Después del intervalo de tiempo de Cryptoperiod, ¿necesitamos cifrar todos los datos nuevamente?

Bueno, ya que volver a cifrar todos los datos podría ser una molestia en el ... Hay diferentes enfoques para esto (lo que se conoce como "gestión de secretos"):

• Nivel de seguridad bajo : solo tiene una lista de sus claves privadas y, si necesita obtener datos antiguos, puede usar la clave antigua.
• Nivel de seguridad medio : igual que el nivel bajo, pero antes de dejar toda la información cifrada con la clave antigua, cada vez que acceda al secreto, lo volverá a cifrar con la clave válida y lo eliminará. tu viejo secreto.
• Alta seguridad / datos confidenciales : sí, tienes que volver a cifrar todos tus secretos. (Podría ser extremadamente costoso).

Como generalmente recomiendo, no intentes exagerar y no elijas "volver a cifrar" de forma predeterminada, considera plantearte las siguientes preguntas:

1. ¿Sus datos son confidenciales de una manera que pone a su empresa en riesgo si se divulga?
2. ¿Es razonable la cantidad de tiempo para volver a cifrar sus datos? (Mientras tanto, si vuelve a cifrar sus datos, es posible que no tenga disponibilidad de ellos).
3. ¿La información también expira con el criptoperiodo?
4. ¿Están tus llaves suficientemente protegidas?
5. ¿Se ha equilibrado el nivel de criptoperiodo / clave?

[Editar (mejorando la respuesta según lo sugerido por @LucasKauffman]

Mi respuesta tiene que ver con el PCI-DSS (secciones 3.5-3.6) y tienes que leer Cuídelos cuidadosamente para asegurarse de que comprende completamente cómo poner en práctica estos métodos. No los pegaré aquí ya que está protegido por derechos de autor (está disponible gratuitamente en su página web).

El PCI-DSS no contiene los puntos exactos que he hecho, pero está implícito en el documento si lo lee con atención. Preste especial atención a la columna "orientación".

(Siéntase libre de agregar cualquier corrección de gramática / sintaxis ya que el inglés no es mi lengua materna).