V8.3.7 Sensitive Private Data

Requirement:#

Verify that sensitive or private information that is required to be encrypted, is encrypted using approved algorithms that provide both confidentiality and integrity.

Explanation:#

Убедитесь, что конфиденциальная информация, которую необходимо зашифровать, зашифрована с использованием утвержденных алгоритмов, обеспечивающих как конфиденциальность, так и целостность.

Remediation:#

Для выполнения данного требования необходимо выполнить следующее:

Выбор утвержденных алгоритмов шифрования.

Использовать широко принятые и рекомендованные алгоритмы шифрования, такие как AES (Advanced Encryption Standard), RSA (Rivest-Shamir-Adleman), или другие, соответствующие стандартам безопасности.

Разработка политики шифрования.

Определить, какие данные должны быть зашифрованы и какие алгоритмы следует использовать для каждого типа данных в зависимости от уровня конфиденциальности. Создать документированную политику безопасности, описывающую эти требования.

Реализация шифрования в приложениях и системах.

Обеспечить интеграцию выбранных алгоритмов шифрования в приложения и системы, обрабатывающие конфиденциальные данные. Это может потребовать обновления кода, настройки баз данных и других аспектов системы.

Ключевое управление.

Обеспечить безопасное управление ключами шифрования. Ключи должны храниться в защищенном хранилище, иметь ограниченный доступ и периодически обновляться в соответствии с политикой безопасности.

Тестирование и аудит безопасности.

Провести тестирование для проверки корректности работы алгоритмов шифрования и их соответствия требованиям безопасности. Также необходимо регулярно проводить аудиты безопасности для проверки соответствия реализации шифрования установленным стандартам и политикам безопасности.

Обучение персонала.

Провести обучение сотрудников, работающих с конфиденциальными данными, по использованию шифрования, правилам безопасности и процедурам обработки зашифрованных данных.

Поддержка и обновление.

Обеспечить регулярное обновление и поддержку систем и приложений, включая алгоритмы шифрования, чтобы они оставались защищенными от новых угроз и уязвимостей.

Additional:#

https://owasp.org/www-project-proactive-controls/#div-numbering