La cryptographie doit être utilisée de manière suffisante et efficace pour protéger la confidentialité, l’authenticité et l’intégrité des informations dans le réseau et les systèmes d’information de votre organisation.

Exigence

Vous devez établir et mettre en œuvre une politique et des procédures d’utilisation de la cryptographie. Celles-ci doivent garantir que la cryptographie est utilisée efficacement pour protéger la confidentialité, l’authenticité et l’intégrité, qu’elle reflète l’état actuel de la technologie et qu’elle est conforme aux résultats de vos évaluations des risques et de la classification des actifs.

Votre organisation doit utiliser la cryptographie pour protéger les réseaux et les systèmes d’information lorsque la classification des actifs et l’évaluation des risques l’exigent.

La politique et les procédures relatives à la cryptographie peuvent comprendre les éléments suivants :

• les protocoles cryptographiques qui peuvent être utilisés,
• les algorithmes cryptographiques approuvés,
• les longueurs de clés approuvées pour différents algorithmes,
• les solutions et pratiques cryptographiques approuvées, telles que le cryptage de bout en bout, le cryptage des disques, etc,
• l’approche de la gestion des clés, y compris les méthodes de :
  • générer des clés pour différents systèmes et applications,
  • la délivrance et l’acquisition de certificats de clé publique,
  • distribuer les clés et les activer dès leur réception,
  • le stockage des clés et l’octroi de l’accès aux utilisateurs autorisés,
  • la modification ou la mise à jour des clés, y compris les règles de rotation des clés,
  • le traitement des clés et des certificats compromis,
  • la révocation et la désactivation des clés,
  • restaurer les clés perdues ou endommagées,
  • la sauvegarde ou l’archivage des clés,
  • supprimer en toute sécurité les clés qui ne sont plus nécessaires,
  • le suivi et l’audit des principales activités de gestion,
  • définir les dates d’activation et de désactivation des clés,
  • le traitement des demandes légales d’accès aux clés cryptographiques,

Documentation

Tous les employés concernés doivent avoir accès aux politiques et procédures de l’organisation en matière de cryptographie. Ces politiques et procédures doivent être réexaminées à intervalles réguliers et à chaque fois que des vulnérabilités ou des avancées technologiques susceptibles d’affecter la sécurité cryptographique apparaissent, ce qui pourrait être le cas si un algorithme est cassé ou si des longueurs de clés plus importantes sont nécessaires en raison de l’augmentation de la puissance de calcul.

Si un examen de la sécurité identifie des vulnérabilités, votre documentation et vos solutions techniques doivent être mises à jour et les changements doivent être communiqués aux employés concernés.