5 κλειδιά για καλύτερη διαχείριση κλειδιών

Η στρατοσφαιρική αύξηση του αριθμού των παγκόσμιων επιθέσεων κυβερνοασφάλειας έριξε ένα προβολέα στην κρίσιμη ανάγκη να ακολουθηθούν οι βέλτιστες πρακτικές σχετικά με την κρυπτογράφηση και την ασφάλεια γενικότερα. Υιοθετώντας μια νοοτροπία από μέσα προς τα έξω είναι ένα πράγμα? το να το κάνεις πράξη είναι άλλο.

Για να βοηθήσει, η ομάδα του Cryptomathic έχει συντάξει μια λίστα με πέντε βασικούς δείκτες για καλύτερη διαχείριση κρυπτογραφικών κλειδιών για να βοηθήσει τους οργανισμούς να ξεκινήσουν το ταξίδι.

Συμβουλές για καλύτερη διαχείριση κρυπτογραφικών κλειδιών

1. Ξεκινήστε με πολύ καλά κλειδιά — και μια σάρωση αποθέματος. Χωρίς αμφιβολία, το πιο σημαντικό πράγμα που μπορείτε να κάνετε είναι να βεβαιωθείτε ότι ο οργανισμός σας χρησιμοποιεί κλειδιά υψηλής ποιότητας. Αν δεν χρησιμοποιείτε καλά κλειδιά, ποιο είναι το νόημα; Φτιάχνεις ένα σπίτι από κάρτες.

Η δημιουργία καλών κλειδιών απαιτεί να γνωρίζετε από πού προέρχονται τα κλειδιά και πώς δημιουργήθηκαν. Τα δημιουργήσατε στον φορητό υπολογιστή σας ή με μια αριθμομηχανή τσέπης ή χρησιμοποιήσατε ένα ειδικά σχεδιασμένο εργαλείο που έχει σχεδιαστεί ειδικά για τη δουλειά; Έχουν αρκετή εντροπία; Από τη δημιουργία, τη χρήση και την αποθήκευση, τα κλειδιά δεν πρέπει ποτέ να φεύγουν από τα ασφαλή όρια μιας μονάδας ασφαλείας υλικού (HSM) ή μιας παρόμοιας συσκευής.

Οι πιθανότητες είναι ότι ο οργανισμός σας χρησιμοποιεί ήδη κλειδιά και πιστοποιητικά — γνωρίζετε πού βρίσκονται; Ποιος έχει πρόσβαση σε αυτά και γιατί; Πού αποθηκεύονται; Πώς διαχειρίζονται; Δημιουργήστε ένα απόθεμα με αυτά που έχετε και, στη συνέχεια, αρχίστε να δίνετε προτεραιότητα στη διαχείριση του κύκλου ζωής του καθαρισμού και της συγκέντρωσης για αυτά τα κλειδιά, τα πιστοποιητικά και τα μυστικά.

2. Αναλύστε ολόκληρο το προφίλ κινδύνου σε ολόκληρο το περιβάλλον σας. Μπορείτε να δημιουργήσετε την πιο λαμπρή, εμπεριστατωμένη και ολοκληρωμένη στρατηγική κυβερνοασφάλειας, αλλά τελικά, θα είναι επιτυχής μόνο εάν όλοι στον οργανισμό σας την αγοράσουν και τη συμμορφωθούν. Γι' αυτό είναι σημαντικό να αναπτύξετε μια στρατηγική διαχείρισης κινδύνου με τη συμβολή εκπροσώπων από όλη την επιχείρηση. Συμπεριλάβετε άτομα συμμόρφωσης και κινδύνου από την αρχή για να διατηρήσετε τη διαδικασία ειλικρινή. Για να έχουν νόημα οι διαδικασίες και τα πρωτόκολλα ασφαλείας, πρέπει να περιλαμβάνουν όλους, από άτομα πληροφορικής έως τις επιχειρηματικές μονάδες που φέρνουν περιπτώσεις χρήσης και μπορούν να επιστρέψουν και να εξηγήσουν στους συναδέλφους τους γιατί είναι απαραίτητα τα βήματα ασφαλείας.

3. Κάντε τη συμμόρφωση ως αποτέλεσμα, όχι τον απώτερο στόχο. Αυτό μπορεί να ακούγεται αντιπαθητικό, αλλά ακούστε με. Παρόλο που η συμμόρφωση είναι απίστευτα σημαντική, υπάρχει εγγενής κίνδυνος να χρησιμοποιήσετε τη κανονιστική συμμόρφωση ως τον μοναδικό οδηγό της στρατηγικής σας. Όταν τα συστήματα έχουν σχεδιαστεί για να επιλέγουν απλώς τα πλαίσια σε μια λίστα ελέγχου κανονιστικών ρυθμίσεων, οι οργανισμοί χάνουν το ευρύτερο, πιο σημαντικό σημείο: να σχεδιάσουν και να κατασκευάσουν για καλύτερη ασφάλεια.

Αντίθετα, χρησιμοποιήστε κανονισμούς και πρότυπα ασφαλείας ως κατευθυντήρια γραμμή για το ελάχιστο σύνολο απαιτήσεων και, στη συνέχεια, βεβαιωθείτε ότι οι προσπάθειές σας ανταποκρίνεται στις ανάγκες ασφάλειας και της επιχείρησής σας στο μέλλον. Μην αφήνετε τη συμμόρφωση να αποσπά την προσοχή από τον πραγματικό στόχο.

4. Ισορροπήστε την ασφάλεια με τη χρηστικότητα. Πώς η ασφάλεια επηρεάζει τη χρηστικότητα; Έχετε δημιουργήσει ένα σύστημα που είναι τόσο ασφαλές που δεν είναι πρακτικό για τους περισσότερους χρήστες; Είναι επιτακτική ανάγκη να βρεθεί μια ισορροπία μεταξύ ασφάλειας και εμπειρίας χρήστη και να βεβαιωθείτε ότι οι διαδικασίες ασφαλείας δεν εμποδίζουν τους ανθρώπους να κάνουν πραγματικά τη δουλειά τους. Για παράδειγμα, ο έλεγχος ταυτότητας πολλαπλών παραγόντων μπορεί να είναι ένας πολύ καλός τρόπος για να γίνει η πρόσβαση πιο ασφαλής, αλλά εάν δεν εφαρμοστεί σωστά, μπορεί να προκαλέσει διακοπή της ροής εργασιών και να καταστραφεί η αποτελεσματικότητα.

5. Γίνε ειδικός… που ξέρει πότε να καλέσει έναν ειδικό. Η διαχείριση κλειδιών είναι σοβαρή υπόθεση και θα πρέπει να αντιμετωπίζεται ως τέτοια. Κάποιος στον οργανισμό σας θα πρέπει να γίνει πραγματικά ικανός στην κατανόηση των εργαλείων και της τεχνολογίας για την καθιέρωση καλών βασικών πρακτικών διαχείρισης στον πυρήνα όλων όσων κάνει ο οργανισμός σας.

Ταυτόχρονα, είναι εξίσου σημαντικό να αναγνωρίζετε πότε χρειάζεστε υποστήριξη από ειδικούς, όπως όταν ο οργανισμός σας έχει πάρα πολλά κλειδιά για διαχείριση. Το Εθνικό Ινστιτούτο Προτύπων και Τεχνολογίας (NIST) δημοσιεύει α τεράστιο έγγραφο που διατυπώνει συστάσεις για όλα όσα πρέπει και δεν πρέπει να γίνουν για να καθιερωθούν καλές βασικές πρακτικές διαχείρισης. Οι επαγγελματίες κρυπτογραφίας εμβαθύνουν σε αυτές τις συστάσεις για να βεβαιωθούν ότι τα εργαλεία κρυπτογράφησης και οι λύσεις διαχείρισης κλειδιών που προσφέρονται πληρούν αυτά τα πρότυπα. Με αυτόν τον τρόπο, όταν ο οργανισμός σας χρειάζεται πρόσθετη υποστήριξη για τη διαδικασία διαχείρισης κλειδιών, θα έχετε το πλαίσιο για να αξιολογήσετε τις επιλογές και να βρείτε την τεχνογνωσία που χρειάζεστε για να εξασφαλίσετε αποτελεσματικά τα περιουσιακά σας στοιχεία.