Muitos regulamentos exigem a criptografia de informações confidenciais. A classe Informações confidenciais do cliente cobre todas as informações que são consideradas confidenciais. O CXone tenta criptografar todos os dados, com algumas exceções. O CXone usa as diretrizes de criptografia gerais e específicas a seguir.
Diretrizes gerais de criptografia
As diretrizes gerais de criptografia da plataforma CXone são:
- Classe de informações confidenciais do cliente: Essas informações devem ser criptografadas em trânsito e em repouso ao longo da plataforma. As exceções a esta regra geral podem ser aprovadas pelo grupo de governança de segurança com base na confidencialidade das informações. As informações confidenciais do cliente devem permitir a destruição de criptografia. Isso garantirá que até os backups não retenham informações.
- Classe de informações de uso do cliente: Os seguintes tipos de informações podem não exigir criptografia em movimento:
Informações do Catálogo de Endereços.
Informações do ANI.
Endereços de e-mail.
- Todas as informações: Por uma questão de prática recomendada do setor, todas as informações devem ser criptografadas tanto em trânsito quanto em repouso na plataforma. As exceções a esta regra geral podem ser aprovadas pelo grupo de governança de segurança com base na confidencialidade das informações. Existem muitos exemplos onde esta diretriz não é seguida hoje. Isso será resolvido ao longo do tempo, mas qualquer novo serviço deve seguir essa diretriz.
Diretrizes específicas de criptografia
O CXone deve seguir as práticas recomendadas do setor em relação a tecnologias de criptografia específicas. As seguintes diretrizes também devem ser usadas pelo CXone:
-
Para criptografia em trânsito, TLS 1.2 ou posterior deve ser usado. Os detalhes não devem ser especificados no código. Eles devem ser herdados do sistema operacional ou de outras fontes configuráveis. O objetivo dessa prática é minimizar o esforço de P&D quando mudanças precisam ser feitas.
-
Para Informações confidenciais do cliente, uma chave específica do locatário deve ser usada. Isso permite a destruição de criptografia. Também atende às expectativas do(a)
-
A rotação de chaves deve fazer parte da tecnologia subjacente (como AWS KMS) ou suportada pelo produto.
-
Cifras de criptografia específicas e protocolos de gerenciamento de chave não são obrigatórios. No entanto, apenas algoritmos e protocolos que atendam aos requisitos do NIST devem ser usados. Eles devem ser usados com uma potência equivalente a AES-256.