Migliori pratiche per la gestione delle chiavi crittografiche nel ciclo di vita

Le organizzazioni che utilizzano la crittografia per proteggere le informazioni riservate possono scegliere tra soluzioni hardware e software, a seconda della natura dei dati da crittografare. Probabilmente, l’anello più debole della catena è costituito dalle chiavi crittografiche utilizzate per criptare e decriptare i dati. Ciò è dovuto alla potenza di elaborazione in costante aumento dei computer odierni e al tempo necessario per compromettere le chiavi attraverso una ricerca esaustiva. Pertanto, queste organizzazioni devono revocare, aggiornare e distribuire regolarmente le chiavi alle parti interessate per ridurre il rischio di minacce interne ed esterne.

Molti settori, tra cui quello bancario e governativo, hanno l’oneroso compito di tracciare e gestire un numero sempre crescente di chiavi per garantire che le chiavi giuste siano nel posto giusto al momento giusto. L’enorme quantità di chiavi necessarie per le operazioni quotidiane delle applicazioni che utilizzano la crittografia porterebbe a un esercito di amministratori se le chiavi sono gestite manualmente. Per questo motivo, i sistemi di gestione automatizzata delle chiavi sono ormai una necessità per queste organizzazioni, se vogliono tenere sotto controllo il carico di lavoro e ridurre i costi amministrativi.

I sistemi di gestione delle chiavi sono disponibili in diverse varianti: alcuni sono più adatti alle aziende, mentre altri sono più scalabili e progettati per un numero elevato di chiavi, come nel settore bancario. Esigenze diverse richiedono soluzioni diverse, ma ci sono alcune questioni generali che devono essere affrontate se si vuole che l’implementazione di questi sistemi abbia successo in termini di funzionalità, conformità, disponibilità e mantenimento dei costi al minimo. Di seguito è riportato un breve elenco di procedure di best practice:

De-centralizzare la crittografia e la decrittografia.

• Gestione centralizzata delle chiavi del ciclo di vita

Distribuzione e aggiornamento automatizzato delle chiavi

A prova di futuro: supporta diversi standard, ad esempio PCI DSS, Sarbanes-Oxley e FIPS 140-2.

Supporto per tutti i principali moduli di sicurezza hardware e software per evitare vincoli con i fornitori.

Attributi chiave flessibili per eliminare le pratiche burocratiche.

• Registri di audit completi e ricercabili con evidenza di manomissione

Processi trasparenti e semplificati

Basato su standard aperti per ridurre al minimo i tempi di sviluppo nell’integrazione di nuove applicazioni.

Con un sistema che combina questi elementi, la gestione delle chiavi può eliminare molti dei rischi associati all’errore umano e agli attacchi intenzionali ai dati riservati. Può anche consentire la flessibilità necessaria per garantire la sicurezza di applicazioni che altrimenti sarebbero state considerate troppo costose per la crittografia.

Indipendentemente dal settore o dalla soluzione scelta da un’organizzazione, l’elenco di cui sopra, come minimo, dovrebbe essere la pietra angolare di qualsiasi sistema di gestione delle chiavi, non solo per consentire un elevato livello di sicurezza, ma anche per migliorare i processi e fornire risparmi a breve e lungo termine.