Conformité

Politique de chiffrement pour Rask AI

Brask Inc
‍

Objectif

Cette politique définit les exigences organisationnelles relatives à l'utilisation des contrôles cryptographiques, ainsi que les exigences relatives aux clés cryptographiques, afin de protéger la confidentialité, l'intégrité, l'authenticité et la non-répudiation des informations.

Champ d'application

Cette politique s'applique à tous les systèmes, équipements, installations et informations relevant de la compétence de

Rask Programme de sécurité de l'information de l'IA. Tous les employés, sous-traitants, travailleurs à temps partiel et temporaires, prestataires de services et personnes employées par d'autres pour effectuer des travaux pour le compte de l'organisation en rapport avec des systèmes cryptographiques, des algorithmes ou du matériel de codage sont soumis à cette politique et doivent s'y conformer.

Contexte

Cette politique définit les objectifs de haut niveau et les instructions de mise en œuvre pour l'utilisation d'algorithmes et de clés cryptographiques par Rask AI. Il est essentiel que l'organisation adopte une approche standard des contrôles cryptographiques dans tous les centres de travail afin de garantir une sécurité de bout en bout, tout en favorisant l'interopérabilité. Le présent document définit les algorithmes spécifiques dont l'utilisation est approuvée, les exigences en matière de gestion et de protection des clés, ainsi que les exigences relatives à l'utilisation de la cryptographie dans les environnements en nuage.

Rôles et responsabilités

Le département Infrastructure de Brask ML assure la maintenance et la mise à jour de cette politique. Le PDG et le service juridique approuvent cette politique et toute modification.
‍

Politique

Contrôles de la cryptographie

Rask L'IA protège les systèmes individuels et les informations à l'aide des contrôles cryptographiques décrits ci-dessous :

Droit applicable

Le cryptage approuvé par l'organisation doit être conforme aux lois locales et internationales pertinentes, y compris les restrictions à l'importation et à l'exportation. Le cryptage utilisé par Rask AI répond aux normes internationales et aux exigences américaines, ce qui permet une utilisation internationale.

Gestion des clés

Les clés doivent être gérées par leurs propriétaires et protégées contre la perte, la modification ou la destruction. Un contrôle d'accès approprié et des sauvegardes régulières sont obligatoires.

Service de gestion des clés

Toute la gestion des clés doit être effectuée à l'aide d'un logiciel qui gère automatiquement la génération des clés, le contrôle d'accès, le stockage sécurisé, la sauvegarde et la rotation des clés. En particulier :

• Le service de gestion des clés doit fournir un accès aux clés à des utilisateurs spécifiquement désignés, avec la possibilité de crypter/décrypter des informations et de générer des clés de cryptage des données.
• Le service de gestion des clés doit fournir un accès à l'administration des clés à des utilisateurs spécifiquement désignés, avec la possibilité de créer, de programmer la suppression, d'activer/désactiver la rotation et de définir des politiques d'utilisation pour les clés.
• Le service de gestion des clés doit stocker et sauvegarder les clés pendant toute leur durée de vie opérationnelle.
• Le service de gestion des clés doit procéder à la rotation des clés au moins une fois tous les 12 mois.

Clé secrète

Les clés secrètes (symétriques) doivent être distribuées en toute sécurité et protégées au repos par des mesures de sécurité strictes.

Clé publique

La cryptographie à clé publique utilise des paires de clés publiques et privées. La clé publique est incluse dans un certificat numérique délivré par une autorité de certification, tandis que la clé privée est conservée par l'utilisateur final.

Autre clé publique

• Si les clés sont générées dans un logiciel, les utilisateurs doivent créer au moins une sauvegarde sécurisée.
• Les utilisateurs doivent créer une copie fiduciaire des clés privées de cryptage et la remettre au représentant de l'équipe Infrastructure.
• L'équipe Infrastructure ne conserve pas les clés privées des certificats d'identité.
• Toutes les sauvegardes doivent être protégées par un mot de passe ou une phrase de passe.