nøkkelhåndtering

Nøkkelhåndtering er prosessen med å styre og beskytte nøkler som brukes til tilgangskontroll og kryptering i en organisasjon. Dette omfatter både fysiske nøkler og kryptografiske nøkler, og dekker hele nøkkelleveransens livssyklus fra generering til avhending. Målet er å sikre konfidens, integritet og tilgjengelighet, samtidig som risiko for tap, misbruk eller lekkasje reduseres.

Omfanget inkluderer både fysiske nøkler som gir adgang til lokaler og skap, og digitale nøkler som brukes i kryptering, autentisering og sertifikatadministrasjon. Nøklene må beskyttes mot tap, tyveri og uautorisert tilgang, og distribusjon må være kontrollert og loggført. Effektiv nøkkelhåndtering krever klare roller og ansvar, samt teknologiske løsninger som gjør nøklene tilgjengelige for autoriserte brukere og systemer.

Nøkkellivsløpet består av generering, lagring, distribusjon, bruk, rotasjon, oppdatering, arkivering og destruksjon. Viktige begreper inkluderer data- og krypteringsnøkler, masternøkler og nøkkelkoding (wrapping). Sikker lagring ofte støttes av maskinvarebaserte løsninger som Hardware Security Modules (HSM) eller programvarebaserte Key Management Systems (KMS). Tilgangskontroll, autentisering, logging og revisjon er sentrale mekanismer for å sikre korrekt bruk av nøklene.

Policy og governance utgjør kjernen i nøkkelhåndteringen: en nøkkelhåndteringspolicy, klare roller (for eksempel nøkkelansvarlig), prinsipp om minste privilegium, dual control ved kritiske operasjoner, og omfattende logging. Fysiske sikkerhetstiltak og regelmessig gjennomgang av nøkkelbestandet er også viktig.

Standarder og praksis inkluderer ISO/IEC 27001 og 27002 som gir krav og retningslinjer for kryptografisk kontroll og nøkkelhåndtering, samt NIST SP 800-57 og besluttede veiledninger som beskriver nøkkellivssykluser og sikkerhetsparametere. God nøkkelhåndtering er en grunnleggende del av en robust informasjonssikkerhetsarkitektur.