Le procedure per la chiave crittografica PCI 3.6.6 includono la conoscenza divisa

0

La mia domanda è, se gestisci la tua azienda e non ci sono dipendenti e ti qualifichi ancora nella valutazione D che cosa fai in un caso come questo in cui sono richieste 2 o più persone? In una domanda correlata, ad un certo punto almeno un codice di programmazione di una persona sarebbe in grado di ottenere o visualizzare tutta la chiave anche se era divisa tra persone diverse perché il codice richiederebbe la chiave completa per decrittografare i dati, se hanno accesso a il codice che hanno accesso alla chiave, quindi come deve essere gestito?

3.6.6 Le procedure chiave crittografica includono la conoscenza divisa e il doppio controllo delle chiavi crittografiche (ad esempio, che richiedono due o tre persone, ognuna delle quali conosce solo il proprio componente chiave, per ricostruire l'intera chiave), per le operazioni manuali di gestione delle chiavi in chiaro? Nota: esempi di operazioni manuali di gestione delle chiavi includono, ma non sono limitati a: generazione, trasmissione, caricamento, archiviazione e distruzione delle chiavi.

    
posta Danny 25.04.2013 - 21:50
fonte

1 risposta

2

Ad un certo punto dovrai fidarti di qualche codice, da qualche parte. Questo è il motivo per cui le procedure di revisione riguardano la revisione del codice sorgente e i controlli di background sugli sviluppatori.

Per il modo pratico di dividere e ricomporre un segreto, un modo ragionevolmente strong è quello di rendere il rimontaggio solo su una macchina "sicura", sotto esame visivo dei detentori di parti segrete. Una macchina "sicura" può essere un laptop che:

  1. È conservato in una cassastrong o in un armadietto chiuso abbastanza robusto quando non è in uso.
  2. Viene avviato da un CD-ROM o da una chiave USB protetta da scrittura quando deve essere utilizzato.

Questo tipo di cose può essere ampliato arbitrariamente, a seconda della quantità di sicurezza o paranoia che devi affrontare (ad esempio, mettere la macchina in un bunker con guardie armate, assumere auditor esterni ogni volta che ti avvicini alla macchina; Moduli di sicurezza hardware per eseguire il codice che utilizza il segreto ricostruito ...).

    
risposta data 25.04.2013 - 22:28
fonte

Leggi altre domande sui tag