Com base na NBR ISO/IEC 27001:2013, julgue o item que se segue. A política para gerenciamento de chaves pode contemplar, por exemplo, o tempo de vida das chaves criptográficas.

Gabarito

Certo

Comentário do professor

A afirmativa é correta porque a NBR ISO/IEC 27001:2013, no controle A.10.1.2, exige práticas para o gerenciamento de chaves que devem ser formalizadas em política.

Incluir o tempo de vida das chaves na política é uma medida esperada, pois limita o período em que uma chave é válida e reduz a janela de exposição a compromissos.

Na prática a política deve tratar geração, uso, armazenamento, controle de acesso, rotação/renovação e destruição das chaves, além de critérios para revogação e renovação com base em riscos e requisitos legais.

Portanto, prever o tempo de vida é coerente com a norma e contribui para a segurança e a gestão consistente das chaves criptográficas.