A criptografia deve ser utilizada de forma suficiente e eficaz para proteger a confidencialidade, a autenticidade e a integridade das informações na rede e nos sistemas de informação da tua organização.

Requisito

Tens de estabelecer e implementar uma política e procedimentos para a utilização da criptografia. Estes devem garantir que a criptografia é utilizada eficazmente para proteger a confidencialidade, autenticidade e integridade, refletir o estado atual da tecnologia e estar de acordo com os resultados das suas avaliações de risco e classificação de activos.

A tua organização deve utilizar a criptografia para proteger as redes e os sistemas de informação sempre que tal seja exigido pela classificação dos activos e pela avaliação dos riscos.

A política e os procedimentos para a criptografia podem incluir:

• que protocolos criptográficos podem ser utilizados,
• que algoritmos criptográficos são aprovados,
• aprova comprimentos de chave para diferentes algoritmos,
• soluções e práticas criptográficas aprovadas, como a encriptação de ponta a ponta, a encriptação de disco e outras,
• a abordagem da gestão de chaves, incluindo métodos para:
  • gera chaves para diferentes sistemas e aplicações,
  • Emitir e adquirir certificados de chave pública,
  • distribui as chaves e ativa-as após a sua receção,
  • guarda as chaves e concede o acesso a utilizadores autorizados,
  • alterar ou atualizar chaves, incluindo regras para a rotação de chaves,
  • manuseia chaves e certificados comprometidos,
  • Revogar e desativar chaves,
  • restaura chaves perdidas ou danificadas,
  • faz cópias de segurança ou arquiva chaves,
  • elimina de forma segura as chaves que já não são necessárias,
  • Acompanhamento e auditoria das principais actividades de gestão,
  • define as datas de ativação e desativação das chaves,
  • Trata de pedidos legais de acesso a chaves criptográficas,

Documentação

Todos os funcionários relevantes devem ter acesso às políticas e procedimentos de criptografia da organização. Estas políticas e procedimentos devem ser revistos em intervalos planeados e sempre que surjam vulnerabilidades ou avanços tecnológicos que possam afetar a segurança criptográfica, o que pode acontecer se um algoritmo for quebrado ou se forem necessários comprimentos de chave mais fortes devido ao aumento do poder de computação.

Se uma análise de segurança identificar vulnerabilidades, a documentação e as soluções técnicas devem ser actualizadas e as alterações devem ser comunicadas aos funcionários relevantes.