La criptografía debe utilizarse de forma suficiente y eficaz para proteger la confidencialidad, autenticidad e integridad de la información en la red y los sistemas de información de tu organización.
Requisito
Debes establecer y aplicar una política y unos procedimientos para utilizar la criptografía. Éstos deben garantizar que la criptografía se utiliza eficazmente para proteger la confidencialidad, autenticidad e integridad, reflejar el estado actual de la tecnología y estar en consonancia con los resultados de tus evaluaciones de riesgos y clasificación de activos.
Tu organización debe utilizar criptografía para proteger las redes y los sistemas de información cuando lo exijan la clasificación de activos y la evaluación de riesgos.
La política y los procedimientos de criptografía pueden incluir:
- qué protocolos criptográficos pueden utilizarse.
- qué algoritmos criptográficos se aprueban.
- longitudes de clave aprobadas para distintos algoritmos.
Soluciones y prácticas criptográficas aprobadas, como la encriptación de extremo a extremo, la encriptación de disco y otras,
el enfoque de la gestión de claves, incluidos los métodos para:
- generar claves para diferentes sistemas y aplicaciones.
- emitir y adquirir certificados de clave pública.
- distribuyendo llaves y activándolas al recibirlas.
- almacenar claves y conceder acceso a los usuarios autorizados.
- cambiar o actualizar claves, incluyendo reglas para la rotación de claves.
- manejo de claves y certificados comprometidos.
- revocar y desactivar claves.
- restaurar llaves perdidas o dañadas.
- hacer copias de seguridad o archivar claves.
- eliminar de forma segura las claves que ya no se necesiten.
- supervisar y auditar las actividades clave de gestión.
- definir las fechas de activación y desactivación de las claves.
- gestionar las solicitudes legales de acceso a claves criptográficas.
Documentación
Todos los empleados pertinentes deben tener acceso a las políticas y procedimientos criptográficos de la organización. Estas políticas y procedimientos deben revisarse a intervalos planificados y siempre que surjan vulnerabilidades o avances tecnológicos que puedan afectar a la seguridad criptográfica, lo que podría ocurrir si se rompe un algoritmo o se requieren longitudes de clave más fuertes debido al aumento de la potencia informática.
Si una revisión de la seguridad identifica vulnerabilidades, hay que actualizar la documentación y las soluciones técnicas, y comunicar los cambios a los empleados pertinentes.