.png)
The policy and procedures referred to in point 9.1 shall establish:
Salausavainten hallintajärjestelmällä (CKMS) käsitellään, hallitaan ja varastoidaan salausavamia sekä valvotaan niihin liittyiviä toimenpiteitä. Hallintajärjestelmä voi olla toteutettu automatisoituna työkaluna tai manuaalisempana toteutuksena.
Organisaatiolla on oltava keinot, joilla salausavainten hallintajärjestelmän avulla seurataan ja raportoidaan kaikista salauksen materiaaleista ja niiden statuksista. Salausavainten hallintajärjestelmää tulisi käyttää ainakin:
Organisaation riskienhallintamenettelyssä on huomioitava riittävällä prioriteetilla salausavainten hallintaan liittyvien riskien tunnistaminen, arvionti, käsittely ja seuraaminen.
Organisaation täytyy auditoida salauksen ja salausavainten hallintajärjestelmät ja käytännöt säännöllisesti. Auditointi tulee toteuttaa vähintään vuosittain sekä aina näihin osa-alueisiin liittyvien tietoturvatapahtumien jälkeen.
Auditoinnissa on tärkeää huomioida mahdolliset toimialakohtaiset salausvaatimukset (esim. HIPAA - terveystiedot, tai PCI DSS - maksukorttitiedot).
Organisaatiolla on oltava keinot salausavainten käytöstä poistamiseksi ennen asetetun salausjakson päättymistä. Näitä toimenpiteitä käytetään esimerkiksi avaimen eheyden vaarantuessa tai salauksen kohteen poistuessa organisaation hallusta.
Tieto salausavaimen kumoamisesta tulisi olla saatavilla kaikille salausavaimeen nojautuneille tahoille. Relevanttien sidosryhmien tiedottamisessa voi olla syytä käyttää mm. certificate revocation -listoja (CRL).
Organisaatiolla täytyy olla keinot turvallisen ympäristön ulkopuolelle varastoitujen salausavainten tuhomaiseksi sekä HSM:iin (Hardware Security Modules) varastoitujen avainten kumoamiseksi, kun niitä ei enää tarvita.
Salausavainten tuhoamisessa on huomioitava seuraavat seikat, jotka varmistavat tietojen palauttamattomuuden:
Salausavainten arkistoinnilla tarkoitetaan salausavainten turvallisesti järjestettyä pidemmän aikavälin säilyttämistä. Arkistoiduista avaimista voi olla hyötyä myöhempään tietojen palauttamiseen.
Organisaatiolla on oltava keinot hallita salausavaimia turvallisessa arkistossa, joka toimii pienimmän käyttöoikeuden periaatteen mukaan.
Salausavainten arkistoinnissa on huomioita vähintään:
Salausavainten palauttamisella tarkoitetaan salausavaimen uudelleenrakentamista varmuuskopioiden tai arkistojen avulla.
Organisaatiolla on oltava keinot arvioda salausavaimen tai salattujen tietojen paljastumisen riskiä verrattuna toiminnan jatkuvuuden vaarantumiseen siinä tapauksessa, että salausavain katoaa.
Salausratkaisujen tarpeellisuudesta päättäminen nähdään osana kokonaisprosessia, johon sisältyvät riskien arviointi ja muiden hallintatehtävien määrittely.
Organisaatio on laatinut yleisen salauspolitiikan, jota noudatetaan aina tietoa suojattaessa salauksen avulla.
Salauspolitiikka määrittelee:
Digiturvamallissa kaikki vaatimuskehikkojen vaatimukset kohdistetaan universaaleihin tietoturvatehtäviin, jotta voitte muodostaa yksittäisen suunnitelman, joka täyttää ison kasan vaatimuksia.
.png)
Aloita ilmaiseksi tutussa Microsoft Teams -ympäristössä.
Jos sinulla on kysymyksiä, varaa palaveri sinulle sopivaan ajankohtaan.
.svg)
.svg)
