Conformidade

Política de encriptação para Rask AI

Brask Inc
‍

Objectivo

Esta política define os requisitos organizacionais para a utilização de controlos criptográficos, bem como os requisitos para as chaves criptográficas, a fim de proteger a confidencialidade, a integridade, a autenticidade e o não-repúdio da informação.

Âmbito de aplicação

Esta política aplica-se a todos os sistemas, equipamentos, instalações e informações no âmbito da

Rask Programa de segurança da informação da AI. Todos os funcionários, contratantes, trabalhadores a tempo parcial e temporários, prestadores de serviços e pessoas contratadas por terceiros para realizar trabalhos em nome da organização que tenham a ver com sistemas criptográficos, algoritmos ou material de chaveamento estão sujeitos a esta política e devem cumpri-la.

Antecedentes

Esta política define os objectivos de alto nível e as instruções de implementação para Rask AI utilização de algoritmos e chaves criptográficas. É vital que a organização adopte uma abordagem normalizada aos controlos criptográficos em todos os centros de trabalho, a fim de garantir a segurança de ponta a ponta, promovendo simultaneamente a interoperabilidade. Este documento define os algoritmos específicos aprovados para utilização, os requisitos para a gestão e proteção de chaves e os requisitos para a utilização de criptografia em ambientes de nuvem.

Funções e responsabilidades

O Departamento de Infraestrutura da Brask ML mantém e actualiza esta política. O CEO e o departamento jurídico aprovam esta política e quaisquer alterações.
‍

Política

Controlos de criptografia

Rask A AI protege os sistemas e as informações individuais através de controlos criptográficos, tal como a seguir se descreve:

Direito aplicável

A encriptação aprovada pela organização deve estar em conformidade com as leis locais e internacionais relevantes, incluindo restrições de importação/exportação. A encriptação utilizada pelo Rask AI cumpre as normas internacionais e os requisitos dos EUA, permitindo a sua utilização internacional.

Gestão de chaves

As chaves devem ser geridas pelos seus proprietários e protegidas contra perda, alteração ou destruição. É obrigatório um controlo de acesso adequado e cópias de segurança regulares.

Serviço de gestão de chaves

Toda a gestão de chaves deve ser efectuada através de software que gere automaticamente a geração de chaves, o controlo de acesso, o armazenamento seguro, a cópia de segurança e a rotação de chaves. Especificamente:

• O serviço de gestão de chaves deve fornecer acesso às chaves a utilizadores especificamente designados, com a capacidade de encriptar/desencriptar informações e gerar chaves de encriptação de dados.
• O serviço de gestão de chaves deve fornecer acesso de administração de chaves a utilizadores especificamente designados, com a capacidade de criar, programar a eliminação, ativar/desativar a rotação e definir políticas de utilização para as chaves.
• O serviço de gestão de chaves deve armazenar e fazer cópias de segurança das chaves durante todo o seu tempo de vida operacional.
• O serviço de gestão de chaves deve efetuar a rotação das chaves pelo menos uma vez em cada 12 meses.

Chave secreta

As chaves secretas (simétricas) devem ser distribuídas de forma segura e protegidas em repouso com medidas de segurança rigorosas.

Chave pública

A criptografia de chave pública utiliza pares de chaves público-privadas. A chave pública é incluída num certificado digital emitido por uma autoridade de certificação, enquanto a chave privada permanece com o utilizador final.

Outra chave pública

• Se as chaves forem geradas em software, os utilizadores devem criar pelo menos uma cópia de segurança segura.
• Os utilizadores devem criar uma cópia de garantia das chaves privadas para encriptação e entregá-la ao representante da Equipa de Infra-estruturas.
• A Equipa de Infra-estruturas não deposita chaves privadas para certificados de identidade.
• Todas as cópias de segurança devem ser protegidas com uma palavra-passe ou frase-chave.