¿Qué exige este criterio?
Procedimientos formales para CADA fase del ciclo de vida de las claves criptográficas del servicio (no genéricos). La generación debe ser una ceremonia con doble control y custodios identificados; el almacenamiento, exclusivamente en HSM certificado; el uso, registrado en logs; la rotación, planificada antes del fin de vida; la destrucción, irreversible y documentada.

¿Qué hay que revisar al cliente?

• Procedimiento de cada fase del ciclo de vida.
• Acta(s) de ceremonia(s) de generación de claves del servicio.
• Logs del HSM donde se reflejan las operaciones críticas.
• Plan de rotación con calendario.
• Procedimiento de destrucción de clave al final de vida.
• Procedimiento de respuesta a compromiso de clave.

Preguntas clave para las entrevistas

• ¿Cuándo y cómo se generaron las claves del servicio? ¿Hay acta?
• ¿Quiénes son los custodios actuales?
• ¿Cuándo está prevista la próxima rotación de la clave del prestador?
• ¿Qué procedimiento sigue si se sospecha compromiso de clave?

¿Por qué es esencial para QERDS y TSA?
Las claves son el activo más sensible del servicio cualificado. Su compromiso invalida todo lo firmado/sellado con ellas. El procedimiento más auditado es la generación (asistencia presencial del CAB en el caso de QTSA). Sin documentación rigurosa, no hay cualificación posible.

Evidencia que demostraría conformidad

• Procedimientos por fase.
• Actas de ceremonia firmadas.
• Logs del HSM.
• Plan de rotación.
• Procedimiento de respuesta a compromiso.