+Cryptographic Key Management and Lifecycle

Cryptographic Key Management and Lifecycle

Establish protocols for the proper use, protection, and lifecycle management of cryptographic keys. Define criteria for selecting cryptographic techniques and practices, incorporating best practices and industry standards. Employ mitigation and monitoring measures if adherence to these practices and standards is not possible. Outline requirements for managing and controlling cryptographic keys throughout their lifecycle, including generation, storage, backup, archiving, retrieval, transmission, retirement, revocation, and destruction. Establish methods to recover cryptographic keys in case of loss, compromise, or damage. Monitor crypto-analysis developments and, when necessary, update or change cryptographic technology. Implement mitigation and monitoring measures if changing or updating the cryptographic technology is not feasible. Maintain a register for all certificates and certificate storing devices.

1. Преглед

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани регулации

2. Идентифицирани изисквания

Изисквания

3. Свързани регулации

Регулации
EULAW Article 6 1.
As part of their ICT security policies, procedures, protocols, and tools referred to in Article 9(2) of Regulation (EU) 2022/2554, financial entities shall develop, document, and implement a policy on encryption and cryptographic controls.
EULAW Член 6 2.

Финансовите субекти разработват посочената в параграф 1 политика относно криптирането и криптографските механизми за контрол въз основа на резултатите от одобрена класификация на данните и оценка на риска в областта на ИКТ. Посочената политика съдържа правила за всички изброени по-долу елементи:

а) 

криптиране на данните при тяхното съхранение и предаване;

б) 

криптиране на данните при тяхното използване, когато е необходимо;

в) 

криптиране на вътрешни мрежови връзки и пренос с външни страни;

г) 

посоченото в член 7 управление на криптографския ключ, с което се установяват правила за правилното използване, защитата и жизнения цикъл на криптографските ключове.

За целите на буква б), когато криптирането на използваните данни не е възможно, финансовите субекти обработват използваните данни в отделна и защитена среда или предприемат еквивалентни мерки, за да гарантират поверителността, цялостността, автентичността и наличността на данните.
EULAW Член 6 3.
Финансовите субекти включват в посочената в параграф 1 политика относно криптирането и криптографските механизми за контрол критерии за подбора на криптографски техники и практики за използване, като вземат предвид водещите практики и стандарти, определени в член 2, точка 1 от Регламент (ЕС) № 1025/2012, и класификацията на съответните активи на ИКТ, установена в съответствие с член 8, параграф 1 от Регламент (ЕС) 2022/2554. Финансовите субекти, които не са в състояние да се придържат към водещите практики или стандарти, или да използват най-надеждните техники, приемат мерки за намаляване на риска и за наблюдение, които гарантират устойчивост срещу киберзаплахи.
EULAW Член 6 4.
Финансовите субекти включват в посочената в параграф 1 политика относно криптирането и криптографските механизми за контрол разпоредби за актуализиране или промяна, когато това е необходимо, на криптографската технология въз основа на развитието в областта на криптоанализа. Тези актуализации или промени гарантират, че криптографската технология остава устойчива срещу киберзаплахи, както се изисква в член 10, параграф 2, буква а). Финансовите субекти, които не са в състояние да актуализират или променят криптографската технология, приемат мерки за намаляване на риска и за наблюдение, които гарантират устойчивост срещу киберзаплахи.
EULAW Член 6 5.
Финансовите субекти включват в посочената в параграф 1 политика относно криптирането и криптографските механизми за контрол изискване за документиране на приемането на мерки за намаляване на риска и за наблюдение, приети в съответствие с параграфи 3 и 4, и за предоставяне на аргументирано обяснение за това.
EULAW Член 7 1.
Финансовите субекти включват в политиката за управление на криптографски ключове, посочена в член 6, параграф 2, буква г), изисквания за управлението на криптографски ключове през целия им жизнен цикъл, включително генерирането, подновяването, съхраняването, запазването на резервни копия, архивирането, извличането, предаването, изтеглянето от употреба, отмяната и унищожаването на тези криптографски ключове.
EULAW Член 7 2.
Финансовите субекти установяват и прилагат механизми за контрол с цел защита на криптографските ключове през целия им жизнен цикъл срещу загуба, непозволен достъп, оповестяване и модификация. Финансовите субекти разработват тези механизми за контрол въз основа на резултатите от одобрено класифициране на данните и извършена оценка на риска в областта на ИКТ.
EULAW Член 7 3.
Финансовите субекти разработват и прилагат методи за замяна на криптографските ключове в случай на загуба, или когато тези ключове са компрометирани или повредени.
EULAW Член 7 4.
Финансовите субекти създават и поддържат регистър за всички сертификати и устройства за съхранение на сертификати поне за активи на ИКТ, поддържащи критични или важни функции. Финансовите субекти редовно актуализират този регистър.
EULAW Член 7 5.
Финансовите субекти гарантират бързото подновяване на сертификатите преди изтичането на валидността им.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.