Requisiti di cifratura a confronto: cosa specificano i framework e cosa lasciano a te

La cifratura è uno dei pochi controlli che ogni framework di sicurezza prevede in una qualche forma. Leggendo con attenzione i requisiti, però, emergono differenze su tre aspetti che contano molto più della scelta dell'algoritmo: quando la cifratura è obbligatoria, se devi usare moduli crittografici validati e quanto dettagliatamente trattano la gestione delle chiavi.

Chi richiede cosa

Framework	Crittografia	Collegamento
NIST CSF 2.0	PR.DS-01PR.DS-02	Definizione dell'argomento
ISO 27001	A.8.24	Crosswalk
CIS v8.1	CIS 3.10CIS 3.11CIS 3.6CIS 3.9	Crosswalk
SOC 2	CC6.1CC6.7	Redazione
PCI DSS	3.5.13.6.14.2.13.7.13.7.44.2.1.1	Crosswalk
CMMC	SC.L2-3.13.8SC.L2-3.13.11SC.L2-3.13.16AC.L2-3.1.13AC.L2-3.1.19SC.L2-3.13.10MP.L2-3.8.6	Crosswalk
800-53	SC-8SC-12SC-13SC-28	Crosswalk
HIPAA	§164.312(a)(2)(iv)§164.312(e)(2)(ii)	Crosswalk
GDPR	Art.32(1)(a)Art.34(3)(a)	Redazione
NIS2	9.1	Crosswalk
Essential Eight	—	Nessuna mappatura nei nostri dati

Dettaglio completo e motivazione di ogni collegamento: Crittografia nei framework →

Quando la cifratura è obbligatoria

• PCI DSS è inequivocabile. I numeri di conto primari (PAN) memorizzati devono essere resi illeggibili (3.5.1), e il PAN deve essere protetto con crittografia robusta quando viene trasmesso su reti aperte e pubbliche (4.2.1).
• CMMC Level 2 richiede la protezione crittografica della CUI in transito (SC.L2-3.13.8), a riposo (SC.L2-3.13.16), sui dispositivi mobili (AC.L2-3.1.19) e sui supporti di memorizzazione portatili (MP.L2-3.8.6).
• HIPAA rende la cifratura degli ePHI a riposo e in transito addressable: va implementata oppure documentato perché una misura equivalente è ragionevole. In pratica, gli ePHI non cifrati su un portatile smarrito sono difficili da difendere, e a gennaio 2025 HHS ha proposto di rendere la cifratura obbligatoria.
• GDPR indica la cifratura come misura da considerare (Art. 32(1)(a)) e ne riconosce un vantaggio concreto: se i dati violati erano cifrati, potrebbe non essere necessario notificare le persone interessate (Art. 34(3)(a)).
• ISO 27001 (A.8.24), SOC 2 (CC6.1, CC6.7) e NIS2 (punto 9.1, una politica sulla crittografia) richiedono di decidere dove la crittografia è necessaria e di applicarla, invece di renderla obbligatoria ovunque.

Crittografia validata

Solo la famiglia federale statunitense impone moduli validati. CMMC Level 2 richiede crittografia validata FIPS per proteggere la riservatezza della CUI (SC.L2-3.13.11), e i sistemi SP 800-53 usano moduli validati FIPS (SC-13). Tutti gli altri chiedono crittografia «robusta» o «appropriata». Per un fornitore, questa differenza determina quali librerie, VPN e prodotti di cifratura del disco è possibile usare.

Gestione delle chiavi

La gestione delle chiavi è l'ambito in cui i framework differiscono di più in profondità. PCI DSS la descrive nel dettaglio nei punti 3.6 e 3.7: generazione, distribuzione, conservazione, sostituzione delle chiavi alla fine del loro cryptoperiod, revoca delle chiavi compromesse, conoscenza frazionata e doppio controllo, e conferme dei custodi. Richiede inoltre un inventario delle chiavi e dei certificati attendibili (4.2.1.1). SP 800-53 (SC-12) e CMMC (SC.L2-3.13.10) richiedono la definizione e la gestione delle chiavi. ISO 27001 chiede regole per l'uso efficace della crittografia, inclusa la gestione delle chiavi, e lascia il dettaglio a te.

Considerazioni chiave

• I framework raramente indicano gli algoritmi; differiscono su quando la cifratura è obbligatoria, sui moduli validati e sulla gestione delle chiavi.
• PCI DSS e CMMC sono i più rigorosi; le specifiche di cifratura di HIPAA sono addressable.
• Usa il dettaglio di PCI sulla gestione delle chiavi come checklist, qualunque sia il framework che ti si applica.

Cosa fare

1. Cifra per impostazione predefinita i dati sensibili a riposo e in transito: è obbligatorio in quasi ogni famiglia di framework, e le eccezioni sono difficili da giustificare.
2. Verifica se ti servono moduli validati prima di acquistare prodotti (CMMC, FedRAMP e altri lavori per la pubblica amministrazione federale statunitense).
3. Documenta la gestione delle chiavi al livello di dettaglio di PCI, anche se PCI non ti si applica: è la checklist più completa disponibile.
4. Registra le decisioni crittografiche in una politica sulla crittografia (NIS2 9.1, ISO A.8.24) e rivedi periodicamente le suite di cifratura (PCI 12.3.3 richiede revisioni annuali).

La pagina dell'argomento Encryption elenca ogni requisito con la sua fonte, e la Gap analysis confronta due framework qualsiasi requisito per requisito.

Domande

HIPAA richiede la cifratura?

La cifratura degli ePHI a riposo (§164.312(a)(2)(iv)) e in transito (§164.312(e)(2)(ii)) sono specifiche addressable ai sensi dell'attuale Security Rule: devi implementarle oppure documentare perché una misura equivalente è ragionevole. A gennaio 2025 HHS ha proposto di rendere obbligatoria la cifratura.

Quali framework richiedono la crittografia validata FIPS?

CMMC Level 2 richiede crittografia validata FIPS per proteggere la riservatezza della CUI (SC.L2-3.13.11), e i sistemi federali statunitensi previsti da SP 800-53 usano moduli validati FIPS (SC-13).

Quali algoritmi di cifratura richiedono i framework?

Pochissimi indicano algoritmi. PCI DSS richiede crittografia robusta basata su algoritmi e lunghezze di chiave riconosciuti dal settore; i sistemi federali statunitensi usano moduli validati FIPS; l'ISM di ASD elenca algoritmi e protocolli approvati. La maggior parte degli altri framework lascia la scelta a te, sulla base degli standard attuali.