Consideraciones para almacenar claves de firma y partes de clave maestra

Debe decidir los siguientes aspectos:

• ¿Va a utilizar tarjetas inteligentes para almacenar claves de firma y partes de clave maestra, o va a utilizar archivos?
• Si utiliza archivos de partes de clave y archivos de claves de firma, ¿va a utilizar unidades criptográficas de recuperación para generar un valor de clave maestra aleatorio y mantener la copia de seguridad de la clave maestra?
• ¿Cuántas firmas son necesarias para los mandatos confidenciales?
• ¿Cuántas partes clave va a utilizar para cargar los registros de clave maestra?
• ¿Con qué frecuencia va a cambiar el valor de la clave maestra?

El uso de tarjetas inteligentes para almacenar claves de firma y partes de clave maestra es más seguro que el uso de archivos. Cuando una clave de firma se almacena en un dispositivo de tarjeta inteligente, nunca aparece en el borrado fuera del dispositivo de tarjeta inteligente. Cuando una pieza de clave maestra se almacena en una tarjeta inteligente, nunca aparece en el borrado fuera de la tarjeta inteligente o una unidad criptográfica.

Cuando una clave de firma o parte de clave maestra se almacena en un archivo, la clave o parte de clave se descifra y aparece temporalmente en la memoria de borrado en la estación de trabajo cuando se utiliza.

Cuando se utilizan unidades criptográficas de recuperación para generar un valor de clave maestra aleatoria y mantener la copia de seguridad de la clave maestra, el valor de clave maestra nunca aparece en el borrado fuera de una unidad criptográfica de IBM.

Consideraciones para definir la política de seguridad de los programas de utilidad de gestión

Si decide utilizar tarjetas inteligentes, debe tener en cuenta los aspectos siguientes:

• ¿Cuántas copias de seguridad de sus tarjetas inteligentes va a hacer? Debe hacer al menos una copia de seguridad de todas las tarjetas inteligentes y almacenarlas en un lugar seguro.
• ¿Dónde vas a almacenar las tarjetas inteligentes cuando no están en uso?
• ¿Quién necesita conocer los PIN de tarjetas inteligentes?

Algunas organizaciones almacenan sus tarjetas inteligentes en un lugar seguro, y mantienen un registro de cuándo se utilizan las tarjetas inteligentes para las acciones administrativas y quién las ha utilizado.

Consideraciones para definir la política de seguridad de archivos

Si decide utilizar archivos de partes de clave y archivos de claves de firma, también debe tener en cuenta los aspectos siguientes:

• ¿Dónde va a guardar las copias de seguridad de los archivos?
• ¿Quién necesita conocer las contraseñas de archivo?

Muchos estándares de seguridad requieren un control dual para las acciones administrativas. El doble control significa que más de una persona debe cooperar para llevar a cabo la acción. El control dual se puede realizar estableciendo el umbral de firma en 2 o más, y teniendo diferentes personas propietarias de cada tarjeta inteligente y PIN o teniendo diferentes personas que conocen las contraseñas de archivo. El control dual al cargar el registro de clave maestra desde tarjetas inteligentes se puede lograr colocando las partes de clave maestra en diferentes tarjetas inteligentes y teniendo diferentes personas propietarias de cada tarjeta inteligente y PIN.