Salausavainten hallintajärjestelmällä (CKMS) käsitellään, hallitaan ja varastoidaan salausavamia sekä valvotaan niihin liittyiviä toimenpiteitä. Hallintajärjestelmä voi olla toteutettu automatisoituna työkaluna tai manuaalisempana toteutuksena.

Organisaatiolla on oltava keinot, joilla salausavainten hallintajärjestelmän avulla seurataan ja raportoidaan kaikista salauksen materiaaleista ja niiden statuksista. Salausavainten hallintajärjestelmää tulisi käyttää ainakin:

• Salaustilojen muutosten seurantaan
• Salausavainten luomiseen ja jakeluun
• Public-key -sertifikaattien luomisee
• Tunnistamattoman salatun omaisuuden valvontaan
• Salausavainten luettelointiin, arkistointiin ja varmuuskopiointiin
• Ylläpitää tietokantaa liitoksista organisaation sertifikaatti- ja salausavainrakenteisiin

Kun varmuuskopioiden luottamuksellisuus on tärkeää, varmuuskopiot suojataan salauksella. Varmuuskopioiden salaamisen tarve voi korostua, kun varmuuskopioita säilytetään fyysisessä sijainnissa, jonka turvallisuuskäytännöistä ei ole varmuutta.

Kannettavat tietokoneet on suojattu full-disk -salauksella.

Organisaatio määrittelee prosessit ja keinot, joilla varmistetaan käytössä olevien tietojen luottamuksellisuus, eheys ja saatavuus. Näihin prosesseihin voivat kuulua esimerkiksi

• Luottamuksellisten tietojen poistaminen prosessoreista, muistista ja välimuistista välittömästi sen jälkeen, kun niitä ei enää tarvita, altistumisriskien minimoimiseksi.
• Sen varmistaminen, että käytössä olevat tiedot eristetään ja suojataan muiden käyttäjien tai samalla alustalla olevien prosessien luvattomalta käytöltä.
• Laitteistopohjaisten suojausten (esim. luotettavien suoritusympäristöjen tai turvallisten erillisalueiden) soveltaminen, jotta estetään arkaluonteisten tietojen peukalointi tai luvaton pääsy niihin niiden käsittelyn aikana.
• Rajoitetaan tietoihin pääsy vain niille, jotka sitä tarvitsevat.

Organisaation henkilöstölle tarjotaan ratkaisu turvallisuusluokittelemattoman salassa pidettävän tiedon suojaamiseksi salaamisella, kun tietoa siirretään fyysisesti suojattujen alueiden ulkopuolelle verkon kautta. Ratkaisussa ei ole tunnettuja haavoittuvuuksia ja se tukee valmistajalta saatujen tietojen mukaan moderneja salausvahvuuksia ja -asetuksia.

Henkilöstön osaamisesta salausratkaisun turvalliseen käyttöön on varmistuttu (esimerkiksi ohjeistus, koulutus ja valvonta).

Organisaatiomme on määritellyt toimintatavat salausavainten luomiseen, säilyttämiseen, jakamiseen ja poistamiseen.

Salausavainten pituudet ja käyttökäytännöt pyritään valitsemaan parhaiden yleisten käytäntöjen mukaisesti seuraamalla alan kehitystä.

Luottamuksellisen tiedon varastoimista siirrettävissä tietovälineissä pyritään välttämään. Kun siirrettäviä tietovälineitä käytetään luottamuksellisen tiedon siirtämiseen, käytetään asiallista suojausta (esim. koko levyn salausta pre-boot autentikoinnilla).

Salausratkaisujen tarpeellisuudesta päättäminen nähdään osana kokonaisprosessia, johon sisältyvät riskien arviointi ja muiden hallintatehtävien määrittely.

Organisaatio on laatinut yleisen salauspolitiikan, jota noudatetaan aina tietoa suojattaessa salauksen avulla.

Salauspolitiikka määrittelee:

• yleiset periaatteet salauksen hallintakeinojen käytölle koko organisaatiossa
• tarvittavan salaustason määrittelytavat omaisuuden riskien arvioinnin perusteella
• salauksen käytön mobiililaitteissa
• tavat salausavainten suojaukseen ja salatun tiedon palauttamiseen avainten kadotessa
• roolit ja velvollisuudet salaukseen liittyen
• salauksen vaikutukset muihin tietoturvan hallintajärjestelmän tehtäviin

Käytettäviä salaustapoja valittaessa olisi otettava huomioon mm. seuraavat seikat:

• salauksen käyttökustannukset
• salauksen taso (esim. salausalgoritmin tyyppi, voimakkuus ja laatu)
• suojattavan omaisuuden arvo

Salaushallintakeinojen valinnassa harkitaan aina ulkoisten asiantuntijoiden neuvojen tarpeellisuutta.