Conformidade

Política de criptografia para Rask AI

Brask Inc
‍

Finalidade

Esta política define os requisitos organizacionais para o uso de controles criptográficos, bem como os requisitos para chaves criptográficas, a fim de proteger a confidencialidade, a integridade, a autenticidade e o não repúdio das informações.

Escopo

Esta política se aplica a todos os sistemas, equipamentos, instalações e informações dentro do escopo da

Rask Programa de segurança de informações da AI. Todos os funcionários, contratados, trabalhadores temporários e de meio período, prestadores de serviços e aqueles contratados por terceiros para realizar trabalhos em nome da organização que tenham relação com sistemas criptográficos, algoritmos ou material de chaveamento estão sujeitos a esta política e devem cumpri-la.

Histórico

Esta política define os objetivos de alto nível e as instruções de implementação para o uso de algoritmos e chaves criptográficas pela Rask AI. É fundamental que a organização adote uma abordagem padrão para os controles criptográficos em todos os centros de trabalho, a fim de garantir a segurança de ponta a ponta e, ao mesmo tempo, promover a interoperabilidade. Este documento define os algoritmos específicos aprovados para uso, os requisitos para gerenciamento e proteção de chaves e os requisitos para o uso de criptografia em ambientes de nuvem.

Funções e responsabilidades

O Departamento de Infraestrutura da Brask ML mantém e atualiza esta política. O CEO e o departamento jurídico aprovam esta política e quaisquer alterações.
‍

Política

Controles de criptografia

Rask O AI protege sistemas e informações individuais usando controles criptográficos, conforme descrito abaixo:

Legislação aplicável

A criptografia aprovada pela organização deve estar em conformidade com as leis locais e internacionais relevantes, incluindo restrições de importação/exportação. A criptografia usada pelo Rask AI atende aos padrões internacionais e aos requisitos dos EUA, permitindo o uso internacional.

Gerenciamento de chaves

As chaves devem ser gerenciadas por seus proprietários e protegidas contra perda, alteração ou destruição. O controle de acesso adequado e os backups regulares são obrigatórios.

Serviço de gerenciamento de chaves

Todo o gerenciamento de chaves deve ser realizado por meio de um software que gerencie automaticamente a geração de chaves, o controle de acesso, o armazenamento seguro, o backup e a rotação de chaves. Especificamente:

• O serviço de gerenciamento de chaves deve fornecer acesso às chaves a usuários especificamente designados, com a capacidade de criptografar/descriptografar informações e gerar chaves de criptografia de dados.
• O serviço de gerenciamento de chaves deve fornecer acesso de administração de chaves a usuários especificamente designados, com a capacidade de criar, programar, excluir, ativar/desativar a rotação e definir políticas de uso para chaves.
• O serviço de gerenciamento de chaves deve armazenar e fazer backup das chaves durante toda a sua vida útil operacional.
• O serviço de gerenciamento de chaves deve fazer o rodízio das chaves pelo menos uma vez a cada 12 meses.

Chave secreta

As chaves secretas (simétricas) devem ser distribuídas com segurança e protegidas em repouso com medidas de segurança rigorosas.

Chave pública

A criptografia de chave pública usa pares de chaves públicas e privadas. A chave pública é incluída em um certificado digital emitido por uma autoridade de certificação, enquanto a chave privada permanece com o usuário final.

Outra chave pública

• Se as chaves forem geradas no software, os usuários deverão criar pelo menos um backup seguro.
• Os usuários devem criar uma cópia de custódia das chaves privadas para criptografia e entregá-la ao representante da Equipe de Infraestrutura.
• A Equipe de Infraestrutura não deposita chaves privadas para certificados de identidade.
• Todos os backups devem ser protegidos com uma senha ou frase secreta.