Ġestjoni taċ-ċwievet kriptografiċi għal ISO 27001, NIS2 u DORA

Fit-08:17 ta’ nhar ta’ Tnejn filgħodu, is-CISO ta’ kumpanija Ewropea tas-SaaS jirċievi messaġġ mingħand il-Kap tal-Inġinerija: “Dawwarna ċ-ċavetta tal-iċċifrar tad-database fi tmiem il-ġimgħa, iżda integrazzjoni waħda waqfet tiddeċifra r-reġistri. Erġajna lura billi użajna ċavetta qadima mill-vault.”

Għaxar minuti wara, id-DPO jistaqsi jekk ir-reġistri affettwati jinkludux data personali tal-UE. Id-dipartiment tal-finanzi jistaqsi jekk dan jistax isir inċident operattiv li għandu jiġi rrappurtat għal klijent irregolat. L-akkwist jistaqsi jekk iċ-ċavetta ġestita mill-klijent hijiex proprjetà tal-fornitur tal-cloud jew tal-kumpanija. Il-Kap Eżekuttiv jistaqsi l-unika mistoqsija li tgħodd fil-kamra tal-bord: “Nistgħu nippruvaw li ġestixxejna dan kif suppost?”

Dak huwa l-mument meta “nużaw l-iċċifrar” ma tibqax frażi ta’ serħan il-moħħ u ssir kwistjoni ta’ evidenza.

Fl-2026, il-ġestjoni taċ-ċwievet kriptografiċi tinsab fl-intersezzjoni tal-kontrolli ISO/IEC 27001:2022, l-iġjene ċibernetika ta’ NIS2, il-ġestjoni tar-riskju tal-ICT ta’ DORA, l-evidenza tas-sigurtà tal-ipproċessar taħt GDPR Artikolu 32, ir-responsabbiltà kondiviża fil-cloud u l-ippjanar għall-crypto-agility wara l-quantum. Il-kwistjoni reali mhijiex jekk jeżistix l-iċċifrar. Il-kwistjoni reali hija jekk l-organizzazzjoni tistax turi, permezz ta’ reġistri, li ċ-ċwievet jiġu ġġenerati b’mod sigur, assenjati lil sidien, maħżuna f’ambjenti KMS jew HSM approvati, rotati skont l-iskeda, irkuprati b’mod sigur, revokati meta jiġu kompromessi u mmappjati mar-riskju tan-negozju.

Clarysec tara l-istess xejra ripetutament fix-xogħol ta’ tħejjija. L-iċċifrar jiġi implimentat sistema b’sistema, iżda l-governanza taċ-ċwievet tkun frammentata. Iċ-ċertifikati jgħixu fi spreadsheets. Il-permessi tal-cloud KMS jintirtu minn proġetti qodma. L-iżviluppaturi jafu liema sigrieti huma importanti, iżda l-ISMS ma jafx. L-awdituri jirċievu screenshots minflok evidenza taċ-ċiklu tal-ħajja. It-timijiet ta’ NIS2 u DORA jitkellmu dwar ir-reżiljenza, it-timijiet tal-privatezza jitkellmu dwar l-iċċifrar u l-psewdonimizzazzjoni tal-GDPR, u ħadd ma jkollu sjieda tal-pjan ta’ kontroll kriptografiku minn tarf sa tarf.

Risposta matura mhijiex aktar kontrolli kriptografiċi iżolati. Hija ġestjoni ggvernata taċ-ċwievet kriptografiċi marbuta mat-trattament tar-riskju, l-arkitettura tal-cloud, is-sorveljanza tal-fornituri, il-kontroll tal-aċċess, l-illoggjar, ir-rispons għall-inċidenti u l-evidenza regolatorja.

Għaliex il-ġestjoni taċ-ċwievet issa hija kwistjoni ta’ governanza

NIS2 tagħmel il-politiki dwar il-kontrolli kriptografiċi u l-iċċifrar parti mill-miżuri minimi ta’ ġestjoni tar-riskju taċ-ċibersigurtà għall-entitajiet essenzjali u importanti. Artikolu 21 jeħtieġ miżuri tekniċi, operattivi u organizzattivi xierqa u proporzjonati, inklużi analiżi tar-riskju, immaniġġjar tal-inċidenti, kontinwità, sigurtà tal-katina tal-provvista, żvilupp sigur, iġjene ċibernetika, kontroll tal-aċċess, ġestjoni tal-assi, u politiki dwar il-kontrolli kriptografiċi u l-iċċifrar. Jeħtieġ ukoll li l-korpi maniġerjali japprovaw u jissorveljaw il-miżuri ta’ ġestjoni tar-riskju taċ-ċibersigurtà.

Għall-fornituri tas-SaaS, tal-cloud, ta’ servizzi ġestiti u taċ-ċibersigurtà, l-applikabbiltà tista’ tkun usa’ milli ħafna timijiet jassumu. NIS2 tkopri setturi bħall-infrastruttura diġitali, il-fornituri ta’ servizzi tal-cloud computing, il-fornituri taċ-ċentri tad-data, il-fornituri DNS, il-fornituri ta’ servizzi ta’ fiduċja, il-fornituri ta’ servizzi ġestiti, il-fornituri ta’ servizzi tas-sigurtà ġestiti, is-swieq online, il-magni tat-tiftix u l-pjattaformi tan-netwerking soċjali meta jintlaħqu l-limiti tad-daqs jew tal-kritiċità.

DORA tgħolli l-livell għall-entitajiet finanzjarji. Mis-17 ta’ Jannar 2025, DORA teħtieġ qafas dokumentat ta’ ġestjoni tar-riskju tal-ICT, responsabbiltà tal-bord, kontinwità tan-negozju tal-ICT u pjanijiet ta’ rispons u rkupru, ittestjar tar-reżiljenza operattiva diġitali, ġestjoni tar-riskju ta’ partijiet terzi tal-ICT u rappurtar tal-inċidenti. Għall-entitajiet finanzjarji identifikati taħt ir-regoli nazzjonali ta’ NIS2, DORA topera bħala l-att legali tal-Unjoni speċifiku għas-settur għall-obbligi ekwivalenti ta’ NIS2. Fintech m’għandhiex tmexxi governanza kriptografika separata għal NIS2, DORA u ISO. Teħtieġ mudell ta’ kontroll wieħed li jista’ jiġi difiż.

GDPR iżid id-dimensjoni tal-evidenza tal-privatezza. GDPR Artikolu 32 huwa fejn l-iċċifrar jiġi evalwat komunement bħala salvagwardja tas-sigurtà tal-ipproċessar, iżda “id-data hija ċċifrata” mhijiex tweġiba kompluta. Ir-regolaturi u l-awdituri jistaqsu min jikkontrolla ċ-ċwievet, kif l-aċċess huwa ristrett, kif jiġi skopert il-kompromess, kif jaħdem l-irkupru, u jekk id-disinn jaqbilx mar-riskju għall-individwi.

ISO/IEC 27001:2022 tagħti lill-organizzazzjonijiet is-sistema ta’ ġestjoni biex jorbtu dawn l-obbligi flimkien. Il-klawżoli 4.1 sa 4.4 jeħtieġu kuntest, rekwiżiti tal-partijiet interessati, kamp ta’ applikazzjoni tal-ISMS u proċessi li jinteraġixxu. Il-klawżoli 5.1 sa 5.3 jeħtieġu tmexxija, politika, riżorsi u responsabbiltajiet assenjati. Il-klawżoli 6.1.1 sa 6.1.3 jeħtieġu valutazzjoni tar-riskju, trattament tar-riskju, għażla ta’ kontrolli, Dikjarazzjoni ta’ Applikabbiltà u approvazzjoni mis-sid tar-riskju. Il-klawżoli 8.1 sa 8.3 jeħtieġu operat ikkontrollat, rivalutazzjoni tar-riskju meta jseħħu bidliet, implimentazzjoni tal-pjanijiet ta’ trattament u żamma ta’ riżultati dokumentati.

Għall-ġestjoni taċ-ċwievet kriptografiċi, l-ISMS għandu jwieġeb ħames mistoqsijiet:

1. Liema assi tal-informazzjoni, flussi tad-data u servizzi jeħtieġu protezzjoni kriptografika?
2. Liema ċwievet, ċertifikati, sigrieti u servizzi kriptografiċi jipproteġuhom?
3. Min għandu, jamministra, japprova u jimmonitorja dawk l-assi kriptografiċi?
4. Kif jiġu kkontrollati l-ġenerazzjoni, il-ħażna, l-użu, ir-rotazzjoni, l-escrow, l-irkupru, ir-revoka u l-qerda?
5. Liema evidenza turi li l-kontrolli ħadmu kif iddisinjati?

Is-sinsla tal-kontrolli ISO 27001 għall-ġestjoni taċ-ċwievet kriptografiċi

Clarysec tittratta l-ġestjoni taċ-ċwievet kriptografiċi bħala katina ta’ kontrolli, mhux bħala kontroll wieħed. F’Zenith Controls: Il-Gwida għall-Konformità Transversali Zenith Controls, is-suġġett jiġi mmappjat primarjament mal-kontroll 8.24 ta’ ISO/IEC 27002:2022, Użu ta’ kontrolli kriptografiċi, b’relazzjonijiet ta’ appoġġ importanti ma’ 5.17, Informazzjoni ta’ awtentikazzjoni, u 5.23, Sigurtà tal-informazzjoni għall-użu ta’ servizzi cloud.

Dik ir-relazzjoni hija importanti. Falliment fil-ġestjoni taċ-ċwievet rarament ikun biss “iċċifrar ħażin.” Spiss ikun problema ta’ awtentikazzjoni, problema ta’ governanza tal-cloud, problema ta’ fornitur, lakuna fl-illoggjar jew falliment fil-ġestjoni tat-tibdil.

Il-Zenith Blueprint: Pjan direzzjonali ta’ 30 pass għall-awditur Zenith Blueprint jagħmel dan operattiv fil-fażi tal-Ġestjoni tar-Riskju, Pass 14, Politiki ta’ Trattament tar-Riskju u Referenzi Regolatorji Transversali. Il-kampjun tal-politika kriptografika tiegħu jgħid li l-organizzazzjoni għandha tiddefinixxi fejn huma meħtieġa l-kontrolli kriptografiċi, tapprova algoritmi u protokolli, tiddefinixxi l-ġestjoni taċ-ċwievet, tkopri każijiet ta’ użu bħal iċċifrar sħiħ tad-diska u komunikazzjonijiet siguri, u torbot il-politika ma’ GDPR Artikolu 32.

“Iċ-ċwievet tal-iċċifrar għandhom jinħażnu b’mod sigur (eż. f’key vault/HSM) u l-aċċess għandu jkun limitat għall-persunal awtorizzat.”
Attribuzzjoni: Zenith Blueprint, fażi tal-Ġestjoni tar-Riskju, Pass 14, Politiki ta’ Trattament tar-Riskju u Referenzi Regolatorji Transversali Zenith Blueprint

Fil-fażi tal-Kontrolli fl-Azzjoni, Pass 20, il-Zenith Blueprint jidħol aktar fil-fond. Il-kontrolli kriptografiċi mhumiex dwar “li tixgħel l-iċċifrar.” Huma dwar li tinkorpora l-kontrolli kriptografiċi fid-disinn, fil-politika u fil-ġestjoni taċ-ċiklu tal-ħajja. Dan jinkludi data maħżuna, data fi tranżitu, awtentikazzjoni tal-identitajiet u tat-tranżazzjonijiet, algoritmi approvati, key vaults, HSMs, rotazzjoni skedata, revoka u verifika permezz ta’ testijiet ta’ penetrazzjoni u reviżjoni tal-kodiċi.

X’jistennew l-awdituri meta jitolbu evidenza dwar iċ-ċwievet

Il-biċċa l-kbira tas-sejbiet tal-awditjar jibdew b’talba sempliċi: “Urini l-politika tal-iċċifrar u r-reġistri tal-ġestjoni taċ-ċwievet.”

Tweġibiet dgħajfa jinkludu:

• “Il-fornitur tal-cloud jiċċifra kollox b’mod predefinit.”
• “Nużaw TLS.”
• “Is-sigrieti jinsabu fil-vault.”
• “It-tim tal-inġinerija jieħu ħsieb ir-rotazzjoni.”
• “Iċ-ċavetta hija ġestita mill-applikazzjoni.”

Dawn id-dikjarazzjonijiet jistgħu jkunu teknikament veri, iżda mhumiex evidenza kompluta. Awditur ISO se jgħaqqad il-ġestjoni taċ-ċwievet lura mal-valutazzjoni tar-riskju, id-Dikjarazzjoni ta’ Applikabbiltà, ir-rekwiżiti tal-politika, il-kontroll operattiv u d-dokumentazzjoni miżmuma. Valutatur ta’ NIST CSF jistaqsi jekk l-assi kriptografiċi humiex identifikati, protetti, immonitorjati u rkuprati. Awditur ta’ DORA ifittex governanza tar-riskju tal-ICT approvata mill-bord, dipendenzi fuq partijiet terzi, ġestjoni tal-inċidenti u ttestjar tar-reżiljenza. Rieżaminatur tal-GDPR jistaqsi jekk l-iċċifrar u s-separazzjoni taċ-ċwievet inaqqsux ir-riskju għall-individwi u jekk il-kontrollur jistax juri responsabbiltà.

Il-Politika tal-Kontrolli Kriptografiċi Cryptographic Controls Policy tal-intrapriża ta’ Clarysec tindirizza direttament il-lakuna fl-evidenza:

“Għandu jinżamm Reġistru tal-Ġestjoni taċ-Ċwievet ċentralizzat biex jirreġistra ċ-ċwievet kriptografiċi kollha, l-istatus taċ-ċiklu tal-ħajja tagħhom, il-kustodji assenjati u l-kuntesti tal-użu.”
Attribuzzjoni: Politika tal-Intrapriża, Politika tal-Kontrolli Kriptografiċi, Rekwiżiti ta’ Governanza, klawżola 5.2 Cryptographic Controls Policy

Dik is-sentenza tbiddel il-konverżazzjoni tal-awditjar. Minflok tfittex għarfien informali mifrux, l-organizzazzjoni tista’ turi reġistru li jorbot iċ-ċwievet mal-assi, is-sidien, il-klassifikazzjonijiet tad-data, is-sistemi, il-kontijiet cloud, id-dati tar-rotazzjoni, il-kuntesti tal-użu u l-evidenza.

Għall-SMEs, il-Cryptographic Controls Policy-sme Cryptographic Controls Policy-sme - SME ta’ Clarysec tiskala l-istess aspettattiva:

“Il-Fornitur ta’ Appoġġ tal-IT għandu jżomm inventarju aġġornat tal-għodod kriptografiċi u ċ-ċertifikati li qed jintużaw”
Attribuzzjoni: Politika SME, Cryptographic Controls Policy-sme, Rekwiżiti ta’ Governanza, klawżola 5.1.2 Cryptographic Controls Policy-sme - SME

Istituzzjoni finanzjarja rregolata tista’ teħtieġ ċerimonji tal-HSM, għarfien maqsum, kontroll doppju, ħatriet formali ta’ kustodji u rieżamijiet trimestrali tal-aċċess. Fornitur SaaS żgħir jista’ jibda b’inventarju miżmum, algoritmi approvati, sjieda dokumentata tal-KMS u evidenza tar-rotazzjoni. It-tnejn jeħtieġu governanza proporzjonata mar-riskju.

Iċ-ċiklu tal-ħajja taċ-ċwievet li għandu jikkontrolla l-ISMS tiegħek

Programm prattiku ta’ ġestjoni taċ-ċwievet isegwi ċ-ċiklu tal-ħajja. Kull stadju jeħtieġ sid, metodu approvat, kontroll tekniku, reġistru tat-tibdil u evidenza tal-awditjar.

Il-Politika tal-Kontrolli Kriptografiċi tal-intrapriża ssaħħaħ il-ġenerazzjoni sigura:

“Ġenerazzjoni taċ-ċwievet: Issir bl-użu ta’ hardware jew moduli software siguri (eż., HSMs, sistemi validati skont FIPS 140-2).”
Attribuzzjoni: Politika tal-Intrapriża, Politika tal-Kontrolli Kriptografiċi, Rekwiżiti għall-Implimentazzjoni tal-Politika, klawżola 6.3.1 Cryptographic Controls Policy

Tispeċifika wkoll ir-rotazzjoni:

“Rotazzjoni taċ-ċwievet: Meħtieġa f’intervalli definiti jew immedjatament wara kompromess jew bidla fir-rwol.”
Attribuzzjoni: Politika tal-Intrapriża, Politika tal-Kontrolli Kriptografiċi, Rekwiżiti għall-Implimentazzjoni tal-Politika, klawżola 6.3.4 Cryptographic Controls Policy

Għall-SMEs, l-istess prinċipju jidher f’lingwaġġ operattiv aktar sempliċi:

“Ir-rotazzjoni taċ-ċwievet għandha ssir skont l-iskedi tal-iskadenza jew meta jkun hemm suspett ta’ kompromess”
Attribuzzjoni: Politika SME, Cryptographic Controls Policy-sme, Rekwiżiti għall-Implimentazzjoni tal-Politika, klawżola 6.3.4 Cryptographic Controls Policy-sme - SME

Dawn il-klawżoli huma importanti għal NIS2 u DORA għaliex ċwievet skaduti jew irregolati ħażin mhumiex biss dgħufijiet fil-kunfidenzjalità. Jistgħu jsiru ostakli għar-rispons għall-inċidenti, kwistjonijiet ta’ dipendenza fuq il-fornituri, fallimenti fl-irkupru minn diżastru u problemi ta’ notifika lill-klijenti.

Cloud KMS, HSM u BYOK: in-nassa tar-responsabbiltà kondiviża

L-iċċifrar fil-cloud huwa wieħed mill-aktar sorsi komuni ta’ assigurazzjoni falza. Fornitur tal-cloud jista’ jiċċifra l-ħażna b’mod predefinit, iżda dan ma jfissirx awtomatikament li l-organizzazzjoni tiegħek iggvernat iċ-ċavetta.

Il-Zenith Blueprint, fil-fażi tal-Kontrolli fl-Azzjoni, Pass 23, jispjega l-kontroll 5.23 ta’ ISO/IEC 27002:2022 billi jiffoka fuq il-governanza tal-cloud, il-viżibbiltà u r-responsabbiltà kondiviża. Jenfasizza li l-fornitur jista’ jiżgura l-infrastruttura, iżda l-klijent jibqa’ responsabbli għad-data, il-konfigurazzjonijiet, il-politiki tal-aċċess u t-tħejjija għar-rispons għall-inċidenti.

“Il-fornituri cloud jiżguraw l-infrastruttura, iżda int tibqa’ responsabbli għad-data tiegħek, il-konfigurazzjonijiet tiegħek, il-politiki tal-aċċess tiegħek u t-tħejjija tiegħek għar-rispons għall-inċidenti.”
Attribuzzjoni: Zenith Blueprint, fażi tal-Kontrolli fl-Azzjoni, Pass 23, Kontrolli organizzattivi 5.19-5.37 Zenith Blueprint

Hawnhekk ir-responsabbiltà għaċ-ċwievet fil-cloud issir riskju fil-livell tal-bord. Kumpanija SaaS tista’ tuża iċċifrar ġestit mill-fornitur għal logs b’riskju baxx, ċwievet ġestiti mill-klijent għal databases tal-klijenti, BYOK għal tenants irregolati u ċwievet root appoġġati minn HSM għall-iffirmar jew it-tokenization. Kull għażla għandha implikazzjonijiet ta’ konformità.

Il-Politika dwar l-Użu tal-Cloud Cloud Usage Policy tal-intrapriża ta’ Clarysec tipprovdi direzzjoni ta’ kontroll ċara:

“Customer-managed keys (CMKs) jew Bring Your Own Key (BYOK) għandhom jintużaw fejn ikunu appoġġati mill-fornitur cloud.”
Attribuzzjoni: Politika tal-Intrapriża, Politika dwar l-Użu tal-Cloud, Rekwiżiti għall-Implimentazzjoni tal-Politika, klawżola 6.4.2 Cloud Usage Policy

Dan ma jfissirx li kull servizz cloud għandu juża BYOK. Ifisser li l-organizzazzjoni għandha tiddeċiedi b’mod deliberat, abbażi tar-riskju, l-impenji mal-klijenti, ir-rekwiżiti kuntrattwali u l-irkuprabbiltà.

DORA Artikolu 28 u Artikolu 30 jagħmlu dan partikolarment rilevanti għall-entitajiet finanzjarji. Jeħtieġu ġestjoni tar-riskju ta’ partijiet terzi tal-ICT, reġistri ta’ arranġamenti kuntrattwali tal-ICT, diliġenza dovuta, drittijiet ta’ awditjar u spezzjoni, assistenza għall-inċidenti, protezzjoni u aċċess għad-data, dispożizzjonijiet dwar irkupru u ritorn. Jekk fornitur tal-cloud jew fornitur SaaS jimmaniġġja ċwievet tal-iċċifrar għal funzjoni kritika jew importanti, dik ir-relazzjoni trid tkun viżibbli fir-reġistru tal-partijiet terzi tal-ICT u fil-kontrolli kuntrattwali.

NIS2 teħtieġ ukoll sigurtà tal-katina tal-provvista, inklużi vulnerabbiltajiet speċifiċi għall-fornituri, prattiki taċ-ċibersigurtà u proċeduri ta’ żvilupp sigur. Jekk fornitur kritiku jżomm iċ-ċwievet tiegħek, iħaddem il-KMS tiegħek, jipprovdi l-HSM tiegħek, jimmaniġġja ċ-ċiklu tal-ħajja taċ-ċertifikati tiegħek jew jospita backups iċċifrati, il-fornitur huwa parti mill-ambjent tal-kontroll kriptografiku tiegħek.

Approvazzjoni tal-algoritmi u crypto-agility fl-2026

Politika ta’ ġestjoni taċ-ċwievet tal-2026 m’għandhiex telenka biss “AES-256” u “TLS 1.2 jew aktar tard.” Għandha tistabbilixxi proċess ta’ approvazzjoni u rieżami li jappoġġa l-crypto-agility. Crypto-agility tfisser li l-organizzazzjoni tista’ tidentifika fejn jintużaw algoritmi, protokolli, ċertifikati u tulijiet taċ-ċwievet, tevalwa l-espożizzjoni għal dgħufija jew deprekazzjoni, u temigra mingħajr paniku.

Il-politika SME ta’ Clarysec tgħid:

“Jistgħu jintużaw biss algoritmi u protokolli tal-aħjar prattiki tal-industrija approvati mill-Fornitur ta’ Appoġġ tal-IT (eż., AES-256, RSA 2048, TLS 1.2 jew aktar tard)”
Attribuzzjoni: Politika SME, Cryptographic Controls Policy-sme, Rekwiżiti għall-Implimentazzjoni tal-Politika, klawżola 6.2.1 Cryptographic Controls Policy-sme - SME

Teħtieġ ukoll dokumentazzjoni:

“Il-metodi kollha tal-iċċifrar (eż., AES-256, TLS 1.2+) u l-proċessi tal-ġestjoni taċ-ċwievet għandhom jiġu dokumentati”
Attribuzzjoni: Politika SME, Cryptographic Controls Policy-sme, Rekwiżiti ta’ Governanza, klawżola 5.3.1 Cryptographic Controls Policy-sme - SME

Il-verżjoni lesta għall-awditjar hija standard kriptografiku approvat b’dan li ġej:

• Algoritmi u protokolli permessi għal data maħżuna, data fi tranżitu, firem, hashing tal-passwords, tokenization u backups.
• Algoritmi, protokolli u libreriji mhux permessi.
• Tulijiet minimi taċ-ċwievet u perjodi ta’ validità taċ-ċertifikati.
• KMS, HSM, awtorità taċ-ċertifikati u pjattaformi ta’ ġestjoni tas-sigrieti approvati.
• Rekwiżiti għall-ġenerazzjoni sigura ta’ numri każwali.
• Gwida għall-iżviluppaturi dwar libreriji kriptografiċi.
• Proċess ta’ eċċezzjoni għal sistemi legati.
• Skattaturi tar-rieżami għal vulnerabbiltajiet, bidliet regolatorji, bidliet fil-fornituri u ppjanar tat-tranżizzjoni wara l-quantum.

L-ippjanar wara l-quantum ma jeħtieġx li kull organizzazzjoni tissostitwixxi l-kontrolli kriptografiċi kollha minnufih. Jeħtieġ inventarju. Mingħajr inventarju kriptografiku, ma tistax tkun taf liema sistemi jużaw iċċifrar b’ċavetta pubblika ta’ ħajja twila, liema ċertifikati jipproteġu servizzi kritiċi, fejn jgħixu ċ-ċwievet tal-iffirmar jew liema fornituri jridu jappoġġaw il-migrazzjoni. Ir-Reġistru tal-Ġestjoni taċ-Ċwievet mhuwiex burokrazija. Huwa l-pedament tal-crypto-agility.

Sprint ta’ 90 minuta għall-evidenza tal-ġestjoni taċ-ċwievet

Clarysec spiss tuża sprint qasir ta’ evidenza mat-tmexxija, is-sigurtà, il-cloud u t-timijiet tal-konformità. L-għan huwa li l-għarfien imxerred dwar iċ-ċwievet jinbidel malajr f’evidenza tal-awditjar.

Pass 1: Agħżel servizz kritiku wieħed

Agħżel sistema li hija importanti għal NIS2, DORA jew GDPR. Eżempji jinkludu identità tal-klijenti, ipproċessar tal-pagamenti, monitoraġġ tat-tranżazzjonijiet, database tal-produzzjoni tal-klijenti, pjattaforma ta’ backup iċċifrat jew API aċċessibbli għall-klijenti.

Pass 2: Iftaħ ir-Reġistru tal-Ġestjoni taċ-Ċwievet

Uża r-rekwiżit tal-Politika tal-Kontrolli Kriptografiċi għal reġistru ċentralizzat bħala l-istruttura. Jekk għad m’għandekx wieħed, oħloq reġistru sempliċi b’dawn l-oqsma:

Pass 3: Traċċa l-aċċess u l-kontroll doppju

Għal operazzjonijiet kriptografiċi b’impatt għoli, applika kontroll doppju u l-inqas privileġġ. Il-Politika tal-Kontrolli Kriptografiċi tal-intrapriża tgħid:

“Il-prinċipji ta’ kontroll doppju u Inqas privileġġ għandhom jiġu applikati għal operazzjonijiet kriptografiċi sensittivi (eż., importazzjonijiet ta’ ċwievet root, amministrazzjoni tal-HSM).”
Attribuzzjoni: Politika tal-Intrapriża, Politika tal-Kontrolli Kriptografiċi, Rekwiżiti għall-Implimentazzjoni tal-Politika, klawżola 6.6.2 Cryptographic Controls Policy

Staqsi:

• Min jista’ jiddiżattiva jew iħassar iċ-ċavetta?
• Min jista’ jibdel il-politika taċ-ċavetta?
• Min jista’ jiddeċifra d-data direttament?
• Ir-rwoli break-glass huma mmonitorjati u limitati fiż-żmien?
• L-MFA hija infurzata għal operazzjonijiet privileġġjati fuq iċ-ċwievet?
• L-azzjonijiet privileġġjati jiġu lloggjati u rieżaminati?

Pass 4: Iġbed ħames reġistri ta’ evidenza

Iġbor ħames reġistri li jippruvaw li l-kontroll jaħdem:

1. Log tal-ħolqien jew l-importazzjoni taċ-ċavetta.
2. Politika attwali tal-aċċess għall-KMS jew HSM.
3. L-aħħar ticket tat-tibdil għar-rotazzjoni taċ-ċavetta.
4. Query tas-SIEM li turi l-użu taċ-ċavetta jew azzjonijiet amministrattivi.
5. Evidenza ta’ test ta’ rkupru jew restawr.

Pass 5: Immappja mar-riskju u mar-regolament

Żid dikjarazzjoni qasira tar-riskju: “Użu mhux awtorizzat jew telf ta’ din iċ-ċavetta jista’ jesponi data personali tal-UE, ifixkel is-servizz tal-klijenti u jdgħajjef l-irkupru ta’ sistemi kritiċi.” Imbagħad immappjaha mal-obbligi rilevanti.

F’90 minuta, it-tim normalment jista’ jidentifika jekk il-governanza taċ-ċwievet hijiex reali jew assunta.

Rappurtar tal-inċidenti: meta kompromess taċ-ċavetta jibda l-arloġġ

Kompromess suspettat taċ-ċavetta mhuwiex awtomatikament ksur li għandu jiġi rrappurtat, iżda jista’ jibda l-arloġġ regolatorju.

Taħt NIS2, entitajiet essenzjali u importanti għandhom jinnotifikaw inċidenti sinifikanti li jaffettwaw il-provvista tas-servizz mingħajr dewmien żejjed. Il-mudell fi stadji jinkludi twissija bikrija fi żmien 24 siegħa minn meta jsiru konxji, notifika tal-inċident fi żmien 72 siegħa, aġġornamenti tal-istatus meta jintalbu, u rapport finali mhux aktar tard minn xahar wara n-notifika tal-inċident.

Taħt DORA, l-entitajiet finanzjarji għandhom jiskopru, jimmaniġġjaw u jinnotifikaw inċidenti relatati mal-ICT, jirreġistraw inċidenti u theddid ċibernetiku sinifikanti, jikklassifikaw l-inċidenti skont is-severità u l-kritiċità tas-servizz affettwat, jikkomunikaw mal-partijiet interessati, jirrappurtaw inċidenti maġġuri lill-maniġment għoli u lill-awtoritajiet kompetenti, iwettqu analiżi tal-kawża ewlenija u jirrimedjaw. L-esternalizzazzjoni tar-rappurtar tista’ tkun possibbli, iżda r-responsabbiltà tibqa’ tal-entità finanzjarja.

Taħt GDPR, il-mistoqsija ssir jekk seħħx ksur ta’ data personali, jiġifieri qerda, telf, alterazzjoni, żvelar mhux awtorizzat ta’ data personali, jew aċċess mhux awtorizzat għaliha, b’mod aċċidentali jew illegali. Iċċifrar b’saħħtu biċ-ċwievet mhux kompromessi jista’ jibdel b’mod materjali l-analiżi tar-riskju ta’ ksur. Ġestjoni dgħajfa taċ-ċwievet tista’ ddgħajjef dak l-argument.

Playbooks għall-kompromess taċ-ċwievet għandhom jiddefinixxu:

• Kif tiġi skoperta espożizzjoni suspettata taċ-ċwievet.
• Min jiddikjara inċident kriptografiku.
• Kif jiġu identifikati d-data, is-servizzi, il-klijenti u l-ġurisdizzjonijiet affettwati.
• Kif iċ-ċwievet jiġu revokati jew rotati.
• Kif is-sistemi dipendenti jiġu rrestawrati.
• Kif tinżamm l-integrità tal-evidenza.
• Kif jittieħdu d-deċiżjonijiet dwar notifika legali, regolatorja u lill-klijenti.

Ir-Reġistru tal-Ġestjoni taċ-Ċwievet isir essenzjali matul dan il-proċess. Mingħajru, dawk li jirrispondu jaħlu l-ħin jidentifikaw x’kienet tipproteġi ċavetta. Bih, jistgħu jiddeterminaw l-impatt malajr.

Il-lenti tal-awditjar: sett wieħed ta’ kontrolli, ħafna konsumaturi tal-evidenza

Awdituri differenti jersqu lejn il-ġestjoni taċ-ċwievet kriptografiċi minn sfondi differenti, iżda jikkonverġu fuq l-istess evidenza.

Pakkett b’saħħtu ta’ awditjar għall-ġestjoni taċ-ċwievet kriptografiċi ġeneralment jinkludi:

• Politika tal-Kontrolli Kriptografiċi approvata.
• Politika dwar l-Użu tal-Cloud approvata fejn l-iċċifrar fil-cloud huwa rilevanti.
• Standard kriptografiku u lista tal-algoritmi.
• Reġistru tal-Ġestjoni taċ-Ċwievet.
• Inventarju taċ-ċertifikati u tas-sigrieti.
• Arkitettura tal-KMS, HSM u vault.
• Evidenza tar-rieżami tal-IAM u tal-aċċess privileġġjat.
• Reġistri tar-rotazzjoni u tar-revoka.
• Evidenza ta’ backup, escrow u testijiet tal-irkupru.
• Regoli tal-illoggjar u l-monitoraġġ għall-attività taċ-ċwievet.
• Mapping tar-responsabbiltà kondiviża tal-fornituri u tal-cloud.
• Playbook tal-inċidenti għal kompromess suspettat taċ-ċwievet.
• Eċċezzjonijiet u aċċettazzjonijiet tar-riskju.
• Reġistri tar-rieżami tal-ġestjoni u tar-rimedju tal-awditjar.

Dan il-pakkett jibdel asserzjoni ta’ kontroll fi prova.

Sejbiet komuni fl-awditi tal-ġestjoni taċ-ċwievet

L-aktar sejbiet komuni jistgħu jiġu evitati:

1. M’hemmx inventarju wieħed taċ-ċwievet, iċ-ċertifikati u l-għodod kriptografiċi.
2. L-iċċifrar predefinit tal-fornitur tal-cloud jitqies bħala governanza sħiħa taċ-ċwievet.
3. Ma hemmx sid jew kustodju assenjat għaċ-ċwievet tal-produzzjoni.
4. Ir-rotazzjoni teżisti għaċ-ċertifikati, iżda mhux għaċ-ċwievet tal-applikazzjonijiet jew għas-CMKs tad-database.
5. Is-sigrieti u ċ-ċwievet huma mħallta fl-istess vault mingħajr klassifikazzjoni.
6. L-iżviluppaturi jistgħu joħolqu ċwievet barra mill-mudelli approvati.
7. Ma hemmx evidenza li l-amministraturi tal-KMS jiġu rieżaminati.
8. Il-proċeduri ta’ rkupru jeżistu iżda qatt ma ġew ittestjati.
9. Kompromess taċ-ċwievet mhuwiex inkluż fil-playbooks tar-rispons għall-inċidenti.
10. Algoritmi legati jibqgħu f’servizzi interni għaliex ħadd m’għandu s-sjieda tar-rimedju.
11. Impenji BYOK isiru f’kuntratti mal-klijenti iżda ma jiġux riflessi fl-operazzjonijiet.
12. Iċċifrar ġestit mill-fornitur mhuwiex inkluż fir-rieżamijiet tar-riskju tal-fornituri.

Kull sejba terġa’ lura għall-governanza. Għalhekk il-kontrolli kriptografiċi ma jistgħux jiġu trattati bħala proġett purament tal-inġinerija. Għandhom ikunu marbuta mal-kamp ta’ applikazzjoni tal-ISMS, it-trattament tar-riskju, il-politika, il-fornituri, il-cloud, l-aċċess, l-illoggjar, l-inċidenti u l-kontinwità.

Agħmel il-governanza taċ-ċwievet lesta għall-awditjar qabel l-inċident li jmiss

Jekk l-organizzazzjoni tiegħek qed tipprepara għal NIS2, DORA, evidenza taħt GDPR Artikolu 32, ċertifikazzjoni ISO/IEC 27001:2022 jew crypto-agility wara l-quantum, ibda b’mistoqsija waħda: tista’ tipproduċi Reġistru tal-Ġestjoni taċ-Ċwievet komplut illum?

Jekk le, Clarysec tista’ tgħinek tibni s-sistema ta’ kontroll madwaru.

Uża l-Zenith Blueprint Zenith Blueprint biex tistruttura x-xogħol permezz tal-fażi tal-Ġestjoni tar-Riskju Pass 14 u l-fażi tal-Kontrolli fl-Azzjoni Pass 20. Uża Zenith Controls Zenith Controls biex timmappja l-kontrolli 8.24, 5.17 u 5.23 ta’ ISO/IEC 27002:2022 ma’ NIS2, DORA, GDPR, NIST u l-aspettattivi tal-awditjar. Uża l-Politika tal-Kontrolli Kriptografiċi Cryptographic Controls Policy, Cryptographic Controls Policy-sme Cryptographic Controls Policy-sme - SME u Politika dwar l-Użu tal-Cloud Cloud Usage Policy ta’ Clarysec biex tibdel ir-rekwiżiti f’regoli operattivi.

Il-pass prattiku li jmiss huwa sempliċi: agħżel servizz kritiku wieħed, inventarizza ċ-ċwievet tiegħu, ipprova s-sjieda, ivverifika l-aċċess, iġbed evidenza tar-rotazzjoni u ttestja l-irkupru. Jekk dan jieħu aktar minn ġurnata, il-governanza kriptografika tiegħek teħtieġ attenzjoni qabel ir-regolatur, l-awditur jew it-tim tar-rispons għall-inċidenti jistaqsi l-istess mistoqsija taħt pressjoni.