In veel regelgeving is vastgelegd dat gevoelige informatie moet worden versleuteld. De klasse Gevoelige klantgegevens is van toepassing op alle informatie die als gevoelig wordt beschouwd. CXone streeft ernaar om alle data te versleutelen, op enkele uitzonderingen na. CXone hanteert de volgende richtlijnen voor algemene en specifieke versleuteling.
Richtlijnen voor algemene versleuteling
De richtlijnen voor algemene versleuteling voor het CXone-platform zijn als volgt:
- Klasse Gevoelige klantgegevens: deze informatie moet in transit en niet in transit op het gehele platform worden versleuteld. Hierop kunnen uitzonderingen zijn die zijn goedgekeurd door de beveiligingsgroep gebaseerd op de gevoeligheid van de informatie. Gevoelige klantgegevens moeten crypto-shredding ondersteunen. Op deze manier kan worden gegarandeerd dat ook back-ups geen informatie bevatten.
- Klasse Gebruik van klantgegevens: voor de volgende typen informatie is in transit wellicht geen versleuteling vereist:
Adresboekinformatie.
ANI-informatie.
E-mailadressen.
- Alle informatie: het is best practice in de branche om alle informatie in transit en niet in transit op het platform te versleutelen. Hierop kunnen uitzonderingen zijn die zijn goedgekeurd door de beveiligingsgroep gebaseerd op de gevoeligheid van de informatie. Deze richtlijn wordt op dit moment nog niet overal nageleefd. Hier wordt aan gewerkt, maar elke nieuwe service dient deze richtlijn na te leven.
Richtlijnen voor specifieke versleuteling
CXone dient de best practices in de branche te volgen met betrekking tot specifieke versleutelingstechnologieën. De volgende richtlijnen moeten ook worden gebruikt door CXone:
-
Bij versleuteling in transit, TLS 1.2 of hoger moet worden gebruikt. De details mogen niet in de code worden gespecificeerd. Deze moeten komen uit het besturingssysteem of andere configureerbare bronnen. Het doel van deze werkwijze is om voor R&D het eenvoudiger te maken om wijzigingen door te voeren.
-
Voor gevoelige klantgegevens moet een specifieke tenantsleutel worden gebruikt. Hierdoor is crypto-shredding mogelijk. Op deze manier wordt ook aan de verwachtingen van de
-
De rotatie van sleutels dient onderdeel te zijn van de onderliggende technologie (zoals AWS KMS) of moet worden ondersteund door het product.
-
Specifieke versleutelingscodes en sleutelbeheerprotocollen zijn niet verplicht. Maar wel geldt dat alleen algoritmes en protocollen die voldoen aan NIST-vereisten dienen te worden gebruikt. Deze moeten worden gebruikt met een sterkte gelijk aan AES-256.