zabezpieczenie
szyfrowanie i zarządzanie kluczami
Szyfrowanie chroni dane tylko tak długo, jak klucze są bezpieczne i możliwe do odzyskania. NIS2 wymaga polityki kryptografii i szyfrowania, DORA wymienia ochronę kluczy, RODO szyfrowanie danych osobowych.
- co chroni
- dane na zgubionych urządzeniach, w skradzionych kopiach i w transmisji, dopóki klucze są bezpieczne i możliwe do odzyskania
- kto za to odpowiada
- szef IT, z osobą odpowiedzialną za ochronę danych
- zacznij od
- krótka polityka i lista kluczy i certyfikatów z właścicielami
czym jest
Szyfrowanie zamienia dane w coś nieczytelnego bez klucza. Chroni dane na zgubionym laptopie, w skradzionej kopii i w drodze między systemami. Przenosi też ryzyko z danych na klucz: kto ma klucz, odczyta dane, a kto go zgubi, może stracić dane na zawsze.
NIS2 wymaga polityk i procedur dotyczących stosowania kryptografii i, w stosownych przypadkach, szyfrowania. DORA wymaga od podmiotów finansowych ochrony kluczy kryptograficznych i powiązania szyfrowania z klasyfikacją danych i oceną ryzyka. RODO wymienia szyfrowanie danych osobowych jako właściwy środek.
Zacznij od krótkiej polityki i listy: co jest szyfrowane, jakimi metodami i kto jest właścicielem każdego klucza. Potem zajmij się słabymi punktami. Klucze należą osobno od danych, potrzebują drogi odzyskiwania, a certyfikaty datę wygaśnięcia i właściciela.
podstawa NIS2 art. 21(2)(h); DORA art. 9(4)(d); RODO art. 32(1)(a). Kroki obsługi kluczy to praktyka.
życie klucza szyfrującego
- 1utworzeniezatwierdzoną metodą i z wyznaczonym właścicielem
- 2przechowanie osobnoz dala od danych, które chroni
- 3użycie i zapiskażde użycie i zmiana trafia do logów
- 4rotacjawymiana według harmonogramu bez zatrzymywania usługi
- 5wycofaniezniszczenie, gdy nic go nie potrzebuje, razem z kopią odzyskiwania
certyfikaty przechodzą tę samą pętlę, z datą wygaśnięcia i ostrzeżeniem przed nią
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
przykład
Wyobraź sobie firmę z kilkuset osobami, która włączyła szyfrowanie dysków i szyfrowane kopie zapasowe.
Klucz do kopii leży na tym samym serwerze co kopia. Tylko jedna osoba wie, gdzie jest kopia odzyskiwania, certyfikaty wygasają, gdy nikt nie patrzy, a nikt nie umie powiedzieć, które systemy są zaszyfrowane. Gdy ta osoba odejdzie albo serwer padnie, dane przepadają.
Jednostronicowa polityka mówi, co jest szyfrowane i jakimi metodami. Każdy klucz i certyfikat ma właściciela i datę wygaśnięcia. Kopia odzyskiwania wymaga dwóch osób, a firma wymieniła klucz raz, nie zatrzymując usługi.
To ilustracja, a nie opis prawdziwego przypadku.
co musi robić dla każdego przepisu
| przepis | gdzie | czego wymaga tekst | co musi robić zabezpieczenie |
|---|---|---|---|
| NIS2 | NIS2 art. 21(2)(h) | Polityki i procedury dotyczące stosowania kryptografii i, w stosownych przypadkach, szyfrowania. | Zapisz, gdzie szyfrujesz dane w spoczynku i w transmisji, jakie metody akceptujesz i kto jest właścicielem kluczy. Zapisz też, gdzie nie szyfrujesz i dlaczego. |
| DORA | DORA art. 9(4)(d) | Środki ochrony kluczy kryptograficznych, przy czym dane są szyfrowane na podstawie wyników zatwierdzonej klasyfikacji danych i oceny ryzyka ICT. | Powiąż wybór szyfrowania z klasami danych i miej udokumentowany sposób generowania, przechowywania, rotacji i wycofywania kluczy. |
| RODO | RODO art. 32(1)(a) | W stosownych przypadkach pseudonimizacja i szyfrowanie danych osobowych. | Szyfruj dane osobowe tam, gdzie wymaga tego ryzyko, i potrafij pokazać, gdzie to jest. |
podstawa NIS2 art. 21(2)(h); DORA art. 9(4)(d); RODO art. 32(1)(a). To, co zabezpieczenie ma robić, jest praktyką.
na co patrzeć przy wyborze
- Czy trzyma klucze osobno od danych, które chronią, w magazynie dostępnym dla niewielu osób i systemów?
- Czy możesz wypisać każdy klucz, jego właściciela, miejsce użycia i datę ostatniej zmiany?
- Czy możesz zmienić klucz bez wyłączania usługi i czy zrobiłeś to choć raz?
- Co dzieje się z danymi, gdy klucz zginie? Czy jest kopia odzyskiwania, trzymana tam, gdzie administrator danych nie odczyta jej sam?
- Czy zapisuje każde użycie i każdą zmianę klucza?
- Jak obsługuje certyfikaty i czy ostrzega, zanim któryś wygaśnie?
- Jeśli dostawca trzyma klucze do usługi w chmurze, czy możesz trzymać własne i co to zmienia?
- Jakie metody obsługuje i czy możesz wycofać słabą bez przebudowy?
podstawa praktyka
trzy poziomy, od pierwszego kroku do mocnego
Każdy poziom dodaje coś widocznego. Zatrzymaj się tam, gdzie pozwala na to ryzyko, które akceptujesz.
- start
Napisz krótką politykę kryptografii, wypisz używane klucze i certyfikaty i przypisz każdemu wskazanego właściciela.
- solidnie
Trzymaj klucze osobno od danych, dodaj kopię odzyskiwania wymagającą dwóch osób i ostrzegaj o terminach wygaśnięcia z dużym wyprzedzeniem.
- mocno
Wymieniaj klucze według harmonogramu bez przestojów, raz w roku testuj odzyskiwanie kluczy i przeglądaj, kto ma dostęp do magazynu kluczy.
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
gdzie się psuje
klucz leży obok danych
Klucz na tym samym serwerze lub w tej samej kopii co dane, które chroni, daje niewielką ochronę. Trzymaj je osobno.
klucz, którego nikt nie odzyska
Zgubiony klucz może oznaczać utratę danych, także w kopiach zapasowych. Trzymaj kopię odzyskiwania pod regułą wymagającą dwóch osób.
wygasłe certyfikaty
Certyfikat, który wygasa, zabiera ze sobą usługę, zwykle w najgorszym momencie. Prowadź listę z datami wygaśnięcia i właścicielem każdego.
szyfrowanie, którego nikt nie spisał
Szyfrowanie dysków może być włączone w jednym miejscu i wyłączone w innym. Bez krótkiej polityki i listy nie odpowiesz na pytanie, gdzie Wasze dane są zaszyfrowane.
podstawa praktyka
dowód, który zostawia
| co możesz pokazać | kto jest właścicielem | odświeżanie |
|---|---|---|
| polityka kryptografii: gdzie dane są szyfrowane, akceptowane metody, właściciele kluczy | szef IT | co roku |
| inwentarz kluczy i certyfikatów z właścicielami i datami wygaśnięcia | szef IT | co kwartał |
| zapis rotacji kluczy i testów odzyskiwania kluczy | szef IT | co roku |
| lista systemów i klas danych z danymi osobowymi, ze statusem szyfrowania każdego | szef IT, z osobą odpowiedzialną za ochronę danych | co roku |
podstawa praktyka. Częstotliwości odświeżania to Twój wybór.
sprawdź sam
- Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)
- Rozporządzenie (UE) 2022/2554 (DORA) (EUR-Lex)
- Rozporządzenie (UE) 2016/679 (RODO) (EUR-Lex)
twój następny krok
Wypisz klucze i certyfikaty używane dziś i zaznacz te, które nie mają wskazanego właściciela.