ГОСТ Р ИСО/МЭК 27002-2012
несанкционированного раскрытия. Оборудование, используемое для генерации, хранения
и архивирования ключей должно быть физически защищено.
Система управления ключами должна быть основана на согласованном множестве
стандартов, процедур и безопасных методов для:
a) генерации ключей для различных криптографических систем и прикладных
программ;
b
) генерации и получения сертификатов открытых ключей;
c) рассылки ключей предполагаемым пользователям, включая инструкции по
активации указанных ключей при получении;
d) хранения ключей, в том числе инструкций в отношении получения доступа к
ключам авторизованных пользователей;
e) замены или обновления ключей, включая правила в отношении порядка и
сроков замены ключей;
f) действий в отношении скомпрометированных ключей;
д) аннулирования ключей, в том числе порядок изъятия и деактивации, например в
случае компрометации ключей или при увольнении пользователя из организации (при
этом ключи необходимо также архивировать);
h) восстановления ключей, которые были утеряны или испорчены, как часть
менеджмента непрерывности бизнеса, например для восстановления зашифрованной
информации;
i) архивирования ключей, например для восстановления заархивированной или
резервной информации;
j) уничтожения информации;
k) регистрации и аудита действий, связанных с управлением ключами.
Для уменьшения вероятности компрометации ключей необходимо, чтобы они
имели определенные даты активации и деактивации. Данный период времени зависит от
обстоятельств, при которых используются криптографические меры и средства контроля
и управления, и от осознаваемого риска.
В дополнение к вопросу безопасности менеджмента секретных и персональных
ключей, необходимо также учитывать вопросы аутентичности открытых ключей. Процесс
аутентификации может осуществляться при использовании сертификатов открытых
ключей, которые обычно выдаются органом сертификации, представляющим собой
135