+Data Encryption

Data Encryption

Define rules for encrypting data at rest, in transit, and, where applicable, in use, considering data classification and risk assessments. Specify procedures when encryption of data in use is not feasible, ensuring processing in a separate and protected environment or taking equivalent measures. Implement rules for encrypting internal network connections and traffic with external parties, aligned with data classification and risk assessments.

1. Επισκόπηση

Τίτλος	Πρότυπο

1.1 Παραπομπές

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικοί κανονισμοί

2. Εντοπισμένες απαιτήσεις

Απαιτήσεις
Πηγή	Απαίτηση

3. Σχετικοί κανονισμοί

Κανονισμοί
Πηγή	Κανονισμός
EULAW	Άρθρο 6 1. Στο πλαίσιο των πολιτικών, των διαδικασιών, των πρωτοκόλλων και των εργαλείων ασφάλειας ΤΠΕ που αναφέρονται στο άρθρο 9 παράγραφος 2 του κανονισμού (ΕΕ) 2022/2554, οι χρηματοοικονομικές οντότητες αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν πολιτική για την κρυπτογράφηση και τους κρυπτογραφικούς ελέγχους.
EULAW	Άρθρο 6 2. Οι χρηματοοικονομικές οντότητες σχεδιάζουν την πολιτική κρυπτογράφησης και κρυπτογραφικών ελέγχων που αναφέρεται στην παράγραφο 1 με βάση τα αποτελέσματα εγκεκριμένης κατηγοριοποίησης δεδομένων και αξιολόγησης κινδύνων ΤΠΕ. Η πολιτική αυτή περιλαμβάνει κανόνες για όλα τα ακόλουθα: α) την κρυπτογράφηση των δεδομένων σε κατάσταση αποθήκευσης και διαβίβασης· β) την κρυπτογράφηση των δεδομένων σε κατάσταση χρήσης, εφόσον απαιτείται· γ) την κρυπτογράφηση των συνδέσεων εσωτερικού δικτύου και της κίνησης με εξωτερικούς φορείς· δ) τη διαχείριση κρυπτογραφικών κλειδιών που αναφέρεται στο άρθρο 7, με καθορισμό κανόνων για την ορθή χρήση, την προστασία και τον κύκλο ζωής των κρυπτογραφικών κλειδιών. Για τους σκοπούς του στοιχείου β), όταν δεν είναι δυνατή η κρυπτογράφηση των δεδομένων σε κατάσταση χρήσης, οι χρηματοοικονομικές οντότητες επεξεργάζονται τα δεδομένα σε κατάσταση χρήσης σε χωριστό και προστατευόμενο περιβάλλον ή λαμβάνουν ισοδύναμα μέτρα για τη διασφάλιση της εμπιστευτικότητας, της ακεραιότητας, της γνησιότητας και της διαθεσιμότητας των δεδομένων.
EULAW	Άρθρο 6 3. Στην πολιτική για την κρυπτογράφηση και τους κρυπτογραφικούς ελέγχους που αναφέρεται στην παράγραφο 1 οι χρηματοοικονομικές οντότητες περιλαμβάνουν κριτήρια για την επιλογή τεχνικών κρυπτογράφησης και πρακτικών χρήσης, λαμβάνοντας υπόψη τις κορυφαίες πρακτικές και τα πρότυπα, όπως ορίζονται στο άρθρο 2 σημείο 1) του κανονισμού (ΕΕ) αριθ. 1025/2012, και την ταξινόμηση των σχετικών πόρων ΤΠΕ που καθορίζεται σύμφωνα με το άρθρο 8 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554. Οι χρηματοοικονομικές οντότητες που δεν είναι σε θέση να τηρούν τις κορυφαίες πρακτικές ή τα πρότυπα ή να χρησιμοποιούν τις πλέον αξιόπιστες τεχνικές θεσπίζουν μέτρα μετριασμού και παρακολούθησης που διασφαλίζουν την ανθεκτικότητα έναντι των κυβερνοαπειλών.
EULAW	Άρθρο 6 4. Στην πολιτική για την κρυπτογράφηση και τους κρυπτογραφικούς ελέγχους που αναφέρεται στην παράγραφο 1 οι χρηματοοικονομικές οντότητες περιλαμβάνουν διατάξεις για την επικαιροποίηση ή τη μεταβολή, κατά περίπτωση, της κρυπτογραφικής τεχνολογίας με βάση τις εξελίξεις στην κρυπτανάλυση. Με τις εν λόγω επικαιροποιήσεις ή αλλαγές διασφαλίζεται ότι η κρυπτογραφική τεχνολογία παραμένει ανθεκτική έναντι των κυβερνοαπειλών, όπως απαιτείται από το άρθρο 10 παράγραφος 2 στοιχείο α). Οι χρηματοοικονομικές οντότητες που δεν είναι σε θέση να επικαιροποιήσουν ή να αλλάξουν την κρυπτογραφική τεχνολογία θεσπίζουν μέτρα μετριασμού και παρακολούθησης που διασφαλίζουν την ανθεκτικότητα έναντι των κυβερνοαπειλών.
EULAW	Άρθρο 6 5. Στην πολιτική για την κρυπτογράφηση και τους κρυπτογραφικούς ελέγχους που αναφέρεται στην παράγραφο 1 οι χρηματοοικονομικές οντότητες περιλαμβάνουν απαίτηση για την καταγραφή της θέσπισης μέτρων μετριασμού και παρακολούθησης που θεσπίζονται σύμφωνα με τις παραγράφους 3 και 4 και για την παροχή της σχετικής αιτιολογημένης εξήγησης.
EULAW	Άρθρο 7 1. Στην πολιτική διαχείρισης κρυπτογραφικών κλειδιών που αναφέρεται στο άρθρο 6 παράγραφος 2 στοιχείο δ) οι χρηματοοικονομικές οντότητες περιλαμβάνουν απαιτήσεις για τη διαχείριση κρυπτογραφικών κλειδιών καθ’ όλη τη διάρκεια του κύκλου ζωής τους, συμπεριλαμβανομένης της δημιουργίας, ανανέωσης, αποθήκευσης, υποστήριξης, αρχειοθέτησης, ανάκτησης, διαβίβασης, απόσυρσης, ανάκλησης και καταστροφής των εν λόγω κρυπτογραφικών κλειδιών.
EULAW	Άρθρο 7 2. Οι χρηματοοικονομικές οντότητες προσδιορίζουν και εφαρμόζουν ελέγχους για την προστασία των κρυπτογραφικών κλειδιών καθ’ όλη τη διάρκεια του κύκλου ζωής τους από απώλεια, μη εξουσιοδοτημένη πρόσβαση, γνωστοποίηση και τροποποίηση. Οι χρηματοοικονομικές οντότητες σχεδιάζουν τους εν λόγω ελέγχους με βάση τα αποτελέσματα εγκεκριμένης κατηγοριοποίησης δεδομένων και της αξιολόγησης κινδύνων ΤΠΕ.
EULAW	Άρθρο 7 3. Οι χρηματοοικονομικές οντότητες αναπτύσσουν και εφαρμόζουν μεθόδους για την αντικατάσταση των κρυπτογραφικών κλειδιών σε περίπτωση απώλειας ή εφόσον τα εν λόγω κλειδιά εκτίθενται σε κίνδυνο ή υφίστανται ζημία.
EULAW	Άρθρο 7 4. Οι χρηματοοικονομικές οντότητες δημιουργούν και τηρούν μητρώο για όλα τα πιστοποιητικά και τις συσκευές αποθήκευσης πιστοποιητικών τουλάχιστον για τους πόρους ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες. Οι χρηματοοικονομικές οντότητες ενημερώνουν το εν λόγω μητρώο.
EULAW	Άρθρο 7 5. Οι χρηματοοικονομικές οντότητες διασφαλίζουν την άμεση ανανέωση των πιστοποιητικών πριν από τη λήξη τους.

NOREA -
EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.