Šifrovanie patrí medzi najčastejšie spomínané bezpečnostné opatrenia – a zároveň medzi tie najmenej pochopené. V praxi sa často stretávame s jednoduchým predpokladom:
„Keď je to šifrované, je to bezpečné.“

Problém je, že zle riadené šifrovanie môže byť rovnako rizikové ako žiadne šifrovanie. Expirované certifikáty, stratené kľúče alebo nejasné zodpovednosti dokážu spôsobiť výpadok služby, únik dát aj vážne auditné zistenia.

Jednotný metodický rámec pristupuje k šifrovaniu pragmaticky: bez mágie, bez zbytočných komplikácií – s jasnými pravidlami, rolami a evidenciami.

1. Šifrovanie je proces, nie technická funkcia

Šifrovanie nie je len „zapnutá voľba“ v systéme. Je to súbor rozhodnutí, ktoré musia byť riadené a pravidelne kontrolované. Organizácia musí vedieť:

• čo šifruje a prečo,
• aké nástroje alebo mechanizmy používa,
• kto má prístup ku kryptografickým kľúčom,
• čo urobí, ak sa kľúč kompromituje alebo stratí.

Bez riadenia certifikátov a kryptografických kľúčov sa zo šifrovania rýchlo stáva neprehľadné a ťažko udržateľné opatrenie. A to je presný opak toho, čo má bezpečnosť prinášať.

2. Šifrovanie má chrániť tam, kde je reálne riziko

Nie všetko musí byť šifrované rovnakým spôsobom. Dôležitá je primeranosť – teda sústrediť ochranu najmä tam, kde by kompromitácia dát alebo komunikácie mala reálny dopad na organizáciu, služby alebo občanov.

Pozornosť si vyžadujú najmä:

• prenos dát medzi systémami,
• ukladanie citlivých a osobných údajov,
• zálohy,
• vzdialené prístupy a externá komunikácia.

Cieľom nie je „šifrovať všetko za každú cenu“, ale chrániť tie dáta, systémy a procesy, pri ktorých by zlyhanie mohlo spôsobiť bezpečnostný incident, výpadok služby alebo problém pri audite.

3. Certifikáty a kľúče musia mať jasného vlastníka

V praxi bývajú certifikáty a kryptografické kľúče často roztrúsené po systémoch, bez jasného vlastníka, bez prehľadu o platnosti a bez plánu obnovy. Práve preto patria medzi najčastejšie slabé miesta.

Organizácia by mala mať pod kontrolou najmä:

• evidenciu certifikátov a kryptografických kľúčov,
• určenie vlastníka a zodpovedných osôb,
• plán obnovy, výmeny a revokácie,
• kontrolu ich používania.

Nejde o teóriu. Expirovaný alebo kompromitovaný kľúč dokáže vyradiť službu rovnako spoľahlivo ako technický incident alebo útok.

4. Smernica a evidencia chránia organizáciu

Dobre nastavená smernica šifrovania nemá byť byrokratickým dokumentom ani technickým manuálom plným detailných popisov algoritmov. Má zabezpečiť, že organizácia koná jednotne, predvídateľne a obhájiteľne – najmä pri incidente alebo audite.

Smernica by mala jasne určovať:

• kde a ako sa kryptografia používa,
• kto za ňu zodpovedá,
• aké minimálne bezpečnostné štandardy sa uplatňujú,
• ako sa vedie evidencia a ako sa riešia zmeny, obnova alebo kompromitácia.

Bez evidencie nie je možné vedieť, kde sa certifikáty používajú, kedy im končí platnosť, kto za ne zodpovedá ani ako rýchlo reagovať pri incidente. Evidencia nie je administratívna záťaž – je to mapa, bez ktorej sa organizácia v kríze stratí.

Šifrovanie, ktoré obstojí aj pri audite

Správne riadené šifrovanie pomáha znižovať riziko úniku dát, zvyšuje dôveryhodnosť elektronických služieb a umožňuje preukázať splnenie legislatívnych a bezpečnostných požiadaviek.

Šifrovanie bez mágie znamená, že organizácia vie, čo šifruje, prečo to šifruje a ako to riadi.