Conformidade

Política de criptografia para Rask AI

Brask Inc
‍

Finalidade

Esta política define os requisitos organizacionais para o uso de controles criptográficos, bem como os requisitos para chaves criptográficas, a fim de proteger a confidencialidade, a integridade, a autenticidade e o não repúdio das informações.

Escopo

Esta política se aplica a todos os sistemas, equipamentos, instalações e informações dentro do escopo da

Rask AI programa de segurança da informação. Todos os funcionários, prestadores de serviços, trabalhadores em regime de meio período e temporários, bem como aqueles contratados por terceiros para realizar trabalhos em nome da organização relacionados a sistemas criptográficos, algoritmos ou material de chave estão sujeitos a esta política e devem cumpri-la.

Histórico

Esta política define os objetivos gerais e as instruções de implementação para o uso d Rask AI e de algoritmos e chaves criptográficas. É fundamental que a organização adote uma abordagem padronizada para os controles criptográficos em todos os centros de trabalho, a fim de garantir a segurança de ponta a ponta, ao mesmo tempo em que promove a interoperabilidade. Este documento define os algoritmos específicos aprovados para uso, os requisitos para o gerenciamento e a proteção de chaves, bem como os requisitos para o uso de criptografia em ambientes de nuvem.

Funções e responsabilidades

O Departamento de Infraestrutura da Brask ML mantém e atualiza esta política. O CEO e o departamento jurídico aprovam esta política e quaisquer alterações.
‍

Política

Controles de criptografia

Rask AI protege sistemas e informações individuais por meio de controles criptográficos, conforme descrito a seguir:

Legislação aplicável

A criptografia aprovada pela organização deve estar em conformidade com as leis locais e internacionais pertinentes, incluindo restrições de importação e exportação. A criptografia utilizada pelo Rask AI atende às normas internacionais e aos requisitos dos EUA, permitindo seu uso internacional.

Gerenciamento de chaves

As chaves devem ser gerenciadas por seus proprietários e protegidas contra perda, alteração ou destruição. O controle de acesso adequado e os backups regulares são obrigatórios.

Serviço de gerenciamento de chaves

Todo o gerenciamento de chaves deve ser realizado por meio de um software que gerencie automaticamente a geração de chaves, o controle de acesso, o armazenamento seguro, o backup e a rotação de chaves. Especificamente:

• O serviço de gerenciamento de chaves deve fornecer acesso às chaves a usuários especificamente designados, com a capacidade de criptografar/descriptografar informações e gerar chaves de criptografia de dados.
• O serviço de gerenciamento de chaves deve fornecer acesso de administração de chaves a usuários especificamente designados, com a capacidade de criar, programar, excluir, ativar/desativar a rotação e definir políticas de uso para chaves.
• O serviço de gerenciamento de chaves deve armazenar e fazer backup das chaves durante toda a sua vida útil operacional.
• O serviço de gerenciamento de chaves deve fazer o rodízio das chaves pelo menos uma vez a cada 12 meses.

Chave secreta

As chaves secretas (simétricas) devem ser distribuídas com segurança e protegidas em repouso com medidas de segurança rigorosas.

Chave pública

A criptografia de chave pública usa pares de chaves públicas e privadas. A chave pública é incluída em um certificado digital emitido por uma autoridade de certificação, enquanto a chave privada permanece com o usuário final.

Outra chave pública

• Se as chaves forem geradas no software, os usuários deverão criar pelo menos um backup seguro.
• Os usuários devem criar uma cópia de custódia das chaves privadas para criptografia e entregá-la ao representante da Equipe de Infraestrutura.
• A Equipe de Infraestrutura não deposita chaves privadas para certificados de identidade.
• Todos os backups devem ser protegidos com uma senha ou frase secreta.