopie i archiwizację, niszczenie, rejestrowanie i audyt działań.
  • Wszystkie klucze chroni się przed modyfikacją i utratą. Klucze tajne i prywatne chroni się przed nieuprawnionym użyciem i ujawnieniem. Sprzęt do generowania i przechowywania kluczy chroni się fizycznie.
  • Autentyczność kluczy publicznych zapewnia się zwykle przez certyfikaty wydane przez urząd certyfikacji.
  • Kryptografia może służyć poufności, integralności i autentyczności, niezaprzeczalności oraz uwierzytelnianiu.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Inwentarz kryptografii: gdzie jakie algorytmy, protokoły i klucze są używane — warunek przygotowania do migracji na algorytmy postkwantowe (NIST FIPS 203–205).
  • Klucze w HSM lub usłudze zarządzania kluczami chmury (KMS), nigdy w repozytorium kodu.
  • Automatyczne odnawianie certyfikatów TLS (ACME) i monitoring dat ważności — wygasły certyfikat to częsta przyczyna awarii.
  • TLS 1.2 i 1.3 z nowoczesnymi zestawami szyfrów; wyłączone SHA-1 i RSA poniżej 2048 bitów.

Powiązania​