> Källa: https://complior.se/key-management/ KMS & HSM / Dataskydd & nyckelkontroll # Er nyckelkontroll. På svensk grund. Styr hur era krypteringsnycklar används och skyddas. Välj KMS, HSM och kontrollmodell för moln, SaaS och egna system. [Prata om er nyckelkontroll →](https://complior.se/contact/) [Jämför KMS och HSM ↓](https://complior.se/key-management/#km-services) - Publika moln - SaaS - Egen miljö Nyckeltjänst hos Complior KMS hanterar · HSM skyddar Konceptillustration. Kontrollmodell och stöd beror på integration. Nyckeltjänst på svensk grund KMS med HSM-baserat skydd Kontroll utifrån er integration Två delar av nyckelskyddet ## Hantera nycklarna. Skydda grunden. Med KMS styr ni nycklarnas livscykel och användning. HSM skyddar nyckelmaterial och kryptografiska operationer i hårdvara. Hos Complior kan delarna samverka. KMS Key Management Service ### Samla hantering och kontroll. Skapa, rotera, spärra och avveckla nycklar. Hantera behörigheter och policyer centralt, med loggar för uppföljning. [Se vad som ingår i KMS ↓](https://complior.se/key-management/#km-kms-delivery) HSM Hardware Security Module ### Skydda nyckelmaterial i hårdvara. En skyddad miljö för exempelvis signering, PKI och KMS-nycklar. Välj en egen partition, en dedikerad enhet eller placera er egen HSM hos oss. [Jämför HSM-leveranserna ↓](https://complior.se/key-management/#km-hsm) Complior KMS ### Er nyckelpolicy. Vi sköter plattformen. Få en logiskt isolerad kundmiljö i Thales CipherTrust Manager. Rot- och masternycklar skyddas med HSM. 01 #### Svensk plattformsdrift Complior sköter övervakning, underhåll, uppgraderingar och säkerhetskopiering på vår svenska infrastruktur. 02 #### Kontroll över användningen Ni bestämmer behörigheter, policyer och nycklarnas livscykel. Förvaltning av er KMS-miljö kan avtalas som tillval. 03 #### Utöka efter behov Välj till en dedikerad KMS-instans, molnnyckelhantering med CCKM, filkryptering med CTE eller stöd för integration och SIEM. Komponenter, licenser, support och omfattning fastställs för er leverans. Utgå från er miljö ## Flera miljöer. Rätt kontrollmodell. Utgå från tjänsterna och systemen ni redan använder. Se vilken nyckelkontroll varje integration kan ge er. PUBLIKA MOLN ### Molnets tjänster. Ert val av nyckelkontroll. Behåll arbetslasten i molnet och välj hur nycklarna ska hanteras. Extern nyckelhantering och import av egna nycklar är två olika modeller. [Se skillnaden mellan BYOK och HYOK ↓](https://complior.se/key-management/#km-models) AWS XKS: AWS KMS skickar kryptografiska begäranden till den externa nyckeltjänsten hos Complior. Azure BYOK: Eget nyckelmaterial importeras till Azure Key Vault eller Managed HSM och används där. Google Cloud EKM: Stödda tjänster ansluts till en extern nyckelhanterare genom CipherTrust. SAAS ### Nyckelkontroll där ni samarbetar. Skydda utvalda informationsflöden med en ansluten nyckeltjänst. Vilka data som omfattas och hur samarbete, sökning och klienter påverkas beror på lösningen. [Se informationsskydd med NC Protect →](https://complior.se/nc-protect/) Google Workspace CSE: Klientkryptering med extern nyckelhantering för de funktioner och licenser som stöder CSE. SharePoint med NC Encrypt: NC Encrypt Connector ansluter informationsskyddet till Complior KMS. Salesforce: CipherTrust har integrationsstöd. Nyckelmodell och licens väljs efter tjänsten. EGEN MILJÖ ### Gemensam hantering för era system. Anslut lagring, databaser och applikationer till centrala nycklar och policyer. Valet av gränssnitt och krypteringskomponent utgår från systemen ni har. Vi testar produktstöd, klientversion och återställning. KMIP kan distribuera nycklar till behöriga klienter. KMIP: Nyckelhantering för kompatibla lagrings-, backup- och virtualiseringssystem. REST API: Integrera nyckelfunktioner i era egna applikationer. CipherTrust Transparent Encryption: CTE ger agentbaserad filkryptering för stödda servrar, med centrala nycklar och policyer. COMPLIANT CLOUD ### Planera skyddet med plattformen. För system på Compliors infrastruktur kan nyckelhantering planeras tillsammans med plattform, säkerhetskopiering och drift. [Se Compliant Cloud →](https://complior.se/compliant-cloud/) System och data: Välj krypteringskomponenter utifrån era applikationer och datamängder. Separata roller: Skilj systemadministration från behörighet att hantera och använda nycklar. Samordnad återställning: Planera och testa att nycklar och säkerhetskopierade data kan återställas tillsammans. Integrationen avgör omfattningen. Vi verifierar tjänst, region, licens, version, svarstider och återställning. Complior driver nyckelplattformen. Ansvaret för era applikationer och externa moln- och SaaS-miljöer följer era övriga leverantörsavtal. Förstå nyckelkontrollen ## Var finns nyckelmaterialet? Egna nycklar kan användas på olika sätt. En viktig skillnad är om nyckelmaterialet tillförs molntjänsten eller hålls i en extern nyckeltjänst. BYOK · Bring Your Own Key ### Nyckeln används i molntjänsten. Ni tillför eget nyckelmaterial till en stödd molntjänst och kan styra delar av livscykeln. Utanför molntjänsten Er nyckelkälla Molntjänstens miljö Nyckelmaterial Data & applikation Import HYOK / extern nyckeltjänst ### Nyckeln hålls utanför molntjänsten. Nyckelmaterialet hålls i en extern nyckeltjänst som används via en stödd integration. Extern nyckeltjänst Nyckelmaterial Molntjänstens miljö Data & applikation Anrop Två principbilder. En extern huvudnyckel kan skydda datanycklar som används i molntjänsten. Integrationen avgör nycklarnas placering, var operationerna sker och vilken kontroll ni får. Nyckelkontroll är en del av dataskyddet. Det här verifierar vi för er integration ### BYOK - Import, kopior, rotation och radering av nyckelmaterial. - Vilka delar av livscykeln ni kan styra. BYOK innebär i sig inte att nyckelmaterialet stannar utanför molnet. ### Extern nyckeltjänst - Vilka operationer som sker externt och hur eventuella cacheminnen fungerar. - Vad som händer om anslutningen bryts och hur lösningen återställs. Hårdvaruskydd / Thales HSM ## HSM som tjänst. Skydda nycklar för PKI, signering och applikationer med Thales HSM i svenska datacenter. Ni väljer leveransmodell. Vi avlastar med hårdvarudrift enligt ert avtal. Exempel: digital signering Er applikation Begär signering Resultat tillbaka HSM Nyckel + signering Nyckeln används i den skyddade hårdvaran. ### Vilken leverans passar er? Tre modeller. Samma svenska grund. 01 #### Privat partition Er del Egen logisk del i delad hårdvara. Hårdvaran: Ingår i tjänsten Drift & underhåll: Complior 02 #### Dedikerad HSM För er En hel HSM, bara för er. Hårdvaran: Ingår i tjänsten Drift & underhåll: Complior 03 #### Er egen HSM Ni äger Er hårdvara. Hos Complior. Hårdvaran: Ägs av er Drift & underhåll: Enligt avtal Principbilder av leveransmodellerna. Drift, redundans och servicenivå beror på vald modell och avtal. ### Complior tar hand om hårdvaran. Fysisk miljö, övervakning och underhåll enligt vald leveransmodell. ### Ni styr hur nycklarna används. Nyckelpolicy, behörigheter och integration i era applikationer. Jämför drift, redundans och ansvar #### Privat partition Ni aktiverar er logiska partition. Den synkroniseras med en partition i ett geografiskt separat svenskt datacenter. Complior förvaltar hårdvaran enligt avtal. #### Dedikerad HSM Complior övervakar, underhåller och sköter den fysiska enheten. Backup och klusterlösning kan läggas till utifrån ert behov. #### Er egen HSM Ni äger utrustningen och placerar den i våra svenska datacenter. Övervakning och underhåll utformas enligt överenskommelse. Roller och rutiner för nyckelhantering dokumenteras vid införandet. Modell, kapacitet, support och servicenivå fastställs i den avtalade leveransen. Anslutning, teknik och införande #### Anslut där ni är Från er egen miljö, en annan leverantör eller Compliant Cloud. En HSM-klient och exempelvis PKCS#11 ansluter applikationen till hårdvaruskyddet. HSM kan skydda rot- och CA-nycklar för PKI, nycklar för digital signering och kodsignering samt vara förtroenderot för applikationer och KMS. #### Vi verifierar lösningen - HSM-klient, gränssnitt och algoritmer. - Kapacitet, svarstider, nätverk och autentisering. - Backup, återställning och redundans för vald modell. - HSM-modell och certifikatomfattning mot era krav. #### Från behov till drift - Välj modell och dokumentera ansvar och nyckelpolicy. - Etablera och anslut HSM-miljön. - Verifiera funktion, prestanda och återställning. - Gå igenom rutiner och nyckelceremoni vid behov. [Prata om er HSM-lösning →](https://complior.se/contact/) [Varför HSM som tjänst? →](https://complior.se/varfor-du-bor-overvaga-en-hsm-som-tjanst/) Ansvar & kontroll ## Kontroll som håller även i vardagen. Bestäm vem som får göra vad och hur arbetet ska följas upp. Vi hjälper er att planera ansvar och rutiner från införande till förvaltning. [Se ansvar och granskningsunderlag →](https://complior.se/trust/) - 01 ### Bestäm ansvar och behörigheter. Kartlägg systemen och besluta vilka som får administrera plattformen, hantera nycklar och godkänna känsliga åtgärder. Ansvar och support dokumenteras i leveransen. - 02 ### Konfigurera policy och livscykel. Sätt upp valda anslutningar och rutiner för skapande, användning, rotation och avveckling. Bevara nycklar som krävs för äldre data och säkerhetskopior. - 03 ### Verifiera i en pilot. Testa funktion, svarstider, avbrott och återställning innan införande. Nyckeltjänstens tillgänglighet kan påverka åtkomsten till skyddad information. - 04 ### Lämna över och följ upp. Utbilda administratörer och lämna över rutiner till förvaltningen. Kom överens om loggar, uppföljning och underlag för granskning. Vanliga frågor ## Inför ert vägval. Är KMS och HSM samma sak? Nej. KMS ger funktioner för att hantera nycklar och deras livscykel. HSM ger en skyddad hårdvarumiljö för nyckelmaterial och kryptografiska operationer. En KMS kan använda HSM som en del av sitt skydd. Måste våra data flyttas till Complior? Nyckelkontroll kan användas för data i andra miljöer genom stödda integrationer. Vi behöver bedöma den aktuella tjänsten och datatypen. Att ansluta en nyckeltjänst är inte samma sak som att flytta själva arbetslasten. Stannar alla nycklar i Sverige? Det beror på kontrollmodellen. Compliors nyckeltjänst har svensk grund, men BYOK kan innebära att nyckelmaterial importeras till en molnleverantör. Placering, kopior och användning ska beskrivas för varje integration. Kan vi stänga av åtkomsten genom att spärra en nyckel? En spärr kan stoppa framtida nyckelanvändning i den omfattning integrationen stödjer. Effekten beror bland annat på cache, redan dekrypterade data och applikationens beteende. Förloppet behöver verifieras före införande. Kan vi få en dedikerad KMS-miljö? Grundtjänsten ger en logiskt isolerad kundmiljö i Compliors CipherTrust-plattform. En dedikerad KMS-instans kan väljas som tillval. Det är ett annat val än en dedikerad fysisk HSM; vi dimensionerar delarna efter ert behov. Nyckelkontroll i praktiken ## Scrive. Moln och nycklar hos olika leverantörer. Scrive håller sina externa rotnycklar hos Complior, utanför AWS. Med Sovereign Keystore får nyckelkontrollen en separat plats från molntjänsten. [Läs kundcaset om Scrive →](https://complior.se/fallstudie/) [Läs Scrives egen beskrivning ↗](https://www.scrive.com/resources/trust-centre/scrive-sovereign-keystore) Guide ### Fördjupa er i nyckelhantering. En introduktion till KMS, kryptering och kontrollmodeller. [Till KMS-guiden →](https://complior.se/kms-nyckelhantering-kryptering/) Infrastruktur & drift ### En del av er tillitskedja. Kombinera nyckelkontroll med en svensk plattform för era system, där ansvar och driftåtagande går att följa. [Se Compliant Cloud →](https://complior.se/compliant-cloud/) Nästa steg ## Var behöver ni större nyckelkontroll? Börja med era viktigaste system och den information ni vill skydda. Tillsammans tar vi fram ett förslag på kontrollmodell, integration och ansvar. EN BRA START PÅ SAMTALET - Var finns informationen i dag? - Vilken kontroll behöver ni kunna visa? - Vilka system måste fungera vid ett avbrott? [Prata om er nyckelkontroll →](https://complior.se/contact/)