5 chaves para um melhor gerenciamento de chaves

O aumento estratosférico do número de ataques globais à cibersegurança lançou luz sobre a necessidade crítica de seguir as melhores práticas com criptografia e segurança em geral. Adoção uma mentalidade de dentro para fora é uma coisa; colocá-lo em prática é outra.

Para ajudar, a equipe da Cryptomathic compilou uma lista de cinco dicas principais para um melhor gerenciamento de chaves criptográficas para ajudar as organizações a iniciar a jornada.

Dicas para um melhor gerenciamento de chaves criptográficas

1. Comece com chaves realmente boas – e uma verificação de inventário. Sem dúvida, a coisa mais importante que você pode fazer é garantir que sua organização use chaves de alta qualidade. Se você não usa chaves boas, qual é o sentido? Você está construindo um castelo de cartas.

Criar boas chaves requer saber de onde vêm as chaves e como foram geradas. Você os criou em seu laptop ou com uma calculadora de bolso, ou usou uma ferramenta desenvolvida especificamente para o trabalho? Eles têm entropia suficiente? Da geração ao uso e ao armazenamento, as chaves nunca devem sair dos limites seguros de um módulo de segurança de hardware (HSM) ou dispositivo semelhante.

Provavelmente, sua organização já usa chaves e certificados. Você sabe onde eles residem? Quem tem acesso a eles e por quê? Onde eles estão armazenados? Como eles são gerenciados? Crie um inventário do que você tem e comece a priorizar o gerenciamento do ciclo de vida de limpeza e centralização para essas chaves, certificados e segredos.

2. Analise todo o seu perfil de risco em todo o ambiente. Você pode criar a estratégia de segurança cibernética mais brilhante, completa e abrangente, mas, em última análise, ela só terá sucesso se todos na sua organização a aderirem e a cumprirem. É por isso que é importante desenvolver uma estratégia de gestão de riscos com a contribuição de representantes de toda a empresa. Inclua pessoas de conformidade e risco desde o início para manter o processo honesto. Para que os processos e protocolos de segurança sejam significativos, eles devem incluir todos, desde o pessoal de TI até as unidades de negócios que trazem casos de uso e podem voltar e explicar aos seus pares por que as etapas de segurança são necessárias.

3. Faça da conformidade um resultado e não o objetivo final. Isso pode parecer contra-intuitivo, mas me escute. Embora a conformidade seja extremamente importante, existe um risco inerente ao uso da conformidade regulamentar como o único impulsionador da sua estratégia. Quando os sistemas são concebidos para simplesmente assinalar as caixas de uma lista de verificação regulamentar, as organizações perdem o ponto mais amplo e importante: conceber e construir para uma melhor segurança.

Em vez disso, utilize regulamentos e padrões de segurança como orientação para o conjunto mínimo de requisitos e depois certifique-se de que os seus esforços realmente atender às suas necessidades de segurança e negócios daqui para frente. Não deixe que a conformidade seja uma distração do objetivo real.

4. Equilibre segurança com usabilidade. Como a segurança afeta a usabilidade? Você criou um sistema tão seguro que é impraticável para a maioria dos usuários? É imperativo encontrar um equilíbrio entre segurança e experiência do usuário e garantir que os processos de segurança não impeçam as pessoas de realmente realizarem seu trabalho. Por exemplo, a autenticação multifator pode ser uma ótima maneira de tornar o acesso mais seguro, mas se não for implementada corretamente, pode causar a quebra dos fluxos de trabalho e a eficiência despencar.

5. Seja um especialista… que sabe quando chamar um especialista. A gestão de chaves é um negócio sério e deve ser tratada como tal. Alguém na sua organização deve tornar-se realmente proficiente na compreensão das ferramentas e da tecnologia para estabelecer boas práticas de gestão chave no centro de tudo o que a sua organização faz.

Ao mesmo tempo, é igualmente importante reconhecer quando você precisa de suporte especializado, como quando sua organização tem muitas chaves para gerenciar. O Instituto Nacional de Padrões e Tecnologia (NIST) publica um documento enorme que estabelece recomendações sobre tudo o que deve ou não ser feito para estabelecer boas práticas de gestão de chaves. Os profissionais de criptografia se aprofundam nessas recomendações para garantir que as ferramentas criptográficas e as soluções de gerenciamento de chaves oferecidas atendam a esses padrões. Dessa forma, quando sua organização precisar de suporte adicional para o processo de gerenciamento de chaves, você terá a estrutura para avaliar as opções e encontrar o conhecimento necessário para proteger seus ativos de maneira eficaz.