Política criptográfica y estándares aprobados

Una política criptográfica no es una frase que dice «usamos cifrado fuerte». El control de uso de la criptografía de ISO/IEC 27001:2022 pide reglas definidas e implementadas para su uso eficaz, y eso incluye la gestión de las claves. Una regla que un auditor pueda comprobar nombra tres listas: lo aprobado, lo heredado (permitido solo hasta una fecha) y lo prohibido, y dice quién puede aprobar una excepción y hasta cuándo.

Sin esas listas no hay contra qué medir: cualquier algoritmo parece correcto porque nadie dijo cuál no lo es.

La política de Ciruelo prohíbe versiones antiguas de TLS para el cifrado en tránsito. Abre politica_criptografica y usos_en_sistemas, y luego excepciones. El hallazgo más serio es un uso prohibido que no tiene ninguna excepción registrada: nadie lo evaluó ni lo aceptó.

Una excepción es una decisión de riesgo con fecha: mientras vale, el uso prohibido está aceptado; cuando vence, deja de estarlo y el sistema vuelve a incumplir. Dos usos prohibidos tienen excepción. Compara la fecha de vencimiento con la fecha de corte, el 31 de agosto de 2027.

Para el comité hace falta una cifra. Cuenta como conforme un uso cuyo algoritmo está en la lista de aprobados de su fila de la política. No cuentan los heredados (aunque estén permitidos hasta una fecha) ni los prohibidos con excepción.

Un algoritmo heredado es un permiso con fecha, no una aprobación. Dos usos de Ciruelo dependen de él hasta el 31 de diciembre de 2027. Faltan cuatro meses para esa fecha. Al comité no le sirve que se ignore ni que se apague de golpe lo que no se puede reemplazar a tiempo.