Salausavainten hallintajärjestelmällä (CKMS) käsitellään, hallitaan ja varastoidaan salausavamia sekä valvotaan niihin liittyiviä toimenpiteitä. Hallintajärjestelmä voi olla toteutettu automatisoituna työkaluna tai manuaalisempana toteutuksena.

Organisaatiolla on oltava keinot, joilla salausavainten hallintajärjestelmän avulla seurataan ja raportoidaan kaikista salauksen materiaaleista ja niiden statuksista. Salausavainten hallintajärjestelmää tulisi käyttää ainakin:

• Salaustilojen muutosten seurantaan
• Salausavainten luomiseen ja jakeluun
• Public-key -sertifikaattien luomisee
• Tunnistamattoman salatun omaisuuden valvontaan
• Salausavainten luettelointiin, arkistointiin ja varmuuskopiointiin
• Ylläpitää tietokantaa liitoksista organisaation sertifikaatti- ja salausavainrakenteisiin

Organisaatiolla on oltava keinot, joiden mukaisesti vaarantuneita salausavaimia käsitellään. Vaarantuneet salausavaimet voivat olla tilassa, jossa ne odottavat tarkempaa tutkintaa asiallisten toimenpiteiden selvittämiseksi.

Vaarantuneiden salausavainten käsittelyssä on huomioitava vähintään seuraavat seikat:

• vaarantuneita salausavaimia on käytettävä tiedon salaamiseen ainoastaan hallituissa erityisolosuhteissa
• vaarantuneita salausavaimia on käytettävä yleisesti ainoastaan salauksen purkamiseen eikä salaukseen
• vaarantuneet avaimet on sisällytettävät organisaation CKL-listoille (compromised key lists)
• tarvittaessa liittyviä sidosryhmiä on tiedotettava avainten vaarantumisesta

Vaarantuneiden salausavainten pikaiseen kumoamiseen tulisi soveltaa organisaation hätäkumoamisprosesseja.

Organisaation täytyy auditoida salauksen ja salausavainten hallintajärjestelmät ja käytännöt säännöllisesti. Auditointi tulee toteuttaa vähintään vuosittain sekä aina näihin osa-alueisiin liittyvien tietoturvatapahtumien jälkeen.

Auditoinnissa on tärkeää huomioida mahdolliset toimialakohtaiset salausvaatimukset (esim. HIPAA - terveystiedot, tai PCI DSS - maksukorttitiedot).

Organisaatiomme on määritellyt toimintatavat salausavainten luomiseen, säilyttämiseen, jakamiseen ja poistamiseen.

Salausavainten pituudet ja käyttökäytännöt pyritään valitsemaan parhaiden yleisten käytäntöjen mukaisesti seuraamalla alan kehitystä.

Salausratkaisujen tarpeellisuudesta päättäminen nähdään osana kokonaisprosessia, johon sisältyvät riskien arviointi ja muiden hallintatehtävien määrittely.

Organisaatio on laatinut yleisen salauspolitiikan, jota noudatetaan aina tietoa suojattaessa salauksen avulla.

Salauspolitiikka määrittelee:

• yleiset periaatteet salauksen hallintakeinojen käytölle koko organisaatiossa
• tarvittavan salaustason määrittelytavat omaisuuden riskien arvioinnin perusteella
• salauksen käytön mobiililaitteissa
• tavat salausavainten suojaukseen ja salatun tiedon palauttamiseen avainten kadotessa
• roolit ja velvollisuudet salaukseen liittyen
• salauksen vaikutukset muihin tietoturvan hallintajärjestelmän tehtäviin