FIPS 140-2 bis FIPS 140-3 Level 4. Die kryptografische Sicherheit eines Finanzinstituts wurde transformiert

Alle relevanten kryptografischen Module wurden katalogisiert, die Verschlüsselung (Daten im Ruhezustand, Daten während der Übertragung, Schlüssel- und Zertifikatsverwaltung) sowie die CP/CPS-Dokumente in On-Premise-, Cloud- und hybriden PKI-Umgebungen überprüft. In Stakeholder-Workshops wurde das Sicherheitsframework bewertet und ein anwendungsfallspezifischer Fahrplan mit kurz- und langfristigen Maßnahmen zur Behebung der Schwachstellen erstellt.

Die aktualisierten Sicherheitsrichtlinien umfassten kryptografische Kontrollen, das Schlüssellebenszyklusmanagement und die Datenklassifizierung mit modulspezifischen Sicherheitsanforderungen, Betriebsabläufen und Compliance-Prüfpunkten. Ein verschlüsseltes Protokollierungssystem und Richtlinien zur Lebenszyklussicherung regeln nun die Module während Entwicklung, Validierung, Bereitstellung und Betrieb.

Wir haben das Schlüsselmanagement anhand von fünf Elementen neu gestaltet: genehmigte, zufallsgenerierte Schlüsselgenerierung, TLS-1.3-Verteilung (AES, ChaCha20), obligatorische Nullsetzung, formeller Schlüsselwiderruf sowie definierte Rollen und Verantwortlichkeiten im Schlüssellebenszyklus. Wir schlugen die Zentralisierung auf einem HSM-gestützten Speicher mit regelmäßiger Rotation und identitätsbasierter Zugriffskontrolle vor.

Identitätsbasierte Multi-Faktor-Authentifizierung (MFA) wurde in allen Systemen implementiert, die mit kryptografischen Modulen interagieren: Wissen (Passwort oder PIN), Besitz (OTP oder Hardware-Token) und biometrische Faktoren. Wir berieten bei der Auswahl und Implementierung von MFA-Lösungen wie Sicherheitstoken und OTPs, wobei die Authentifizierungstoken an Benutzersitzungen gebunden sind, um jeden Zugriff nachvollziehbar zu machen.