5 chiavi per una migliore gestione delle chiavi

L’aumento stratosferico del numero di attacchi alla sicurezza informatica globale getta i riflettori sulla necessità fondamentale di seguire le migliori pratiche con la crittografia e la sicurezza in generale. Adottare una mentalità al rovescio è una cosa; metterlo in pratica è un'altra.

Per assistere, il team di Cryptomathic ha compilato un elenco di cinque indicatori chiave per una migliore gestione delle chiavi crittografiche per aiutare le organizzazioni a iniziare il viaggio.

Suggerimenti per una migliore gestione delle chiavi crittografiche

1. Inizia con chiavi davvero buone e una scansione dell'inventario. Senza dubbio, la cosa più importante che puoi fare è assicurarti che la tua organizzazione utilizzi chiavi di alta qualità. Se non usi buone chiavi, qual è il punto? Stai costruendo un castello di carte.

Per creare buone chiavi è necessario sapere da dove provengono e come sono state generate. Li hai creati sul tuo laptop o con una calcolatrice tascabile oppure hai utilizzato uno strumento appositamente progettato per il lavoro? Hanno abbastanza entropia? Dalla generazione, all'utilizzo, all'archiviazione, le chiavi non dovrebbero mai uscire dai confini sicuri di un modulo di sicurezza hardware (HSM) o di un dispositivo simile.

È probabile che la tua organizzazione stia già utilizzando chiavi e certificati: sai dove risiedono? Chi ha accesso ad essi e perché? Dove sono conservati? Come vengono gestiti? Crea un inventario di ciò che hai e poi inizia a dare priorità alla pulizia e alla centralizzazione della gestione del ciclo di vita di chiavi, certificati e segreti.

2. Analizza l'intero profilo di rischio nell'intero ambiente. Puoi creare la strategia di sicurezza informatica più brillante, approfondita e completa, ma alla fine avrà successo solo se tutti nella tua organizzazione la accettano e la rispettano. Ecco perché è importante sviluppare una strategia di gestione del rischio con il contributo di rappresentanti di tutta l’azienda. Includere le persone responsabili della conformità e del rischio fin dall'inizio per mantenere il processo onesto. Affinché i processi e i protocolli di sicurezza siano significativi, devono includere tutti, dal personale IT alle unità aziendali, che portano casi d'uso e possono tornare indietro e spiegare ai loro colleghi perché sono necessarie le misure di sicurezza.

3. Fare della compliance un risultato, non l’obiettivo finale. Potrebbe sembrare controintuitivo, ma ascoltami. Anche se la conformità è incredibilmente importante, esiste un rischio intrinseco nell’utilizzare la conformità normativa come unico motore della propria strategia. Quando i sistemi sono progettati semplicemente per spuntare le caselle di una lista di controllo normativa, le organizzazioni perdono il punto più ampio e importante: progettare e costruire per una migliore sicurezza.

Utilizzare invece le normative e gli standard di sicurezza come linea guida per l'insieme minimo di requisiti e quindi assicurarsi che i propri sforzi siano effettivamente concreti rispondere alle vostre esigenze di sicurezza e aziendali in futuro. Non lasciare che la conformità sia una distrazione dal vero obiettivo.

4. Bilanciare la sicurezza con l'usabilità. In che modo la sicurezza influisce sull'usabilità? Hai creato un sistema così sicuro da risultare poco pratico per la maggior parte degli utenti? È fondamentale trovare un equilibrio tra sicurezza ed esperienza dell’utente e assicurarsi che i processi di sicurezza non impediscano alle persone di svolgere effettivamente il proprio lavoro. Ad esempio, l’autenticazione a più fattori può essere un ottimo modo per rendere l’accesso più sicuro, ma se non viene implementata correttamente, può causare l’interruzione dei flussi di lavoro e un calo dell’efficienza.

5. Sii uno specialista... che sa quando chiamare un esperto. La gestione delle chiavi è una cosa seria e dovrebbe essere trattata come tale. Qualcuno nella tua organizzazione dovrebbe diventare davvero abile nel comprendere gli strumenti e la tecnologia per stabilire buone pratiche di gestione delle chiavi al centro di tutto ciò che fa la tua organizzazione.

Allo stesso tempo, è altrettanto importante riconoscere quando è necessario il supporto di esperti, ad esempio quando la tua organizzazione ha troppe chiavi da gestire. Il National Institute for Standards and Technology (NIST) pubblica a documento enorme che fornisce raccomandazioni su tutto ciò che dovrebbe e non dovrebbe essere fatto per stabilire buone pratiche di gestione delle chiavi. I professionisti della crittografia approfondiscono questi consigli per assicurarsi che gli strumenti crittografici e le soluzioni di gestione delle chiavi offerti soddisfino questi standard. In questo modo, quando la tua organizzazione avrà bisogno di ulteriore supporto per il processo di gestione delle chiavi, avrai la struttura per valutare le opzioni e trovare le competenze necessarie per proteggere le tue risorse in modo efficace.