Política Criptográfica
Subtitle
Tablas de trazabilidad de la creación
Título del documento
Tipo de documento Informe
Nombre del fichero Informe_XXXX_2018.pptx
Versión 3.0
Estado Final
Fecha XX/XX/2018
Autor
Revisión, aprobación
Revisado por Nombre Fecha: xx/xx/2018
Aprobado por Nombre Fecha: xx/xx/2018
Histórico de cambios
Descripción
Versión Fecha Páginas
acción
1.0 XX/XX/201 Primera Todas
8 versión
2.0 XX/XX/201 Revisión Todas
8 final
3.0 XX/XX/201 Aprobación Todas
8
www.corpogas.com.mx
Contenido
1 Introducción................................................................................................................ 4
2 Política sobre el uso de controles criptográficos.........................................................5
2.1 Evaluación de riesgos.............................................................................................5
2.2 Selección de técnica................................................................................................5
2.3 Despliegue............................................................................................................. 7
2.4 Pruebas y revisión..................................................................................................8
3 Gestión de Claves.......................................................................................................8
3.1 Arquitectura criptográfica.....................................................................................9
www.corpogas.com.mx
1 Introducción
Un componente clave en el conjunto de controles disponibles para que las organizaciones
protejan su información clasificada (incluidos los datos del titular de la tarjeta) es el uso de
técnicas criptográficas para "cifrar" la información de modo que no se pueda acceder sin el
conocimiento de una clave.
Los controles criptográficos se pueden utilizar para lograr una serie de objetivos relacionados
con la seguridad de la información, que incluyen:
• Confidencialidad: garantizar que personas no autorizadas no puedan leer la
información.
• Integridad: prueba de que los datos no han sido alterados en tránsito o almacenados.
• Autenticación: prueba de la identidad de una entidad que solicita acceso a los
recursos.
• No repudio: prueba de que un evento ocurrió o no, o que un mensaje fue enviado
por un individuo
La necesidad de controles criptográficos es cada vez mayor y a menudo se requiere que cumpla
con los estándares reconocidos de la industria (por ejemplo, PCI DSS). Los controles
criptográficos se resaltarán en la evaluación de riesgos de [Nombre de la organización] y
obviamente no serán aplicables en todos los casos. Sin embargo, cuando su uso pueda
proporcionar el nivel de protección requerido, deben aplicarse de acuerdo con las disposiciones
establecidas en esta política.
Este control se aplica a todos los sistemas, personas y procesos que constituyen los sistemas de
información de la organización, incluidos los miembros de la junta, directores, empleados,
proveedores y otros terceros que tienen acceso a los sistemas [Nombre de la organización].
Las siguientes políticas y procedimientos son relevantes para este documento:
• Política de uso aceptable
• Política de dispositivos móviles
• Política de trabajo remoto
• Política de software
• Política de seguridad de red
• Política de seguridad de la información
www.corpogas.com.mx
2 Política sobre el uso de controles
criptográficos
Para identificar aquellas áreas en las que será útil el despliegue de técnicas criptográficas,
[Nombre de la organización] adoptará un enfoque administrado de la siguiente manera.
2.1 Evaluación de riesgos
El primer paso será realizar una evaluación de riesgos en línea con los estándares
reconocidos por la industria (por ejemplo, PCI DSS o el estándar de seguridad de la
información ISO / IEC 27001). Para cada uno de los activos de información identificados
dentro de la organización, se evaluarán las posibles amenazas junto con su probabilidad e
impacto si ocurrieran.
Los siguientes documentos dentro del Sistema de gestión de seguridad de la información
(SGSI) de [Nombre de la organización] establecen cómo se logra esto:
Evaluación de riesgos y proceso de mitigación
Plan de mitigación de riesgos de seguridad de la información
Los requisitos para el uso de técnicas criptográficas se identificarán en la última sección de
este documento. El plan de mitigación de riesgos mostrará en resumen dónde se deben
aplicar las técnicas criptográficas y de qué forma para lograr el nivel de protección necesario.
Además, la criptografía sólida generalmente se implementará de manera predeterminada en
los siguientes escenarios:
En dispositivos móviles como computadoras portátiles, tabletas y teléfonos
inteligentes
Para uso autorizado de medios extraíbles, como memorias USB
Cuando los datos clasificados se transmiten a través de líneas de comunicación que se
extienden más allá de los límites de la organización, p.ej. a través de Internet
Donde se utilizan los servicios en la nube, independientemente del tipo de servicio en
la nube (por ejemplo, IaaS, PaaS, SaaS)
2.2 Selección de técnica
Una vez que se haya identificado la necesidad general del uso de la criptografía mediante la
evaluación de riesgos o por razones de cumplimiento, se debe tomar una decisión sobre qué
técnicas específicas se implementarán. Esto también implicará la selección y posible compra
de software o hardware para implementar la técnica. También se pueden utilizar las
instalaciones proporcionadas por los proveedores de servicios en la nube (CSP); en algunos
casos, la elección puede estar restringida por las herramientas disponibles, los requisitos de
cumplimiento o las políticas de un CSP.
Tenga en cuenta que la selección de tales técnicas debe tener en cuenta las regulaciones
actuales o las restricciones nacionales sobre la adquisición y el uso de tecnología
criptográfica.
Estos son actualmente:
[enumere las regulaciones aplicables o restricciones nacionales]
www.corpogas.com.mx
Estos pueden afectar el tipo, la fuerza y la calidad del algoritmo de cifrado utilizado.
En general, la política de [Nombre de la organización] es utilizar las siguientes técnicas para
el proceso o la situación comercial relevante:
Proceso / Situación Técnica Guía específica
Almacenamiento de datos AES-256 cifrado en repso Las llaves no están en poder del
en la nube. CSP
E-Commerce transacciones Cifrado simétrico RSA se utilizará para la
a través de Internet utilizando TLS (técnicas criptografía de clave pública. Los
asimétricas utilizadas para certificados se obtendrán de un
compartir clave de sesión) proveedor acreditado
Protección de datos en Cifrado simétrico Cifrado AES-256 para ser usado
medios extraíbles donde esté disponible
Protección de contraseñas Todas las contraseñas Función Hash MD5 será
durante la transmisión y deben ser usados con hash utilizado donde esté disponible
almacenamiento
Seguridad de correo Cifrado Simétrico Las funciones disponibles en el
electrónico /asimétrico usando cliente de correo electrónico
S/MIME relevante deben usarse para
simplificar el proceso
Acceso remoto Red privada virtual (VPN) Se puede usar una VPN IPSec
con TLS 1.2 o superior donde lo permita la Política de
seguridad de red
Procesamiento y / o Criptografía sólida según Criptografía sólida según
transmisión interna de estándares reconocidos por estándares reconocidos por la
datos del titular de la tarjeta la industria industria
Procesamiento y / o Criptografía sólida según Solo se deben usar claves y
transmisión de datos del estándares reconocidos por certificados confiables
titular de la tarjeta a través la industria
de un Wi-Fi público /
abierto
Almacenamiento Datos del Criptografía sólida según El acceso lógico se administrará
titular de la tarjeta estándares reconocidos por por separado e
la industria independientemente de los
métodos de autenticación y
Hashes unidireccionales
acceso del sistema operativo.
basados en criptografía
sólida
Truncamiento (el hash no Las claves de descifrado no se
se puede usar para asociarán con cuentas de usuario
reemplazar el segmento
truncado de PAN)
Tokens de índice y pads
(los pads deben
www.corpogas.com.mx
Proceso / Situación Técnica Guía específica
almacenarse de forma
segura)
Acceder a sistemas que Criptografía sólida según Cifre todo el acceso a los
almacenan, procesan o estándares reconocidos por sistemas para evitar enviar ID /
transmiten datos del titular la industria Contraseñas en texto sin cifrar
de la tarjeta
Acceso administrativo que Criptografía sólida según Cifrar antes de que se solicite la
no sea de consola estándares reconocidos por contraseña del administrador en
la industria la interfaz web.
No uso de protocolos de texto no
cifrado (HTTP, telnet, etc)
Seguridad adicional TLS 1.2 SSL o TLS temprano no deben
requerida para servicios usarse
conocidos, protocolos o
demonios (HTTP)
Redes inalámbricas seguras WPA2 or 802.1x (TLS WEP o SSL no se utilizarán
1.2)
Tabla 1 - Técnicas criptográficas
El uso continuo de las técnicas especificadas se evaluará en cada revisión de esta política.
2.3 Despliegue
El despliegue de técnicas criptográficas debe gestionarse con cuidado para garantizar que se
logre el nivel de seguridad deseado. Siempre que sea posible, más de un miembro del
personal debe estar estrechamente involucrado en el despliegue para evitar tanto un solo
punto de falla para el soporte como para permitir la segregación de tareas.
Se debe considerar detenidamente la operación continua del cifrado instalado para que los
procedimientos operativos documentados estén completamente implementados y el personal
relevante esté capacitado en ellos.
2.4 Pruebas y revisión
Una vez implementado, es crítico que la seguridad del cifrado se pruebe bajo condiciones tan
realistas como sea posible para identificar cualquier debilidad. Dichas pruebas deben cubrir
el uso de:
Herramientas de software comúnmente disponibles para intentar romper el cifrado
Métodos de ingeniería social para tratar de descubrir la clave
Interceptación de datos encriptados en varios puntos de su transmisión
[otros métodos que cree que pueden ser aplicables en casos específicos]
Los resultados de las pruebas se revisarán formalmente y las lecciones aprendidas se
aplicarán a la situación probada y se comunicarán a otras áreas en las que se utiliza el cifrado
en la organización.
www.corpogas.com.mx
Tenga en cuenta que, en el caso de los servicios en la nube, es posible que se requiera la
aprobación del Proveedor de servicios en la nube (CSP) antes de realizar las pruebas.
3 Gestión de Claves
Es vital que las claves criptográficas se almacenen y protejan contra modificaciones, pérdidas,
destrucción y divulgación no autorizada. Los siguientes controles deben estar en su lugar para
proteger las claves:
El acceso a las llaves debe estar restringido a la menor cantidad de custodios necesarios
Las claves de cifrado de claves deben ser al menos tan seguras como las claves de
cifrado de datos que protegen
Las claves de cifrado de claves deben almacenarse por separado de las claves de cifrado
de datos.
Las claves deben almacenarse de forma segura en la menor cantidad posible de
ubicaciones y formularios
Se debe adoptar un enfoque de ciclo de vida para la gestión de claves que requerirá la creación
de procedimientos específicos para cubrir las siguientes etapas:
Generación de claves
Distribución de llaves al punto de uso.
Almacenamiento en el punto de uso.
Copia de seguridad como protección contra pérdidas.
Recuperación en caso de pérdida.
Actualizar claves una vez caducadas
Revocación si está comprometido
Archivado una vez vencido
Destruir cuando ya no sea necesario
Registro y auditoría de actividades clave relacionadas con la gestión.
Prevención de la sustitución no autorizada de claves.
Reconocimiento y comprensión de ser un custodio clave
Estos procedimientos deben tener en cuenta las circunstancias específicas en las que se utilizará
el cifrado.
En principio, las claves asimétricas privadas y las claves simétricas solo existirán en las
siguientes formas seguras:
1. Como texto claro dentro de la memoria de un dispositivo de cifrado basado en hardware
2. Como texto cifrado fuera de la memoria de un dispositivo de cifrado basado en
hardware
3. Como dos o más fragmentos clave, ya sea en texto sin cifrar o en texto cifrado,
administrados mediante control dual con conocimiento dividido
4. Dentro de un dispositivo criptográfico seguro como un módulo de seguridad de
hardware (HSM) o un dispositivo de punto de interacción aprobado por PTS
El uso de uno de estos formularios asegurará que se mantenga la confidencialidad de las claves
privadas asimétricas y simétricas en todo momento. Las claves públicas asimétricas
generalmente están disponibles y, por lo tanto, no requieren protección. Sin embargo, es
www.corpogas.com.mx
necesario proteger su integridad y autenticidad, y esto debe lograrse mediante el uso de una
firma de una autoridad de certificación acreditada.
Cuando se proporciona la funcionalidad de administración de claves como parte de un servicio
en la nube, se debe solicitar la siguiente información sobre las instalaciones proporcionadas por
el CSP:
Tipo de llaves
Especificaciones del sistema de gestión de llaves
Procedimientos de administración de llaves recomendados para cada etapa del ciclo de
vida de administración de llaves como se definió anteriormente
En el caso de que las llaves criptográficas estén sujetas a una solicitud de una agencia
gubernamental, [Nombre de la organización] cumplirá con todas las solicitudes legalmente
autorizadas de manera oportuna. El proceso de cumplimiento estará sujeto a la supervisión y
control de la alta dirección.
3.1 Arquitectura criptográfica
A continuación, se muestra una tabla que enumera todas las arquitecturas criptográficas
utilizadas en [Nombre de la organización]:
Uso de Algoritmos, Fuerza de Expiración Hardware Dispositivo
llave protocolos y la llave de la llave Security criptográfico
llaves Module seguro (SCD)
utilizados (HSM) utilizado
Cifrado del AES-256 2048-bit Julio2029 Cifrado N/A
PAN Hardware
xx
Pasando AES-256 2048-bit Julio 2019 N/A Chip P2PE y
tarjetas de dispositivo pin 1
pago
Tabla 2 - Arquitecturas criptográficas
www.corpogas.com.mx
www.corpogas.com.mx
www.corpogas.com.mx
