¿Qué debe incluir un inventario criptográfico?

Para cada lugar donde la criptografía protege algo, anote qué se protege, cómo y quién puede cambiarlo. Campos prácticos: el sistema o servicio y su responsable; qué protege, con el tipo de datos y cuántos años deben seguir siendo secretos; el protocolo, como TLSTLS: Transport Layer Security. El cifrado que protege la mayor parte del tráfico de internet, como HTTPS., SSH, IPsec, S/MIME, firma de código o cifrado de discos y bases de datos; los algoritmos de intercambio de claves, firma y cifrado, con tamaños de clave; los certificados, su emisor y su caducidad; la versión de la biblioteca o del producto y si el proveedor tiene un plan poscuántico; y si el algoritmo puede cambiarse mediante configuración. Añada una prioridad derivada de la desigualdad de Mosca. Las fuentes varían según la capa: observación de la red para lo que pasa por el cable, gestión de certificados y escáneres para los certificados, análisis de composición de software y cuestionarios a proveedores para lo que hay dentro de las aplicaciones. Un inventario que solo lista certificados se olvida del intercambio de claves, y uno construido solo desde la red se olvida de los datos almacenados. Manténgalo al día, porque cada actualización puede cambiar la respuesta, y feche cada entrada: auditores y licitaciones preguntan cuándo se revisó por última vez.

Esta respuesta forma parte de la guía: Criptografía poscuántica: por dónde empezar

← Las 33 preguntas sobre Criptografía poscuánticaTodos los temas