फ़्रेमवर्क में एन्क्रिप्शन आवश्यकताओं की तुलना: वे क्या निर्दिष्ट करते हैं और क्या आप पर छोड़ते हैं
हर प्रमुख फ़्रेमवर्क एन्क्रिप्शन की अपेक्षा रखता है, पर बहुत कम बताते हैं कि कौन-सा एल्गोरिदम इस्तेमाल करना है। असली अंतर इस बात में है कि एन्क्रिप्शन कब अनिवार्य है, क्या सत्यापित मॉड्यूल ज़रूरी हैं, और वे की मैनेजमेंट को कितनी विस्तार से बताते हैं।
यह पोस्ट उन 11 फ़्रेमवर्कों को कवर करती है जिन्हें इसके लिखे जाने के समय ControlMapping ने मानचित्रित किया था। तब से DORA, CPS 234, Cyber Essentials को 2026-10-27 पर जोड़ा गया है; उनके पृष्ठ और कवरेज मैट्रिक्स में वे शामिल हैं।
एन्क्रिप्शन उन चुनिंदा कंट्रोल में से है जिनकी हर सुरक्षा फ़्रेमवर्क किसी न किसी रूप में अपेक्षा करता है। फिर भी आवश्यकताओं को ध्यान से पढ़ें तो वे तीन बातों पर अलग हैं, और ये एल्गोरिदम चुनने से कहीं ज़्यादा मायने रखती हैं: कब एन्क्रिप्शन अनिवार्य है, क्या आपको सत्यापित क्रिप्टोग्राफ़िक मॉड्यूल इस्तेमाल करने होंगे, और वे की मैनेजमेंट को कितनी विस्तार से बताते हैं।
कौन क्या आवश्यक करता है
| फ़्रेमवर्क | एन्क्रिप्शन | लिंक |
|---|---|---|
| NIST CSF 2.0 | PR.DS-01PR.DS-02 | विषय परिभाषा |
| ISO 27001 | A.8.24 | क्रॉसवॉक |
| CIS v8.1 | CIS 3.10CIS 3.11CIS 3.6CIS 3.9 | क्रॉसवॉक |
| SOC 2 | CC6.1CC6.7 | संपादकीय |
| PCI DSS | 3.5.13.6.14.2.13.7.13.7.44.2.1.1 | क्रॉसवॉक |
| CMMC | SC.L2-3.13.8SC.L2-3.13.11SC.L2-3.13.16AC.L2-3.1.13AC.L2-3.1.19SC.L2-3.13.10MP.L2-3.8.6 | क्रॉसवॉक |
| 800-53 | SC-8SC-12SC-13SC-28 | क्रॉसवॉक |
| HIPAA | §164.312(a)(2)(iv)§164.312(e)(2)(ii) | क्रॉसवॉक |
| GDPR | Art.32(1)(a)Art.34(3)(a) | संपादकीय |
| NIS2 | 9.1 | क्रॉसवॉक |
| Essential Eight | — | हमारे डेटा में कोई मैपिंग नहीं |
पूर्ण विवरण और हर संबंध का कारण: फ़्रेमवर्क में एन्क्रिप्शन →
एन्क्रिप्शन कब अनिवार्य है
- PCI DSS इस मामले में स्पष्ट है। संग्रहीत प्राथमिक खाता नंबर (PAN) को अपठनीय बनाना होगा (3.5.1), और खुले, सार्वजनिक नेटवर्क पर भेजे जाने पर PAN की सुरक्षा मज़बूत क्रिप्टोग्राफ़ी से करनी होगी (4.2.1).
- CMMC Level 2 के तहत CUI की ट्रांजिट में (SC.L2-3.13.8), स्टोरेज में (SC.L2-3.13.16), मोबाइल डिवाइस पर (AC.L2-3.1.19) और पोर्टेबल स्टोरेज पर (MP.L2-3.8.6) क्रिप्टोग्राफ़िक सुरक्षा आवश्यक है।
- HIPAA में स्टोरेज और ट्रांजिट दोनों में एन्क्रिप्शन addressable है: इसे लागू करें, या दस्तावेज़ करें कि कोई समकक्ष विकल्प क्यों उचित है। व्यवहार में, खोए हुए लैपटॉप पर बिना एन्क्रिप्शन वाला ePHI बचाव करना कठिन है, और HHS ने जनवरी 2025 में एन्क्रिप्शन को अनिवार्य बनाने का प्रस्ताव रखा।
- GDPR एन्क्रिप्शन को विचार करने योग्य उपाय के रूप में नामित करता है (Article 32(1)(a)) और इसका एक ठोस लाभ भी देता है: यदि उल्लंघन में प्रभावित डेटा एन्क्रिप्टेड था, तो प्रभावित व्यक्तियों को सूचित करना ज़रूरी नहीं हो सकता (Article 34(3)(a))।
- ISO 27001 (A.8.24), SOC 2 (CC6.1, CC6.7) और NIS2 (बिंदु 9.1, क्रिप्टोग्राफ़ी नीति) के तहत आपको तय करना होता है कि क्रिप्टोग्राफ़ी कहाँ ज़रूरी है और उसे लागू करना होता है, न कि हर जगह अनिवार्य करना।
सत्यापित क्रिप्टोग्राफ़ी
केवल US फ़ेडरल परिवार सत्यापित मॉड्यूल पर ज़ोर देता है। CMMC Level 2 को CUI की गोपनीयता की सुरक्षा के लिए FIPS-सत्यापित क्रिप्टोग्राफ़ी चाहिए (SC.L2-3.13.11), और SP 800-53 के तहत सिस्टम FIPS-सत्यापित मॉड्यूल इस्तेमाल करते हैं (SC-13)। बाकी सभी "मज़बूत" या "उपयुक्त" क्रिप्टोग्राफ़ी की माँग करते हैं। किसी ठेकेदार के लिए यही अंतर तय करता है कि वह कौन-सी लाइब्रेरी, VPN और डिस्क एन्क्रिप्शन उत्पाद इस्तेमाल कर सकता है।
की मैनेजमेंट
की मैनेजमेंट में फ़्रेमवर्क सबसे ज़्यादा गहराई में अलग हैं। PCI DSS इसे 3.6 और 3.7 में विस्तार से बताता है: की जनरेशन, वितरण, भंडारण, क्रिप्टोपीरियड खत्म होने पर की बदलना, समझौता हुई की को हटाना, स्प्लिट नॉलेज और ड्यूअल कंट्रोल, तथा कस्टोडियन की स्वीकृतियाँ। इसके लिए भरोसेमंद की और सर्टिफ़िकेट की इन्वेंटरी भी ज़रूरी है (4.2.1.1)। SP 800-53 (SC-12) और CMMC (SC.L2-3.13.10) में की स्थापना और प्रबंधन आवश्यक है। ISO 27001 क्रिप्टोग्राफ़ी के प्रभावी उपयोग के नियम माँगता है, जिसमें की मैनेजमेंट शामिल है, और विवरण आप पर छोड़ता है।
मुख्य बातें
- फ़्रेमवर्क शायद ही एल्गोरिदम का नाम लेते हैं; वे इस पर अलग हैं कि एन्क्रिप्शन कब अनिवार्य है, सत्यापित मॉड्यूल और की मैनेजमेंट।
- PCI DSS और CMMC सबसे सख्त हैं; HIPAA की एन्क्रिप्शन विशिष्टताएँ addressable हैं।
- आपके लिए जो भी लागू हो, PCI के की-मैनेजमेंट विवरण को चेकलिस्ट की तरह इस्तेमाल करें।
क्या करें
- संवेदनशील डेटा के लिए स्टोरेज और ट्रांजिट दोनों में डिफ़ॉल्ट रूप से एन्क्रिप्ट करें; लगभग हर फ़्रेमवर्क परिवार में यह कहीं न कहीं अनिवार्य है, और इसके अपवादों को उचित ठहराना कठिन है।
- उत्पाद खरीदने से पहले जाँचें कि क्या आपको सत्यापित मॉड्यूल चाहिए (CMMC, FedRAMP और अन्य फ़ेडरल कार्य के लिए)।
- भले ही PCI लागू न हो, की मैनेजमेंट को PCI के विवरण के स्तर तक लिखें; यह उपलब्ध सबसे पूर्ण चेकलिस्ट है।
- क्रिप्टोग्राफ़िक निर्णय एक क्रिप्टोग्राफ़ी नीति में दर्ज करें (NIS2 9.1, ISO A.8.24) और साइफ़र सूट की समय-समय पर समीक्षा करें (PCI 12.3.3 वार्षिक समीक्षा माँगता है)।
एन्क्रिप्शन विषय पेज हर आवश्यकता को उसके स्रोत के साथ सूचीबद्ध करता है, और गैप विश्लेषण किन्हीं भी दो फ़्रेमवर्क की आवश्यकता-दर-आवश्यकता तुलना करता है।
प्रश्न
क्या HIPAA एन्क्रिप्शन की आवश्यकता रखता है?
वर्तमान Security Rule के तहत ePHI का स्टोरेज में एन्क्रिप्शन (§164.312(a)(2)(iv)) और ट्रांजिट में एन्क्रिप्शन (§164.312(e)(2)(ii)) addressable विशिष्टताएँ हैं: आपको इन्हें लागू करना होगा, या दस्तावेज़ करना होगा कि कोई समकक्ष उपाय क्यों उचित है। HHS ने जनवरी 2025 में एन्क्रिप्शन को अनिवार्य बनाने का प्रस्ताव रखा।
कौन-से फ़्रेमवर्क FIPS-सत्यापित क्रिप्टोग्राफ़ी की आवश्यकता रखते हैं?
CMMC Level 2 को CUI की गोपनीयता की सुरक्षा के लिए FIPS-सत्यापित क्रिप्टोग्राफ़ी चाहिए (SC.L2-3.13.11), और SP 800-53 के तहत US फ़ेडरल सिस्टम FIPS-सत्यापित मॉड्यूल इस्तेमाल करते हैं (SC-13)।
फ़्रेमवर्क कौन-से एन्क्रिप्शन एल्गोरिदम की आवश्यकता रखते हैं?
बहुत कम एल्गोरिदम का नाम लेते हैं। PCI DSS उद्योग में स्वीकृत एल्गोरिदम और की लंबाई पर आधारित मज़बूत क्रिप्टोग्राफ़ी माँगता है; US फ़ेडरल सिस्टम FIPS-सत्यापित मॉड्यूल इस्तेमाल करते हैं; ASD के ISM में स्वीकृत एल्गोरिदम और प्रोटोकॉल सूचीबद्ध हैं। अधिकांश अन्य फ़्रेमवर्क वर्तमान मानकों के आधार पर चुनाव आप पर छोड़ते हैं।
2026-10-27 तक का डेटा: इस पोस्ट के आँकड़े वर्तमान क्रॉसवॉक से गणना किए गए हैं और उसके बदलने पर अपडेट होते हैं। क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. यह अनुपालन सलाह नहीं है।
संबंधित पोस्ट
विश्लेषण · 2026-10-27APRA CPS 234 और ISO 27001: आपका ISMS क्या कवर करता है और APRA क्या जोड़ता हैISO 27001 ISMS APRA के CPS 234 के लगभग हर अनुच्छेद को कवर करता है, फिर भी APRA बोर्ड की जिम्मेदारियाँ, तृतीय पक्ष आश्वासन और सख़्त सूचना समय-सीमाएँ जोड़ता है।
विश्लेषण · 2026-10-27Cyber Essentials बनाम Essential Eight: दो राष्ट्रीय बेसलाइनों की तुलनाUK का Cyber Essentials और ऑस्ट्रेलिया का Essential Eight, दोनों आम हमलों को निशाना बनाते हैं, लेकिन उनका दायरा अलग है। क्या ओवरलैप होता है, क्या नहीं होता, और क्यों।
विश्लेषण · 2026-10-27DORA बनाम NIS2: NIS2 कार्यक्रम पहले से क्या-क्या कवर करता हैDORA और NIS2 की अधिकांश सुरक्षा सामग्री समान है, लेकिन DORA में रजिस्टर, अनुबंध शर्तें और खतरा-आधारित परीक्षण जुड़ते हैं। अनुच्छेद-दर-अनुच्छेद देखें कि क्या आगे ले जाया जा सकता है।