Einhaltung der Vorschriften

Verschlüsselungsrichtlinie für Rask AI

Brask Inc
‍

Zweck

Diese Richtlinie definiert die organisatorischen Anforderungen für den Einsatz von kryptografischen Kontrollen sowie die Anforderungen an kryptografische Schlüssel, um die Vertraulichkeit, Integrität, Authentizität und Nichtabstreitbarkeit von Informationen zu schützen.

Umfang

Diese Politik gilt für alle Systeme, Ausrüstungen, Einrichtungen und Informationen, die in den Zuständigkeitsbereich der

Rask AI Informationssicherheitsprogramm. Alle Mitarbeiter, Auftragnehmer, Teilzeit- und Zeitarbeitskräfte, Dienstleister sowie Personen, die von Dritten beauftragt wurden, im Auftrag der Organisation Tätigkeiten im Zusammenhang mit kryptografischen Systemen, Algorithmen oder Schlüsselmaterial auszuführen, unterliegen dieser Richtlinie und müssen diese einhalten.

Hintergrund

Diese Richtlinie legt die übergeordneten Ziele und Umsetzungsvorgaben für den Einsatz kryptografischer Algorithmen und Schlüssel bei der „ Rask AI “ fest. Es ist von entscheidender Bedeutung, dass die Organisation in allen Arbeitsbereichen einen einheitlichen Ansatz für kryptografische Kontrollmaßnahmen verfolgt, um eine durchgängige Sicherheit zu gewährleisten und gleichzeitig die Interoperabilität zu fördern. Dieses Dokument definiert die konkret zur Verwendung zugelassenen Algorithmen, die Anforderungen an die Schlüsselverwaltung und den Schlüsselschutz sowie die Anforderungen für den Einsatz von Kryptografie in Cloud-Umgebungen.

Rollen und Zuständigkeiten

Die Abteilung Infrastruktur von Brask ML pflegt und aktualisiert diese Richtlinie. Der CEO und die Rechtsabteilung genehmigen diese Richtlinie und alle Änderungen.
‍

Politik

Kryptographie-Kontrollen

Rask AI schützt einzelne Systeme und Informationen mithilfe kryptografischer Maßnahmen, wie im Folgenden beschrieben:

Geltendes Recht

Von der Organisation genehmigte Verschlüsselung muss den einschlägigen lokalen und internationalen Gesetzen entsprechen, einschließlich Import- und Exportbeschränkungen. Die von Rask AI verwendete Verschlüsselung entspricht internationalen Standards und US-amerikanischen Anforderungen und ermöglicht somit den internationalen Einsatz.

Schlüsselverwaltung

Die Schlüssel müssen von ihren Besitzern verwaltet und vor Verlust, Veränderung oder Zerstörung geschützt werden. Angemessene Zugangskontrollen und regelmäßige Backups sind obligatorisch.

Schlüsselverwaltungsdienst

Die gesamte Schlüsselverwaltung muss mit einer Software erfolgen, die automatisch die Schlüsselerzeugung, die Zugangskontrolle, die sichere Speicherung, die Sicherung und die Rotation der Schlüssel verwaltet. Im Einzelnen:

• Der Schlüsselverwaltungsdienst muss speziell benannten Nutzern Zugang zu den Schlüsseln gewähren und ihnen die Möglichkeit geben, Informationen zu ver- und entschlüsseln und Datenverschlüsselungsschlüssel zu erzeugen.
• Der Schlüsselverwaltungsdienst muss speziell benannten Benutzern Zugang zur Schlüsselverwaltung gewähren und ihnen die Möglichkeit geben, Schlüssel zu erstellen, zu löschen, die Rotation zu aktivieren/deaktivieren und Nutzungsrichtlinien für Schlüssel festzulegen.
• Der Schlüsselverwaltungsdienst muss die Schlüssel während ihrer gesamten Betriebsdauer speichern und sichern.
• Der Schlüsselverwaltungsdienst muss die Schlüssel mindestens einmal alle 12 Monate austauschen.

Geheimer Schlüssel

Geheime (symmetrische) Schlüssel müssen sicher verteilt und im Ruhezustand durch strenge Sicherheitsmaßnahmen geschützt werden.

Öffentlicher Schlüssel

Bei der Public-Key-Kryptografie werden öffentlich-private Schlüsselpaare verwendet. Der öffentliche Schlüssel ist in einem digitalen Zertifikat enthalten, das von einer Zertifizierungsstelle ausgestellt wird, während der private Schlüssel beim Endbenutzer verbleibt.

Andere öffentliche Schlüssel

• Wenn die Schlüssel in der Software erzeugt werden, müssen die Benutzer mindestens eine sichere Sicherungskopie erstellen.
• Die Nutzer müssen eine Treuhandkopie der privaten Schlüssel für die Verschlüsselung erstellen und sie dem Vertreter des Infrastrukturteams übergeben.
• Das Infrastrukturteam hinterlegt keine privaten Schlüssel für Identitätszertifikate.
• Alle Backups müssen mit einem Passwort oder einer Passphrase geschützt werden.