La criptografía debe utilizarse de forma suficiente y eficaz para proteger la confidencialidad, autenticidad e integridad de la información en la red y los sistemas de información de tu organización.

Requisito

Debes establecer y aplicar una política y unos procedimientos para utilizar la criptografía. Éstos deben garantizar que la criptografía se utiliza eficazmente para proteger la confidencialidad, autenticidad e integridad, reflejar el estado actual de la tecnología y estar en consonancia con los resultados de tus evaluaciones de riesgos y clasificación de activos.

Tu organización debe utilizar criptografía para proteger las redes y los sistemas de información cuando lo exijan la clasificación de activos y la evaluación de riesgos.

La política y los procedimientos de criptografía pueden incluir:

• qué protocolos criptográficos pueden utilizarse,
• qué algoritmos criptográficos se aprueban,
• longitudes de clave aprobadas para distintos algoritmos,
• Soluciones y prácticas criptográficas aprobadas, como la encriptación de extremo a extremo, la encriptación de disco y otras,
• el enfoque de la gestión de claves, incluidos los métodos para:
  • generar claves para diferentes sistemas y aplicaciones,
  • emitir y adquirir certificados de clave pública,
  • distribuyendo llaves y activándolas al recibirlas,
  • almacenar claves y conceder acceso a los usuarios autorizados,
  • cambiar o actualizar claves, incluyendo reglas para la rotación de claves,
  • manejo de claves y certificados comprometidos,
  • revocar y desactivar claves,
  • restaurar llaves perdidas o dañadas,
  • hacer copias de seguridad o archivar claves,
  • eliminar de forma segura las claves que ya no se necesiten,
  • supervisar y auditar las actividades clave de gestión,
  • definir las fechas de activación y desactivación de las claves,
  • gestionar las solicitudes legales de acceso a claves criptográficas,

Documentación

Todos los empleados pertinentes deben tener acceso a las políticas y procedimientos criptográficos de la organización. Estas políticas y procedimientos deben revisarse a intervalos planificados y siempre que surjan vulnerabilidades o avances tecnológicos que puedan afectar a la seguridad criptográfica, lo que podría ocurrir si se rompe un algoritmo o se requieren longitudes de clave más fuertes debido al aumento de la potencia informática.

Si una revisión de la seguridad identifica vulnerabilidades, hay que actualizar la documentación y las soluciones técnicas, y comunicar los cambios a los empleados pertinentes.