+Data Encryption

Data Encryption

Define rules for encrypting data at rest, in transit, and, where applicable, in use, considering data classification and risk assessments. Specify procedures when encryption of data in use is not feasible, ensuring processing in a separate and protected environment or taking equivalent measures. Implement rules for encrypting internal network connections and traffic with external parties, aligned with data classification and risk assessments.

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související regulace

2. Identifikované požadavky

Požadavky

3. Související regulace

Regulace
EULAW Článek 6 1.
V rámci svých politik, postupů, protokolů a nástrojů v oblasti bezpečnosti IKT uvedených v čl. 9 odst. 2 nařízení (EU) 2022/2554 finanční subjekty vypracují, zdokumentují a zavedou politiku šifrování a kryptografických kontrol.
EULAW Článek 6 2.

Finanční subjekty navrhnou politiku šifrování a kryptografických kontrol uvedenou v odstavci 1 na základě výsledků schválené klasifikace dat a posuzování rizika v oblasti IKT. Tato politika obsahuje pravidla pro všechny následující oblasti:

a) 

šifrování údajů během jejich uchovávání a přenosu;

b) 

v případě potřeby šifrování údajů během jejich používání;

c) 

šifrování interních síťových připojení a provozu s externími stranami;

d) 

správa kryptografických klíčů uvedená v článku 7, v jejímž rámci jsou stanovena pravidla pro správné používání, ochranu a životní cyklus kryptografických klíčů.

Pro účely písmene b), pokud šifrování údajů během jejich používání není možné, zpracovávají finanční subjekty údaje během jejich používání v odděleném a chráněném prostředí nebo přijmou rovnocenná opatření k zajištění důvěrnosti, integrity, hodnověrnosti a dostupnosti údajů.
EULAW Článek 6 3.
Finanční subjekty zahrnou do politiky šifrování a kryptografických kontrol uvedené v odstavci 1 kritéria pro výběr kryptografických technik a postupy jejich používání s přihlédnutím k osvědčeným postupům a normám podle čl. 2 bodu 1 nařízení (EU) č. 1025/2012 a ke klasifikaci příslušných aktiv v oblasti IKT stanovené v souladu s čl. 8 odst. 1 nařízení (EU) 2022/2554. Finanční subjekty, které nejsou schopny dodržovat osvědčené postupy či normy nebo používat nejspolehlivější techniky, musí přijmout opatření ke zmírnění a monitorování, která zajistí odolnost vůči kybernetickým hrozbám.
EULAW Článek 6 4.
Finanční subjekty zahrnou do politiky šifrování a kryptografických kontrol uvedené v odstavci 1 ustanovení o případné aktualizaci nebo změně kryptografické technologie na základě vývoje v oblasti kryptoanalýzy. Tyto aktualizace nebo změny zajistí, aby kryptografická technologie zůstala odolná vůči kybernetickým hrozbám, jak požaduje čl. 10 odst. 2 písm. a). Finanční subjekty, které nejsou schopny aktualizovat nebo změnit kryptografickou technologii, přijmou opatření ke zmírnění a monitorování, která zajistí odolnost proti kybernetickým hrozbám.
EULAW Článek 6 5.
Finanční subjekty zahrnou do politiky šifrování a kryptografických kontrol uvedené v odstavci 1 požadavek na vedení záznamů o přijetí opatření ke zmírnění a sledování přijatých v souladu s odstavci 3 a 4 s uvedením důvodů, proč tak učinily.
EULAW Článek 7 1.
Finanční subjekty zahrnou do politiky správy kryptografických klíčů uvedené v čl. 6 odst. 2 písm. d) požadavky na správu kryptografických klíčů v průběhu celého jejich životního cyklu, včetně generování, obnovování, ukládání, zálohování, archivace, vyhledávání, předávání, vyřazování, odvolávání a likvidace těchto kryptografických klíčů.
EULAW Článek 7 2.
Finanční subjekty určí a zavedou kontrolní mechanismy na ochranu kryptografických klíčů během celého jejich životního cyklu před ztrátou, neoprávněným přístupem, zveřejněním a modifikací. Finanční subjekty navrhnou tyto kontrolní mechanismy na základě výsledků schválené klasifikace dat a posuzování rizika v oblasti IKT.
EULAW Článek 7 3.
Finanční subjekty vypracují a zavedou metody pro nahrazování kryptografických klíčů v případě jejich ztráty nebo v případě, že jsou tyto klíče narušeny či poškozeny.
EULAW Článek 7 4.
Finanční subjekty vytvoří a vedou registr všech certifikátů a zařízení pro uchovávání certifikátů alespoň pro aktiva v oblasti IKT, jež podporují zásadní nebo důležité funkce. Tento registr finanční subjekty pravidelně aktualizují.
EULAW Článek 7 5.
Finanční subjekty zajistí včasné obnovení certifikátů před uplynutím doby jejich platnosti.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.