+Cryptographic Key Management and Lifecycle

Cryptographic Key Management and Lifecycle

Establish protocols for the proper use, protection, and lifecycle management of cryptographic keys. Define criteria for selecting cryptographic techniques and practices, incorporating best practices and industry standards. Employ mitigation and monitoring measures if adherence to these practices and standards is not possible. Outline requirements for managing and controlling cryptographic keys throughout their lifecycle, including generation, storage, backup, archiving, retrieval, transmission, retirement, revocation, and destruction. Establish methods to recover cryptographic keys in case of loss, compromise, or damage. Monitor crypto-analysis developments and, when necessary, update or change cryptographic technology. Implement mitigation and monitoring measures if changing or updating the cryptographic technology is not feasible. Maintain a register for all certificates and certificate storing devices.

1. Επισκόπηση

Τίτλος	Πρότυπο

1.1 Παραπομπές

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικοί κανονισμοί

2. Εντοπισμένες απαιτήσεις

Απαιτήσεις
Πηγή	Απαίτηση

3. Σχετικοί κανονισμοί

Κανονισμοί
Πηγή	Κανονισμός
EULAW	Άρθρο 6 1. Στο πλαίσιο των πολιτικών, των διαδικασιών, των πρωτοκόλλων και των εργαλείων ασφάλειας ΤΠΕ που αναφέρονται στο άρθρο 9 παράγραφος 2 του κανονισμού (ΕΕ) 2022/2554, οι χρηματοοικονομικές οντότητες αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν πολιτική για την κρυπτογράφηση και τους κρυπτογραφικούς ελέγχους.
EULAW	Άρθρο 6 2. Οι χρηματοοικονομικές οντότητες σχεδιάζουν την πολιτική κρυπτογράφησης και κρυπτογραφικών ελέγχων που αναφέρεται στην παράγραφο 1 με βάση τα αποτελέσματα εγκεκριμένης κατηγοριοποίησης δεδομένων και αξιολόγησης κινδύνων ΤΠΕ. Η πολιτική αυτή περιλαμβάνει κανόνες για όλα τα ακόλουθα: α) την κρυπτογράφηση των δεδομένων σε κατάσταση αποθήκευσης και διαβίβασης· β) την κρυπτογράφηση των δεδομένων σε κατάσταση χρήσης, εφόσον απαιτείται· γ) την κρυπτογράφηση των συνδέσεων εσωτερικού δικτύου και της κίνησης με εξωτερικούς φορείς· δ) τη διαχείριση κρυπτογραφικών κλειδιών που αναφέρεται στο άρθρο 7, με καθορισμό κανόνων για την ορθή χρήση, την προστασία και τον κύκλο ζωής των κρυπτογραφικών κλειδιών. Για τους σκοπούς του στοιχείου β), όταν δεν είναι δυνατή η κρυπτογράφηση των δεδομένων σε κατάσταση χρήσης, οι χρηματοοικονομικές οντότητες επεξεργάζονται τα δεδομένα σε κατάσταση χρήσης σε χωριστό και προστατευόμενο περιβάλλον ή λαμβάνουν ισοδύναμα μέτρα για τη διασφάλιση της εμπιστευτικότητας, της ακεραιότητας, της γνησιότητας και της διαθεσιμότητας των δεδομένων.
EULAW	Άρθρο 6 3. Στην πολιτική για την κρυπτογράφηση και τους κρυπτογραφικούς ελέγχους που αναφέρεται στην παράγραφο 1 οι χρηματοοικονομικές οντότητες περιλαμβάνουν κριτήρια για την επιλογή τεχνικών κρυπτογράφησης και πρακτικών χρήσης, λαμβάνοντας υπόψη τις κορυφαίες πρακτικές και τα πρότυπα, όπως ορίζονται στο άρθρο 2 σημείο 1) του κανονισμού (ΕΕ) αριθ. 1025/2012, και την ταξινόμηση των σχετικών πόρων ΤΠΕ που καθορίζεται σύμφωνα με το άρθρο 8 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554. Οι χρηματοοικονομικές οντότητες που δεν είναι σε θέση να τηρούν τις κορυφαίες πρακτικές ή τα πρότυπα ή να χρησιμοποιούν τις πλέον αξιόπιστες τεχνικές θεσπίζουν μέτρα μετριασμού και παρακολούθησης που διασφαλίζουν την ανθεκτικότητα έναντι των κυβερνοαπειλών.
EULAW	Άρθρο 6 4. Στην πολιτική για την κρυπτογράφηση και τους κρυπτογραφικούς ελέγχους που αναφέρεται στην παράγραφο 1 οι χρηματοοικονομικές οντότητες περιλαμβάνουν διατάξεις για την επικαιροποίηση ή τη μεταβολή, κατά περίπτωση, της κρυπτογραφικής τεχνολογίας με βάση τις εξελίξεις στην κρυπτανάλυση. Με τις εν λόγω επικαιροποιήσεις ή αλλαγές διασφαλίζεται ότι η κρυπτογραφική τεχνολογία παραμένει ανθεκτική έναντι των κυβερνοαπειλών, όπως απαιτείται από το άρθρο 10 παράγραφος 2 στοιχείο α). Οι χρηματοοικονομικές οντότητες που δεν είναι σε θέση να επικαιροποιήσουν ή να αλλάξουν την κρυπτογραφική τεχνολογία θεσπίζουν μέτρα μετριασμού και παρακολούθησης που διασφαλίζουν την ανθεκτικότητα έναντι των κυβερνοαπειλών.
EULAW	Άρθρο 6 5. Στην πολιτική για την κρυπτογράφηση και τους κρυπτογραφικούς ελέγχους που αναφέρεται στην παράγραφο 1 οι χρηματοοικονομικές οντότητες περιλαμβάνουν απαίτηση για την καταγραφή της θέσπισης μέτρων μετριασμού και παρακολούθησης που θεσπίζονται σύμφωνα με τις παραγράφους 3 και 4 και για την παροχή της σχετικής αιτιολογημένης εξήγησης.
EULAW	Άρθρο 7 1. Στην πολιτική διαχείρισης κρυπτογραφικών κλειδιών που αναφέρεται στο άρθρο 6 παράγραφος 2 στοιχείο δ) οι χρηματοοικονομικές οντότητες περιλαμβάνουν απαιτήσεις για τη διαχείριση κρυπτογραφικών κλειδιών καθ’ όλη τη διάρκεια του κύκλου ζωής τους, συμπεριλαμβανομένης της δημιουργίας, ανανέωσης, αποθήκευσης, υποστήριξης, αρχειοθέτησης, ανάκτησης, διαβίβασης, απόσυρσης, ανάκλησης και καταστροφής των εν λόγω κρυπτογραφικών κλειδιών.
EULAW	Άρθρο 7 2. Οι χρηματοοικονομικές οντότητες προσδιορίζουν και εφαρμόζουν ελέγχους για την προστασία των κρυπτογραφικών κλειδιών καθ’ όλη τη διάρκεια του κύκλου ζωής τους από απώλεια, μη εξουσιοδοτημένη πρόσβαση, γνωστοποίηση και τροποποίηση. Οι χρηματοοικονομικές οντότητες σχεδιάζουν τους εν λόγω ελέγχους με βάση τα αποτελέσματα εγκεκριμένης κατηγοριοποίησης δεδομένων και της αξιολόγησης κινδύνων ΤΠΕ.
EULAW	Άρθρο 7 3. Οι χρηματοοικονομικές οντότητες αναπτύσσουν και εφαρμόζουν μεθόδους για την αντικατάσταση των κρυπτογραφικών κλειδιών σε περίπτωση απώλειας ή εφόσον τα εν λόγω κλειδιά εκτίθενται σε κίνδυνο ή υφίστανται ζημία.
EULAW	Άρθρο 7 4. Οι χρηματοοικονομικές οντότητες δημιουργούν και τηρούν μητρώο για όλα τα πιστοποιητικά και τις συσκευές αποθήκευσης πιστοποιητικών τουλάχιστον για τους πόρους ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες. Οι χρηματοοικονομικές οντότητες ενημερώνουν το εν λόγω μητρώο.
EULAW	Άρθρο 7 5. Οι χρηματοοικονομικές οντότητες διασφαλίζουν την άμεση ανανέωση των πιστοποιητικών πριν από τη λήξη τους.

NOREA -
EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.