Requisitos de criptografia comparados: o que os frameworks especificam e o que deixam a seu critério

A criptografia é um dos poucos controles que todo framework de segurança exige de alguma forma. No entanto, ao ler os requisitos com atenção, eles diferem em três pontos que importam muito mais do que a escolha do algoritmo: quando a criptografia é obrigatória, se é preciso usar módulos criptográficos validados e o quanto de gerenciamento de chaves cada um detalha.

Quem exige o quê

Framework	Criptografia	Vínculo
NIST CSF 2.0	PR.DS-01PR.DS-02	Definição do tópico
ISO 27001	A.8.24	Correspondência
CIS v8.1	CIS 3.10CIS 3.11CIS 3.6CIS 3.9	Correspondência
SOC 2	CC6.1CC6.7	Editorial
PCI DSS	3.5.13.6.14.2.13.7.13.7.44.2.1.1	Correspondência
CMMC	SC.L2-3.13.8SC.L2-3.13.11SC.L2-3.13.16AC.L2-3.1.13AC.L2-3.1.19SC.L2-3.13.10MP.L2-3.8.6	Correspondência
800-53	SC-8SC-12SC-13SC-28	Correspondência
HIPAA	§164.312(a)(2)(iv)§164.312(e)(2)(ii)	Correspondência
GDPR	Art.32(1)(a)Art.34(3)(a)	Editorial
NIS2	9.1	Correspondência
Essential Eight	—	Sem mapeamento em nossos dados

Detalhe completo e o motivo de cada ligação: Criptografia em todos os frameworks →

Quando a criptografia é obrigatória

• PCI DSS é inequívoco. Números de conta primários armazenados devem ser tornados ilegíveis (3.5.1), e o PAN deve ser protegido com criptografia forte quando transmitido por redes abertas e públicas (4.2.1).
• CMMC Level 2 exige proteção criptográfica do CUI em trânsito (SC.L2-3.13.8), em repouso (SC.L2-3.13.16), em dispositivos móveis (AC.L2-3.1.19) e em mídias de armazenamento portáteis (MP.L2-3.8.6).
• HIPAA torna a criptografia em repouso e em trânsito endereçável: implemente-a ou documente por que uma alternativa equivalente é razoável. Na prática, um ePHI não criptografado em um notebook roubado é difícil de justificar, e o HHS propôs em janeiro de 2025 tornar a criptografia obrigatória.
• RGPD (GDPR) cita a criptografia como medida a considerar (Artigo 32(1)(a)) e lhe dá um benefício concreto: se os dados violados estavam criptografados, você pode não precisar notificar as pessoas afetadas (Artigo 34(3)(a)).
• ISO 27001 (A.8.24), SOC 2 (CC6.1, CC6.7) e NIS2 (ponto 9.1, uma política de criptografia) exigem que você decida onde a criptografia é necessária e a aplique, em vez de torná-la obrigatória em todos os lugares.

Criptografia validada

Apenas a família federal dos EUA insiste em módulos validados. O CMMC Level 2 exige criptografia validada pelo FIPS para proteger a confidencialidade do CUI (SC.L2-3.13.11), e os sistemas SP 800-53 usam módulos validados pelo FIPS (SC-13). Os demais pedem criptografia "forte" ou "adequada". Para um contratado, essa diferença define quais bibliotecas, VPNs e produtos de criptografia de disco você pode usar.

Gerenciamento de chaves

O gerenciamento de chaves é onde os frameworks mais diferem em profundidade. O PCI DSS o detalha nos itens 3.6 e 3.7: geração, distribuição, armazenamento, troca de chaves ao fim de seu criptoperíodo, revogação de chaves comprometidas, conhecimento dividido e controle dual, e confirmações de custodiantes. Também exige um inventário de chaves e certificados confiáveis (4.2.1.1). O SP 800-53 (SC-12) e o CMMC (SC.L2-3.13.10) exigem o estabelecimento e o gerenciamento de chaves. A ISO 27001 pede regras para o uso efetivo da criptografia, incluindo o gerenciamento de chaves, e deixa os detalhes a seu critério.

Principais conclusões

• Os frameworks raramente nomeiam algoritmos; eles diferem quanto a quando a criptografia é obrigatória, módulos validados e gerenciamento de chaves.
• PCI DSS e CMMC são os mais rigorosos; as especificações de criptografia do HIPAA são endereçáveis.
• Use o detalhamento de gerenciamento de chaves do PCI como checklist, independentemente do que se aplica a você.

O que fazer

1. Criptografe por padrão em repouso e em trânsito os dados sensíveis; ela é obrigatória em algum ponto em quase toda família de frameworks, e as exceções são difíceis de justificar.
2. Verifique se você precisa de módulos validados antes de comprar produtos (CMMC, FedRAMP e outros trabalhos federais).
3. Documente o gerenciamento de chaves no nível de detalhe do PCI, mesmo que o PCI não se aplique a você; é o checklist mais completo disponível.
4. Registre as decisões criptográficas em uma política de criptografia (NIS2 9.1, ISO A.8.24) e revise os conjuntos de cifras periodicamente (o PCI 12.3.3 exige revisões anuais).

A página do tópico Criptografia lista cada requisito com sua fonte, e a análise de lacunas compara quaisquer dois frameworks requisito por requisito.

Perguntas

O HIPAA exige criptografia?

A criptografia de ePHI em repouso (§164.312(a)(2)(iv)) e em trânsito (§164.312(e)(2)(ii)) são especificações endereçáveis pela Security Rule atual: você deve implementá-las ou documentar por que uma medida equivalente é razoável. O HHS propôs em janeiro de 2025 tornar a criptografia obrigatória.

Quais frameworks exigem criptografia validada pelo FIPS?

O CMMC Level 2 exige criptografia validada pelo FIPS para proteger a confidencialidade do CUI (SC.L2-3.13.11), e os sistemas federais dos EUA sob o SP 800-53 usam módulos validados pelo FIPS (SC-13).

Quais algoritmos de criptografia os frameworks exigem?

Poucos nomeiam algoritmos. O PCI DSS exige criptografia forte baseada em algoritmos e tamanhos de chave aceitos pelo setor; os sistemas federais dos EUA usam módulos validados pelo FIPS; o ISM da ASD lista algoritmos e protocolos aprovados. A maioria dos outros frameworks deixa a escolha a seu critério, orientada por padrões atuais.