IM_CR.23

De sleutelbeheerlevenscyclus MOET worden gedocumenteerd en dient de volgende onderwerpen te omvatten:

• Rollen en verantwoordelijkheden en belangrijke beheerprotocollen, zoals belangrijke cryptografische (PKI) ceremonies, met inbegrip van de eerbiediging van de need-to-know autorisatie en beveiligde sleutelopslag (bijv. verzegelde enveloppen)

• Het beheer van de volledige levenscyclus van cryptografische sleutels, met inbegrip van de gebruiksperioden van de initiator en de ontvanger

• Het genereren van adequate sleutels (type, lengte, willekeurige generatie, ...) voor de toepassingen waarvoor cryptografische besturingselementen nodig zijn

• Het genereren en verkrijgen van certificaten van de publieke sleutel

• Het distribueren van sleutels naar de beoogde gebruikers, inclusief hoe sleutels moeten worden geactiveerd wanneer ze worden ontvangen

• Het opslaan van sleutels, waaronder hoe geautoriseerde gebruikers toegang krijgen tot sleutels

• Het wijzigen of bijwerken van sleutels, inclusief regels over wanneer sleutels moeten worden gewijzigd en hoe dit zal gebeuren

• Omgaan met gecompromitteerde sleutels

• Sleutels intrekken, inclusief verlopen, ingetrokken of gedeactiveerde sleutels (bijvoorbeeld wanneer sleutels zijn aangetast of wanneer sleutels het einde van hun levensduur bereiken)

• Het herstellen van sleutels die verloren of beschadigd tijdens calamiteiten dient opgevangen te zijn in het beheer van de bedrijfscontinuïteit (bijvoorbeeld voor het herstel van versleutelde informatie)

• Het vernietigen van sleutels

• Logging en auditing van belangrijke beheer gerelateerde activiteiten

• De pensionering of vervanging van oude of vermoedelijke gecompromitteerde sleutels

• Het valideren van de integriteit van sleutels

• Het opslaan van sleutels in een zo klein als mogelijk aantal plaatsen en formulieren

Sleutelbeheer: Sleutelbeheerlevenscyclus

1 2 3 4 5

BESCHIKBAARHEID INTEGRITEIT VERTROUWELIJKHEID

PREVENTIEF

BESCHERMEN