Perbandingan persyaratan enkripsi: apa yang ditetapkan kerangka kerja dan apa yang mereka serahkan kepada Anda

Enkripsi adalah salah satu dari sedikit kontrol yang diharapkan oleh setiap kerangka kerja keamanan dalam bentuk tertentu. Namun, jika persyaratannya dibaca dengan saksama, kerangka kerja tersebut berbeda dalam tiga hal yang jauh lebih penting daripada pemilihan algoritma: kapan enkripsi wajib, apakah Anda harus menggunakan modul kriptografi tervalidasi, dan seberapa rinci manajemen kunci yang diuraikan.

Siapa mensyaratkan apa

Kerangka kerja	Enkripsi	Tautan
NIST CSF 2.0	PR.DS-01PR.DS-02	Definisi topik
ISO 27001	A.8.24	Crosswalk
CIS v8.1	CIS 3.10CIS 3.11CIS 3.6CIS 3.9	Crosswalk
SOC 2	CC6.1CC6.7	Editorial
PCI DSS	3.5.13.6.14.2.13.7.13.7.44.2.1.1	Crosswalk
CMMC	SC.L2-3.13.8SC.L2-3.13.11SC.L2-3.13.16AC.L2-3.1.13AC.L2-3.1.19SC.L2-3.13.10MP.L2-3.8.6	Crosswalk
800-53	SC-8SC-12SC-13SC-28	Crosswalk
HIPAA	§164.312(a)(2)(iv)§164.312(e)(2)(ii)	Crosswalk
GDPR	Art.32(1)(a)Art.34(3)(a)	Editorial
NIS2	9.1	Crosswalk
Essential Eight	—	Tidak ada pemetaan dalam data kami

Detail lengkap dan alasan untuk setiap tautan: Enkripsi di seluruh kerangka kerja →

Kapan enkripsi wajib

• PCI DSS sudah jelas. Nomor rekening utama yang disimpan harus dibuat tidak dapat dibaca (3.5.1), dan PAN harus dilindungi dengan kriptografi yang kuat saat dikirim melalui jaringan terbuka dan publik (4.2.1).
• CMMC Level 2 mensyaratkan perlindungan kriptografi untuk CUI saat dalam transit (SC.L2-3.13.8), saat disimpan (SC.L2-3.13.16), pada perangkat seluler (AC.L2-3.1.19) dan pada media penyimpanan portabel (MP.L2-3.8.6).
• HIPAA menjadikan enkripsi data diam dan enkripsi data dalam transit bersifat addressable: terapkan, atau dokumentasikan alasan mengapa alternatif yang setara itu wajar. Dalam praktiknya, ePHI yang tidak terenkripsi pada laptop yang hilang sulit dipertahankan, dan HHS mengusulkan pada Januari 2025 agar enkripsi menjadi wajib.
• GDPR menyebut enkripsi sebagai langkah yang perlu dipertimbangkan (Pasal 32(1)(a)) dan memberikan manfaat konkret: jika data yang dilanggar telah terenkripsi, Anda mungkin tidak perlu memberi tahu orang-orang yang terdampak (Pasal 34(3)(a)).
• ISO 27001 (A.8.24), SOC 2 (CC6.1, CC6.7) dan NIS2 (poin 9.1, kebijakan kriptografi) mengharuskan Anda memutuskan di mana kriptografi diperlukan dan menerapkannya, alih-alih mewajibkannya di mana-mana.

Kriptografi tervalidasi

Hanya keluarga federal AS yang bersikeras pada modul tervalidasi. CMMC Level 2 mensyaratkan kriptografi tervalidasi FIPS untuk melindungi kerahasiaan CUI (SC.L2-3.13.11), dan sistem SP 800-53 menggunakan modul tervalidasi FIPS (SC-13). Pihak lain umumnya meminta kriptografi yang "kuat" atau "sesuai". Bagi kontraktor, perbedaan ini menentukan pustaka, VPN, dan produk enkripsi disk mana yang boleh Anda gunakan.

Manajemen kunci

Manajemen kunci adalah bagian di mana kerangka kerja paling berbeda dalam kedalamannya. PCI DSS merinci hal ini di 3.6 dan 3.7: pembuatan, distribusi, penyimpanan, penggantian kunci pada akhir kriptoperiodenya, pencabutan kunci yang telah dikompromikan, pengetahuan terpisah (split knowledge) dan kendali ganda (dual control), serta pengakuan custodian. PCI DSS juga mensyaratkan inventaris kunci dan sertifikat tepercaya (4.2.1.1). SP 800-53 (SC-12) dan CMMC (SC.L2-3.13.10) mensyaratkan penetapan dan pengelolaan kunci. ISO 27001 meminta aturan untuk penggunaan kriptografi yang efektif, termasuk manajemen kunci, dan menyerahkan rinciannya kepada Anda.

Poin utama

• Kerangka kerja jarang menyebutkan algoritma; mereka berbeda dalam hal kapan enkripsi wajib, modul tervalidasi, dan manajemen kunci.
• PCI DSS dan CMMC adalah yang paling ketat; spesifikasi enkripsi HIPAA bersifat addressable.
• Gunakan rincian manajemen kunci PCI sebagai daftar periksa, apa pun yang berlaku untuk Anda.

Yang harus dilakukan

1. Enkripsi secara default untuk data diam dan data dalam transit yang sensitif; enkripsi wajib di hampir setiap keluarga kerangka kerja, dan pengecualiannya sulit dibenarkan.
2. Periksa apakah Anda memerlukan modul tervalidasi sebelum membeli produk (CMMC, FedRAMP, dan pekerjaan federal lainnya).
3. Tuliskan manajemen kunci hingga tingkat rincian PCI, meskipun PCI tidak berlaku bagi Anda; ini adalah daftar periksa paling lengkap yang tersedia.
4. Catat keputusan kriptografi dalam kebijakan kriptografi (NIS2 9.1, ISO A.8.24) dan tinjau rangkaian sandi secara berkala (PCI 12.3.3 meminta tinjauan tahunan).

Halaman topik Enkripsi mencantumkan setiap persyaratan beserta sumbernya, dan analisis kesenjangan membandingkan dua kerangka kerja mana pun persyaratan demi persyaratan.

Pertanyaan

Apakah HIPAA mewajibkan enkripsi?

Enkripsi ePHI saat disimpan (§164.312(a)(2)(iv)) dan saat dalam transit (§164.312(e)(2)(ii)) merupakan spesifikasi addressable berdasarkan Security Rule saat ini: Anda harus menerapkannya atau mendokumentasikan alasan mengapa langkah yang setara itu wajar. HHS mengusulkan pada Januari 2025 agar enkripsi menjadi wajib.

Kerangka kerja mana yang mensyaratkan kriptografi tervalidasi FIPS?

CMMC Level 2 mensyaratkan kriptografi tervalidasi FIPS untuk melindungi kerahasiaan CUI (SC.L2-3.13.11), dan sistem federal AS berdasarkan SP 800-53 menggunakan modul tervalidasi FIPS (SC-13).

Algoritma enkripsi apa yang diwajibkan oleh kerangka kerja?

Sangat sedikit yang menyebutkan algoritma. PCI DSS mensyaratkan kriptografi kuat berdasarkan algoritma dan panjang kunci yang diterima industri; sistem federal AS menggunakan modul tervalidasi FIPS; ISM dari ASD mencantumkan algoritma dan protokol yang disetujui. Sebagian besar kerangka kerja lainnya menyerahkan pilihan kepada Anda, dengan panduan standar terkini.