The encryption solution used by the organization for the storage and transfer of classified information must be approved by the competent authority.

At minimum, the following must be taken into account:

• the organization has identified use cases where encryption solutions are required to protect classified information; the identified use cases cover all situations where the protection of classified information relies wholly or partly on encryption
• for the relevant classification level, the organization has either a) acquired encryption solutions approved by the competent authority and uses them in accordance with the usage policies and settings defined in the approval, or b) obtained case-specific approvals and usage policies/settings from the competent authority for encryption solutions not previously approved
• secret keys are accessible only to authorized users and processes; key management processes and practices are documented and properly implemented
• the security of the encryption solution's supply chain has been ensured at a sufficient level, particularly verifying the supply chain from a trusted manufacturer to the target information processing environment.

Organisaatiomme on määritellyt toimintatavat salausavainten luomiseen, säilyttämiseen, jakamiseen ja poistamiseen.

Salausavainten pituudet ja käyttökäytännöt pyritään valitsemaan parhaiden yleisten käytäntöjen mukaisesti seuraamalla alan kehitystä.

Salausratkaisujen tarpeellisuudesta päättäminen nähdään osana kokonaisprosessia, johon sisältyvät riskien arviointi ja muiden hallintatehtävien määrittely.

Organisaatio on laatinut yleisen salauspolitiikan, jota noudatetaan aina tietoa suojattaessa salauksen avulla.

Salauspolitiikka määrittelee:

• yleiset periaatteet salauksen hallintakeinojen käytölle koko organisaatiossa
• tarvittavan salaustason määrittelytavat omaisuuden riskien arvioinnin perusteella
• salauksen käytön mobiililaitteissa
• tavat salausavainten suojaukseen ja salatun tiedon palauttamiseen avainten kadotessa
• roolit ja velvollisuudet salaukseen liittyen
• salauksen vaikutukset muihin tietoturvan hallintajärjestelmän tehtäviin