Il significato di rotazione dipende dalla politica di sicurezza del proprietario dei dati.
Può essere utile capire come le chiavi sono spesso gestite utilizzando un grafico dello stato del ciclo di vita della chiave. Un tipico ciclo di vita della chiave si presenta così:
- Generato (nuovo, non ancora usato)
- Attivo (codifica / decrittografia)
- Inattivo (solo decrittografia)
- Ritirato (chiave irrevocabilmente distrutta)
Inoltre, gli stati possono essere definiti per le chiavi "sospette", "perse" e / o "compromesse".
Le regole sono definite su come e quando una chiave passerà da uno stato all'altro, quali transizioni sono legali e quando. Vedrai anche una regola che se una chiave è compromessa richiederà che tutti i dati vengano nuovamente crittografati con una nuova chiave (tra le altre attività di ripristino di emergenza).
In alcune organizzazioni una rotazione delle chiavi richiede che una chiave ruotata venga modificata in uno stato inattivo e una nuova versione della chiave dovrà essere generata per crittografare nuovi dati. Quando la nuova chiave è attiva, la vecchia chiave diventa inattiva. I vecchi dati rimangono crittografati con la stessa vecchia chiave fino a quando la chiave non viene ritirata, e quindi la vecchia chiave viene distrutta. In questo modo, i vecchi dati non devono essere decrittografati e quindi ri-crittografati con la nuova chiave. L'applicazione che utilizza i dati deve utilizzare la stessa versione della chiave utilizzata quando i dati sono stati crittografati.
Altre organizzazioni potrebbero non avere nessuno stato inattivo e una rotazione delle chiavi richiederà che la vecchia chiave venga ritirata e tutti i dati precedentemente crittografati vengano crittografati nuovamente.