Establish crypto strategy in the organisation. The strategy should include which cryptographic tools to use, how to manage certificates, how to ensure secure key generation, how to store keys/passwords, backup copying of keys, renewing of keys, and what to do if keys are compromised. Key management should distinguish between long-term keys and session keys, whereby long-term keys should be given additional protection.
Salausavainten hallintajärjestelmällä (CKMS) käsitellään, hallitaan ja varastoidaan salausavamia sekä valvotaan niihin liittyiviä toimenpiteitä. Hallintajärjestelmä voi olla toteutettu automatisoituna työkaluna tai manuaalisempana toteutuksena.
Organisaatiolla on oltava keinot, joilla salausavainten hallintajärjestelmän avulla seurataan ja raportoidaan kaikista salauksen materiaaleista ja niiden statuksista. Salausavainten hallintajärjestelmää tulisi käyttää ainakin:
Organisaatiomme on määritellyt toimintatavat salausavainten luomiseen, säilyttämiseen, jakamiseen ja poistamiseen.
Salausavainten pituudet ja käyttökäytännöt pyritään valitsemaan parhaiden yleisten käytäntöjen mukaisesti seuraamalla alan kehitystä.
Salausavainten palauttamisella tarkoitetaan salausavaimen uudelleenrakentamista varmuuskopioiden tai arkistojen avulla.
Organisaatiolla on oltava keinot arvioda salausavaimen tai salattujen tietojen paljastumisen riskiä verrattuna toiminnan jatkuvuuden vaarantumiseen siinä tapauksessa, että salausavain katoaa.
Organisaatiolla on oltava keinot luoda salausavaimia esiaktivoituun tilaan, kun avain on generoitu muttei vielä hyväksytty käyttöön.
Salausavainten aktivoinnissa on huomioitava seuraavat asiat:
Organisaation on huolehdittava salausavainten kierrättämisestä määriteltyjen salausjaksojen mukaisesti. Salausjakson määrittämisessä on huomioitava tiedon paljastumisen riskit sekä lakisääteiset vaatimukset.
Salausavainten kierrätyksen yhteydessä vanhaa avainta on ensin käytettävä salauksen purkamiseen ja tämän jälkeen uutta avainta tiedon uudelleensalaamiseen.
Organisaatiolla on oltava keinot, joiden mukaisesti vaarantuneita salausavaimia käsitellään. Vaarantuneet salausavaimet voivat olla tilassa, jossa ne odottavat tarkempaa tutkintaa asiallisten toimenpiteiden selvittämiseksi.
Vaarantuneiden salausavainten käsittelyssä on huomioitava vähintään seuraavat seikat:
Vaarantuneiden salausavainten pikaiseen kumoamiseen tulisi soveltaa organisaation hätäkumoamisprosesseja.
Organisaation tulee varmistaa, että tietojärjestelmien käyttöön sovellettavat kryptografiset säännöt ja toimintatavat ovat asiaankuuluvien sopimusten, lakien ja määräysten mukaisia.
Paranna osaamistasi viikoittaisten webinaarien, videokurssien, artikkeleiden ja blogien avulla.
