A presente Política de Criptografia da [NOME DA ORGANIZAÇÃO] estabelece os requisitos e procedimentos para proteção de informação através de técnicas criptográficas, em conformidade com a Diretiva NIS2 (UE) 2022/2555 e normas internacionais.

Esta política aplica-se a todos os sistemas, aplicações e infraestruturas geridas por [NOME DA ORGANIZAÇÃO], incluindo dados em repouso, dados em trânsito e chaves criptográficas.

Aprovação e Revisão:

Esta política visa garantir:

• Confidencialidade: Proteger informação sensível contra acesso não autorizado através de cifra robusta
• Integridade: Assegurar que os dados não são alterados durante transmissão ou armazenamento através de assinaturas digitais e hash criptográfico
• Autenticidade: Verificar a identidade de sistemas e utilizadores através de certificados digitais e PKI
• Não-repúdio: Garantir prova criptográfica de origem e entrega de informação
• Conformidade: Cumprir requisitos de NIS2 Artigo 21(2)(b), ISO 27001 A.8.24, NIST SP 800-175B e RGPD

3.1 Cifra Simétrica (Dados em Repouso e em Trânsito)

3.2 Cifra Assimétrica (PKI, Troca de Chaves)

3.3 Funções Hash Criptográficas

Todos os dados armazenados em sistemas de [NOME DA ORGANIZAÇÃO] devem ser protegidos através de cifra conforme a classificação de sensibilidade.

4.1 Requisitos por Classificação de Dados

4.2 Implementação por Tipo de Armazenamento

4.3 Dispositivos Móveis e Endpoints

• Portáteis: Full disk encryption obrigatório (BitLocker, FileVault2)
• Smartphones/Tablets: Cifra nativa ativada (iOS Data Protection, Android FBE)
• USB/Dispositivos externos: Cifrados com [VeraCrypt/BitLocker To Go]
• Política BYOD: MDM com enforcement de cifra

Todas as comunicações que transportam dados sensíveis devem ser protegidas através de protocolos criptográficos modernos.

5.1 Requisitos TLS/SSL

5.2 Cipher Suites Aprovadas (TLS 1.3)

5.3 Cipher Suites Aprovadas (TLS 1.2 - Compatibilidade)

5.4 Outros Protocolos de Comunicação

5.5 Certificados Digitais

• Autoridade Certificadora: Apenas CAs reconhecidas (Let's Encrypt, DigiCert, Sectigo) ou CA interna de [NOME DA ORGANIZAÇÃO]
• Algoritmo de Assinatura: RSA 3072+ ou ECDSA P-384+
• Validade Máxima: [398 dias] para certificados públicos, [2 anos] para internos
• Renovação: Automática via ACME (Let's Encrypt) ou processo documentado
• Monitorização: Alertas [30 dias] antes da expiração
• Wildcard Certificates: Uso restrito, preferir SANs (Subject Alternative Names)

A gestão segura de chaves criptográficas é crítica para garantir a eficácia da proteção de dados. [NOME DA ORGANIZAÇÃO] implementa um ciclo de vida completo de gestão de chaves conforme ISO 27001 A.8.24 e NIST SP 800-57.

6.1 Ciclo de Vida de Chaves

6.2 Requisitos de Armazenamento de Chaves

6.3 Calendário de Rotação de Chaves

6.4 Controlos de Acesso a Chaves

• Princípio do Menor Privilégio: Acesso apenas a chaves necessárias para a função
• Segregação de Funções: Separação entre geração, aprovação e uso de chaves
• Multi-Factor Authentication: Obrigatório para acesso a chaves críticas
• Dual Control: Requerido para operações em Root CA e Master Keys
• Logging Completo: Todas as operações com chaves registadas em logs imutáveis
• Revisão de Acessos: Trimestral para chaves críticas, semestral para outras

6.5 Backup e Recuperação de Chaves

• Backup de Chaves Críticas: Obrigatório em localização física separada
• Key Escrow: Implementado para [Master Keys e Root CA]
• Split Knowledge: Chaves divididas entre [3] custódios, requer [2] para reconstituição
• Teste de Recuperação: Simulacro anual de recuperação de chaves críticas
• Documentação: Procedimentos de recuperação documentados e acessíveis em emergência

[NOME DA ORGANIZAÇÃO] mantém uma Infraestrutura de Chave Pública (PKI) para emissão e gestão de certificados digitais utilizados em autenticação, assinaturas digitais e cifra.

7.1 Hierarquia de Autoridades Certificadoras

7.2 Tipos de Certificados Emitidos

• TLS/SSL Server Certificates: Para servidores web, APIs, serviços HTTPS
• Code Signing Certificates: Para assinatura de software e scripts
• User Authentication Certificates: Para smart cards, autenticação 2FA
• Device Certificates: Para autenticação de dispositivos IoT, endpoints
• Email Certificates (S/MIME): Para cifra e assinatura de email
• Document Signing Certificates: Para assinatura digital de documentos

7.3 Processo de Emissão de Certificados

1. Pedido: Submissão via [Portal PKI / ACME]
2. Validação: Verificação de identidade e autorização do solicitante
3. Aprovação: Por [PKI Administrator / Manager IT]
4. Emissão: Geração e assinatura do certificado pela CA
5. Distribuição: Entrega segura ao solicitante
6. Instalação: Configuração no sistema/aplicação de destino
7. Verificação: Testes de funcionalidade e conectividade

7.4 Revogação de Certificados

Motivos para Revogação Imediata:

• Comprometimento da chave privada
• Mudança de propriedade do servidor/serviço
• Desativação do serviço
• Saída de colaborador (certificados pessoais)
• Suspeita de uso indevido

Mecanismos de Verificação de Revogação:

• CRL (Certificate Revocation List): Publicada a cada [24 horas] em [URL]
• OCSP (Online Certificate Status Protocol): Resposta em tempo real em [URL OCSP]
• OCSP Stapling: Implementado em todos os servidores web para performance

7.5 Monitorização e Auditoria PKI

• Inventory de Certificados: Base de dados centralizada de todos os certificados emitidos
• Alertas de Expiração: Notificações [30, 15, 7 dias] antes de expirar
• Scanning Automático: Verificação semanal de certificados em produção
• Auditoria de Logs: Revisão mensal de todas as operações de emissão e revogação
• Compliance Check: Validação trimestral contra políticas de certificados

Para proteção de chaves criptográficas críticas, [NOME DA ORGANIZAÇÃO] utiliza Hardware Security Modules (HSM) certificados conforme FIPS 140-2.

8.1 HSM em Operação

8.2 Operações HSM

• Geração de Chaves: Todas as chaves críticas geradas dentro do HSM (nunca exportáveis)
• Operações Criptográficas: Cifra/decifra, assinatura/verificação realizadas dentro do HSM
• Dual Control: Operações sensíveis requerem autenticação de [2] administradores
• M-of-N Authentication: [2] de [3] smart cards necessários para operações críticas
• Audit Logging: Todas as operações registadas em logs tamper-proof

8.3 Segurança Física HSM

• Localização: Sala segura com controlo de acesso biométrico
• Anti-Tamper: Deteção de abertura física com zeroização automática
• Ambiente Controlado: Temperatura, humidade, proteção contra incêndio
• Backup de Hardware: HSM de backup em localização geograficamente separada
• Manutenção: Apenas por pessoal certificado do fabricante

8.4 Disaster Recovery HSM

• Backup de Chaves: Chaves críticas replicadas para HSM de DR via canal seguro
• RTO: [4 horas] para ativar HSM de DR
• RPO: [1 hora] para dados de chaves
• Teste DR: Simulacro anual de failover para HSM secundário
• Documentação: Runbook de ativação de DR atualizado trimestralmente

Quando chaves criptográficas, certificados ou dispositivos contendo material criptográfico atingem o fim do seu ciclo de vida, devem ser destruídos de forma segura e irreversível.

9.1 Métodos de Destruição por Tipo

9.2 Processo de Destruição

1. Identificação: Listar todo o material criptográfico a destruir
2. Autorização: Aprovação por [CISO / Security Manager]
3. Verificação de Dependências: Confirmar que não existem dados dependentes da chave
4. Backup Verificado: Confirmar que não é necessário backup da chave (ou backup já existe)
5. Destruição: Executar método apropriado de destruição
6. Verificação: Confirmar destruição completa e irreversível
7. Documentação: Registar data, método, responsável, testemunha
8. Atualização de Inventário: Remover do inventário de chaves/certificados

9.3 Destruição de Dados Cifrados

Quando dados cifrados já não são necessários, a destruição pode ser realizada através de Cryptographic Erasure (destruição da chave de cifra), que é mais eficiente do que destruir os dados cifrados diretamente.

Requisitos para Cryptographic Erasure:

• Chave de cifra única (não reutilizada para outros dados)
• Algoritmo de cifra robusto (AES-256)
• Destruição irreversível da chave conforme 9.1
• Documentação da relação chave-dados destruída
• Período de retenção legal cumprido

9.4 Auditoria e Conformidade

• Registo Centralizado: Todas as destruições registadas em sistema de audit
• Certificados de Destruição: Arquivados por [7 anos]
• Revisão Anual: Auditoria de processos de destruição por [Auditoria Interna]
• Fornecedores Certificados: Destruição física por empresas certificadas ISO 27001 / NAID AAA

10.1 Requisitos de Conformidade

Esta política assegura conformidade com:

• NIS2 (UE) 2022/2555 - Artigo 21(2)(b): Medidas de criptografia para proteção de dados e sistemas
• ISO 27001:2022 - A.8.24: Uso de criptografia
• NIST SP 800-175B: Guideline for Using Cryptographic Standards
• NIST SP 800-57: Recommendation for Key Management
• RGPD - Artigo 32: Segurança do tratamento (cifra de dados pessoais)
• FIPS 140-2/3: Security Requirements for Cryptographic Modules
• eIDAS: Requisitos para assinaturas digitais qualificadas (se aplicável)

10.2 Monitorização e Métricas

10.3 Revisão da Política

• Frequência: Anualmente ou após alterações significativas em requisitos regulatórios
• Responsável: [CISO]
• Aprovação: [CEO / Board]
• Gatilhos de Revisão Extraordinária:
  • Descoberta de vulnerabilidade crítica em algoritmo aprovado
  • Novas diretrizes de agências reguladoras (ENISA, NIST, BSI)
  • Incidente de segurança envolvendo comprometimento criptográfico
  • Mudança de infraestrutura crítica (novos HSM, cloud migration)

10.4 Formação e Sensibilização

• Formação Obrigatória: Todos os administradores de sistemas com acesso a chaves devem completar formação anual em gestão criptográfica
• Sensibilização Geral: Sessões trimestrais para desenvolvedores sobre uso correto de bibliotecas criptográficas
• Certificações: Administradores PKI devem possuir certificação relevante (ex: [CISSP, CISM, ou similar])
• Documentação: Guias internos e runbooks mantidos atualizados em [Wiki/Confluence]

10.5 Exceções à Política

Exceções a esta política devem ser minimizadas e apenas concedidas em circunstâncias excecionais com justificação de negócio clara.

Processo de Exceção:

1. Pedido formal por escrito com justificação técnica e de negócio
2. Avaliação de risco pela equipa de segurança
3. Aprovação obrigatória por [CISO]
4. Documentação de controlos compensatórios
5. Prazo definido para regularização (máximo [180 dias])
6. Revisão trimestral do status de exceções ativas

10.6 Contactos e Responsabilidades