Che cosa deve includere un inventario crittografico?

Per ogni punto in cui la crittografia protegge qualcosa, registri che cosa è protetto, come e chi può cambiarlo. Campi pratici: il sistema o servizio e il suo responsabile; che cosa protegge, con il tipo di dati e per quanti anni devono restare segreti; il protocollo, come TLSTLS: Transport Layer Security. La cifratura che protegge gran parte del traffico internet, come HTTPS., SSH, IPsec, S/MIME, firma del codice o cifratura di dischi e database; gli algoritmi di scambio di chiavi, firma e cifratura, con le lunghezze delle chiavi; i certificati, l'emittente e la scadenza; la versione della libreria o del prodotto e se il fornitore ha un piano post-quantistico; e se l'algoritmo si può cambiare con la configurazione. Aggiunga una priorità ricavata dalla disuguaglianza di Mosca. Le fonti cambiano a seconda del livello: osservazione della rete per ciò che passa sul cavo, gestione dei certificati e scanner per i certificati, analisi della composizione del software e questionari per i fornitori per ciò che sta dentro le applicazioni. Un inventario con soli certificati trascura lo scambio di chiavi, e uno costruito solo dalla rete trascura i dati archiviati. Lo mantenga aggiornato, perché ogni aggiornamento può cambiare la risposta, e dati ogni voce: revisori e gare chiedono quando è stato verificato l'ultima volta.

← Tutte le 33 domande su Crittografia post-quantisticaTutti i temi