+Encrypting Data In Transit
|
Encrypting Data In Transit
Description
Cryptographic mechanisms exist to prevent the unauthorized disclosure of data in transit.
Possible Solutions & Considerations
Micro-Small Business (<10 staff) / BLS Firm Size Classes 1-2
∙ NIST Cryptographic Module Validation Program (CMVP) (https://csrc.nist.gov)
∙ Transport Layer Security (TLS)
∙ IPSec encryption
∙ Encrypted Multiprotocol Label Switching (MPLS)
Small Business (10-49 staff) / BLS Firm Size Classes 3-4
∙ NIST Cryptographic Module Validation Program (CMVP) (https://csrc.nist.gov)
∙ Transport Layer Security (TLS)
∙ IPSec encryption
∙ Encrypted Multiprotocol Label Switching (MPLS)
Medium Business (50-249 staff) / BLS Firm Size Classes 5-6
∙ NIST Cryptographic Module Validation Program (CMVP) (https://csrc.nist.gov)
∙ Transport Layer Security (TLS)
∙ IPSec encryption
∙ Encrypted Multiprotocol Label Switching (MPLS)
Large Business (250-999 staff) / BLS Firm Size Classes 7-8
∙ NIST Cryptographic Module Validation Program (CMVP) (https://csrc.nist.gov)
∙ Transport Layer Security (TLS)
∙ IPSec encryption
∙ Encrypted Multiprotocol Label Switching (MPLS)
Enterprise (> 1,000 staff) / BLS Firm Size Class 9
∙ NIST Cryptographic Module Validation Program (CMVP) (https://csrc.nist.gov)
∙ Transport Layer Security (TLS)
∙ IPSec encryption
∙ Encrypted Multiprotocol Label Switching (MPLS)
SCR-CMM
Level 0 Not Performed
Practices are non-existent, based on the inability to demonstrate an implemented and operational capability. A reasonable person would conclude the control is not being performed.
Level 1 Performed Informally
Cryptographic Protections (CRY) domain capabilities are ad hoc and inconsistent. Capability criteria associated with this control may include:
▪ Policies, standards & procedures associated with CRY domain capabilities provide limited coverage due to the depth and breadth of the existing documentation.
▪ Cryptography management-related activities are decentralized (e.g., a localized/regionalized function) and uses non-standardized methods to implement secure, resilient and compliant practices.
▪ IT and/or cybersecurity personnel provide an encryption solution (software or hardware) for the storage of sensitive/regulated data.
▪ Sensitive/regulated data is encrypted in transit according to standardized processes.
Level 2 Planned Tracked
Cryptographic Protections (CRY) capabilities are requirements-driven, but are not standardized across the entity (e.g., local/regional level consistency). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with CRY domain capabilities are formally documented and centrally-managed by the entity.
▪ Standardized Operating Procedures (SOP) associated with CRY domain capabilities are documented and maintained by process owners.
▪ IT and/or cybersecurity personnel work with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with CRY domain capabilities to address applicable statutory, regulatory and/or contractual requirements for Technology Assets, Applications, Services and/or Data (TAASD).
▪ Cryptographic management controls-related controls are primarily administrative and preventative in nature (e.g., policies, standards and procedures & guidelines).
▪ Cryptographic management may be a defined function (e.g., team or department) or assigned as an additional duty to existing IT and/or cybersecurity personnel.
▪ Technology Assets, Applications and/or Services (TAAS) that store, process or transmit sensitive/regulated data use cryptographic mechanisms to prevent unauthorized disclosure of information as an alternate to physical safeguards.
▪ External compliance requirements for cryptography are identified and documented, based on applicable laws, regulations and contractual obligations.
▪ IT and/or cybersecurity personnel work with business stakeholders and process owners to implement cryptographic mechanisms that are applicability for statutory, regulatory and/or contractual compliance obligations.
▪ Sensitive/regulated data is encrypted at rest using cryptographic protections that are commensurate with the sensitivity of the data.
▪ Sensitive/regulated data is encrypted during transmission using cryptographic protections that are commensurate with the sensitivity of the data.
Level 3 Well Defined
Cryptographic Protections (CRY) capabilities are standardized across the entity for applicability to People, Processes, Technologies, Data and/or Facilities (PPTDF) to ensure consistency for Technology Assets, Applications, Services and/or Data (TAASD). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with CRY domain capabilities are formally documented and centrally-managed by the entity's Governance, Risk & Compliance (GRC) team, or similar function.
▪ Standardized Operating Procedures (SOP) associated with CRY domain capabilities are well-documented and kept current by process owners.
▪ A security engineering team, or similar function, is appropriately staffed and supported to implement and maintain CRY domain capabilities.
▪ Technology is leveraged to enhance the efficiency and accuracy of cryptographic protections operations (e.g., PKI management tool).
▪ The entity's Governance, Risk & Compliance (GRC) team, or similar function, works with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with CRY domain capabilities to address Minimum Compliance Requirements (MCR) (e.g., applicable statutory, regulatory and/or contractual requirements) and Discretionary Security Requirements (DSR) (e.g., entity-required controls).
▪ An implemented and operational cryptographic capability exists to protect the confidentiality of data being transmitted.
Level 4 Quantitatively Controlled
Cryptographic Protections (CRY) capabilities, in addition to being standardized across the entity and centrally managed to ensure consistency across Technology Assets, Applications, Services and/or Data (TAASD), efforts are metrics driven to provide sufficient insight for decision makers to predict optimal performance, ensure continued operations and/or identify areas for improvement. Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Applicable SCR-CMM Level 3 (Well Defined) capabilities are implemented and operational.
▪ Metrics reporting includes quantitative analysis of Key Performance Indicators (KPIs).
▪ Metrics reporting includes quantitative analysis of Key Risk Indicators (KRIs).
▪ Scope of metrics, KPIs and KRIs covers organization-wide cybersecurity and data protection controls, including functions performed by third-parties.
▪ Organizational leadership maintains a formal process to objectively review and respond to metrics, KPIs and KRIs (e.g., monthly or quarterly review).
▪ Based on metrics analysis, process improvement recommendations are submitted for review and are handled in accordance with change control processes.
▪ Business and technical stakeholders are involved in reviewing and approving proposed changes to evolve capabilities.
Level 5 Continuously Improving
Utilize SCR-CMM Level 3 or Level 4 (if available) criteria definitions:
▪ There are no defined Level 5 criteria, since it is reasonable to assume a continuously-improving process is not necessary to operationalize this control.
▪ Level 5 capabilities should be considered “world-class” where the control builds on Level 4 capabilities, but are continuously improving through Artificial Intelligence (AI) and/or Machine Learning (ML) technologies.
▪ While it may be possible to develop responsive capabilities for this control through the use of AI and/or ML technologies, the criteria would be organization-specific to define.
1. Επισκόπηση
1.1 Παραπομπές
1.2 Εντοπισμένες απαιτήσεις
1.3 Σχετικοί κανονισμοί
2. Εντοπισμένες απαιτήσεις
3. Σχετικοί κανονισμοί
Κανονισμοί
| Πηγή |
Κανονισμός |
|
EULAW
|
Άρθρο 6 Κρυπτογράφηση και κρυπτογραφικοί έλεγχοι
|
|
EULAW
|
Άρθρο 6 Κρυπτογράφηση και κρυπτογραφικοί έλεγχοι
|
|
EULAW
|
Άρθρο 13 Διαχείριση ασφάλειας δικτύου
Άρθρο 13
Διαχείριση ασφάλειας δικτύου
Οι χρηματοοικονομικές οντότητες, στο πλαίσιο των διασφαλίσεων που εγγυώνται την ασφάλεια των δικτύων έναντι εισβολών και κατάχρησης δεδομένων, αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν πολιτικές, διαδικασίες, πρωτόκολλα και εργαλεία για τη διαχείριση της ασφάλειας δικτύου, μεταξύ άλλων όλα τα ακόλουθα:
α)
τον διαχωρισμό και την κατάτμηση των συστημάτων και δικτύων ΤΠΕ, λαμβάνοντας υπόψη:
i)
την κρισιμότητα ή τη σημασία της λειτουργίας την οποία υποστηρίζουν τα εν λόγω συστήματα και δίκτυα ΤΠΕ·
ii)
την ταξινόμηση που καθορίζεται σύμφωνα με το άρθρο 8 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554·
iii)
το συνολικό προφίλ κινδύνου των πόρων ΤΠΕ οι οποίοι χρησιμοποιούν τα εν λόγω συστήματα και δίκτυα ΤΠΕ·
β)
την τεκμηρίωση όλων των συνδέσεων δικτύου και των ροών δεδομένων της χρηματοοικονομικής οντότητας·
γ)
τη χρήση χωριστού και ειδικού δικτύου για τη διαχείριση των πόρων ΤΠΕ·
δ)
τον προσδιορισμό και την εφαρμογή ελέγχων πρόσβασης στο δίκτυο για την πρόληψη και τον εντοπισμό συνδέσεων στο δίκτυο της χρηματοοικονομικής οντότητας από οποιαδήποτε μη εγκεκριμένη συσκευή ή σύστημα, ή τελικό σημείο που δεν πληροί τις απαιτήσεις ασφαλείας της χρηματοοικονομικής οντότητας·
ε)
την κρυπτογράφηση συνδέσεων δικτύου που διέρχονται μέσω εταιρικών δικτύων, δημόσιων δικτύων, εγχώριων δικτύων, δικτύων τρίτων και ασύρματων δικτύων, για τα χρησιμοποιούμενα πρωτόκολλα επικοινωνίας, με συνεκτίμηση των αποτελεσμάτων της εγκεκριμένης κατηγοριοποίησης δεδομένων, των αποτελεσμάτων της αξιολόγησης κινδύνων ΤΠΕ και της κρυπτογράφησης των συνδέσεων δικτύου που αναφέρονται στο άρθρο 6 παράγραφος 2·
στ)
τον σχεδιασμό δικτύων σύμφωνα με τις απαιτήσεις ασφάλειας ΤΠΕ που έχει θεσπίσει η χρηματοοικονομική οντότητα, με συνεκτίμηση κορυφαίων πρακτικών για τη διασφάλιση της εμπιστευτικότητας, της ακεραιότητας και της διαθεσιμότητας του δικτύου·
ζ)
τη διασφάλιση της κίνησης στο δίκτυο μεταξύ των εσωτερικών δικτύων και του διαδικτύου και άλλων εξωτερικών συνδέσεων·
η)
τον προσδιορισμό των ρόλων και των αρμοδιοτήτων και των βημάτων για τον καθορισμό, την εφαρμογή, την έγκριση, την αλλαγή και την επανεξέταση των κανόνων του τείχους προστασίας και των φίλτρων σύνδεσης·
θ)
τη διενέργεια επανεξετάσεων της αρχιτεκτονικής δικτύου και του σχεδιασμού ασφάλειας δικτύου μία φορά ετησίως και περιοδικά για τις πολύ μικρές επιχειρήσεις, για τον εντοπισμό πιθανών ευπαθειών·
ι)
τα μέτρα για την προσωρινή απομόνωση, κατά περίπτωση, των υποδικτύων και των στοιχείων και συσκευών δικτύου·
ια)
την εφαρμογή βάσης αναφοράς ασφαλούς διαμόρφωσης όλων των στοιχείων του δικτύου και τη θωράκιση του δικτύου και των συσκευών δικτύου σύμφωνα με τυχόν οδηγίες του προμηθευτή, κατά περίπτωση, με πρότυπα, όπως ορίζονται στο άρθρο 2 σημείο 1) του κανονισμού (ΕΕ) αριθ. 1025/2012, και με κορυφαίες πρακτικές·
ιβ)
τις διαδικασίες περιορισμού, κλειδώματος και τερματισμού λειτουργίας συστημάτων και των απομακρυσμένων περιόδων λειτουργίας μετά από συγκεκριμένη περίοδο αδράνειας·
ιγ)
όσον αφορά τις συμφωνίες υπηρεσιών δικτύου:
i)
τον προσδιορισμό και την εξειδίκευση των μέτρων ασφάλειας ΤΠΕ και πληροφοριών, των επιπέδων υπηρεσιών και των απαιτήσεων διαχείρισης όλων των υπηρεσιών δικτύου·
ii)
αν οι εν λόγω υπηρεσίες παρέχονται από ενδοομιλικό πάροχο υπηρεσιών ΤΠΕ ή από τρίτους παρόχους υπηρεσιών ΤΠΕ.
Για τους σκοπούς του στοιχείου η), οι χρηματοοικονομικές οντότητες διενεργούν την επανεξέταση των κανόνων του τείχους προστασίας και των φίλτρων σύνδεσης σε τακτική βάση σύμφωνα με την ταξινόμηση που καθορίζεται σύμφωνα με το άρθρο 8 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554 και το συνολικό προφίλ κινδύνου των σχετικών συστημάτων ΤΠΕ. Για τα συστήματα ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, οι χρηματοοικονομικές οντότητες επαληθεύουν την επάρκεια των υφιστάμενων κανόνων του τείχους προστασίας και των φίλτρων σύνδεσης τουλάχιστον κάθε 6 μήνες.
|
|
EULAW
|
Άρθρο 14 Διασφάλιση των πληροφοριών σε κατάσταση διαβίβασης
|
|
EULAW
|
Άρθρο 14 Διασφάλιση των πληροφοριών σε κατάσταση διαβίβασης
|
|
EULAW
|
Άρθρο 35 Ασφάλεια δεδομένων, συστημάτων και δικτύων
Άρθρο 35
Ασφάλεια δεδομένων, συστημάτων και δικτύων
Οι χρηματοοικονομικές οντότητες που αναφέρονται στο άρθρο 16 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554, στο πλαίσιο των συστημάτων, των πρωτοκόλλων και των εργαλείων τους, αναπτύσσουν και εφαρμόζουν διασφαλίσεις που εγγυώνται την ασφάλεια των δικτύων από εισβολές και κατάχρηση δεδομένων και που διατηρούν τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα και την εμπιστευτικότητα των δεδομένων. Ειδικότερα, οι χρηματοοικονομικές οντότητες, λαμβάνοντας υπόψη την ταξινόμηση που αναφέρεται στο άρθρο 30 παράγραφος 1 του παρόντος κανονισμού, καθορίζουν όλα τα ακόλουθα:
α)
τον προσδιορισμό και την εφαρμογή μέτρων για την προστασία των δεδομένων σε κατάσταση χρήσης, διαβίβασης και αποθήκευσης·
β)
τον προσδιορισμό και την εφαρμογή μέτρων ασφαλείας σχετικά με τη χρήση λογισμικού, μέσων αποθήκευσης δεδομένων, συστημάτων και συσκευών τελικού σημείου που διαβιβάζουν και αποθηκεύουν τα δεδομένα της χρηματοοικονομικής οντότητας·
γ)
τον προσδιορισμό και την εφαρμογή μέτρων για την πρόληψη και τον εντοπισμό μη εγκεκριμένων συνδέσεων στο δίκτυο της χρηματοοικονομικής οντότητας, καθώς και για τη διασφάλιση της κίνησης δικτύου μεταξύ των εσωτερικών δικτύων της χρηματοοικονομικής οντότητας και του διαδικτύου και άλλων εξωτερικών συνδέσεων·
δ)
τον προσδιορισμό και την εφαρμογή μέτρων που διασφαλίζουν τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα και την εμπιστευτικότητα των δεδομένων κατά τη διάρκεια των διαβιβάσεων δικτύου·
ε)
τη διαδικασία για την ασφαλή διαγραφή δεδομένων που υπάρχουν στις εγκαταστάσεις ή αποθηκεύονται εξωτερικά και που η χρηματοοικονομική οντότητα δεν χρειάζεται πλέον να συλλέγει ή να αποθηκεύει·
στ)
τη διαδικασία για την ασφαλή απόρριψη ή τον παροπλισμό συσκευών αποθήκευσης δεδομένων σε εγκαταστάσεις ή συσκευών αποθήκευσης δεδομένων που αποθηκεύονται εξωτερικά, οι οποίες περιέχουν εμπιστευτικές πληροφορίες·
ζ)
τον προσδιορισμό και την εφαρμογή μέτρων για να διασφαλίζεται ότι η τηλεργασία και η χρήση ιδιωτικών συσκευών τελικού σημείου δεν επηρεάζουν αρνητικά την ικανότητα της χρηματοοικονομικής οντότητας να εκτελεί τις κρίσιμες δραστηριότητές της επαρκώς, έγκαιρα και με ασφάλεια.
|
|
EULAW
|
Άρθρο 35 Ασφάλεια δεδομένων, συστημάτων και δικτύων
Άρθρο 35
Ασφάλεια δεδομένων, συστημάτων και δικτύων
Οι χρηματοοικονομικές οντότητες που αναφέρονται στο άρθρο 16 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554, στο πλαίσιο των συστημάτων, των πρωτοκόλλων και των εργαλείων τους, αναπτύσσουν και εφαρμόζουν διασφαλίσεις που εγγυώνται την ασφάλεια των δικτύων από εισβολές και κατάχρηση δεδομένων και που διατηρούν τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα και την εμπιστευτικότητα των δεδομένων. Ειδικότερα, οι χρηματοοικονομικές οντότητες, λαμβάνοντας υπόψη την ταξινόμηση που αναφέρεται στο άρθρο 30 παράγραφος 1 του παρόντος κανονισμού, καθορίζουν όλα τα ακόλουθα:
α)
τον προσδιορισμό και την εφαρμογή μέτρων για την προστασία των δεδομένων σε κατάσταση χρήσης, διαβίβασης και αποθήκευσης·
β)
τον προσδιορισμό και την εφαρμογή μέτρων ασφαλείας σχετικά με τη χρήση λογισμικού, μέσων αποθήκευσης δεδομένων, συστημάτων και συσκευών τελικού σημείου που διαβιβάζουν και αποθηκεύουν τα δεδομένα της χρηματοοικονομικής οντότητας·
γ)
τον προσδιορισμό και την εφαρμογή μέτρων για την πρόληψη και τον εντοπισμό μη εγκεκριμένων συνδέσεων στο δίκτυο της χρηματοοικονομικής οντότητας, καθώς και για τη διασφάλιση της κίνησης δικτύου μεταξύ των εσωτερικών δικτύων της χρηματοοικονομικής οντότητας και του διαδικτύου και άλλων εξωτερικών συνδέσεων·
δ)
τον προσδιορισμό και την εφαρμογή μέτρων που διασφαλίζουν τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα και την εμπιστευτικότητα των δεδομένων κατά τη διάρκεια των διαβιβάσεων δικτύου·
ε)
τη διαδικασία για την ασφαλή διαγραφή δεδομένων που υπάρχουν στις εγκαταστάσεις ή αποθηκεύονται εξωτερικά και που η χρηματοοικονομική οντότητα δεν χρειάζεται πλέον να συλλέγει ή να αποθηκεύει·
στ)
τη διαδικασία για την ασφαλή απόρριψη ή τον παροπλισμό συσκευών αποθήκευσης δεδομένων σε εγκαταστάσεις ή συσκευών αποθήκευσης δεδομένων που αποθηκεύονται εξωτερικά, οι οποίες περιέχουν εμπιστευτικές πληροφορίες·
ζ)
τον προσδιορισμό και την εφαρμογή μέτρων για να διασφαλίζεται ότι η τηλεργασία και η χρήση ιδιωτικών συσκευών τελικού σημείου δεν επηρεάζουν αρνητικά την ικανότητα της χρηματοοικονομικής οντότητας να εκτελεί τις κρίσιμες δραστηριότητές της επαρκώς, έγκαιρα και με ασφάλεια.
|
Συνδεδεμένα ζητήματα
- Secure Controls Framework -
EN: GRCA includes the Secure Controls Framework® (SCF) content, © Secure Controls Framework Council, LLC, used under the Creative Commons Attribution-NoDerivatives 4.0 International Public License. SCF control numbers, names, descriptions and mappings appear exactly as published by the SCF Council – https://securecontrolsframework.com. GRCA may group or reorder SCF content for display, which does not change SCF content; the mappings are shown as links to the frameworks they name. Learn more at https://securecontrolsframework.com.
DE: GRCA enthält Inhalte des Secure Controls Framework® (SCF), © Secure Controls Framework Council, LLC, genutzt unter der Creative Commons Attribution-NoDerivatives 4.0 International Public License. Nummern, Namen, Beschreibungen und Zuordnungen der SCF-Controls erscheinen genau so, wie der SCF Council sie veröffentlicht – https://securecontrolsframework.com. GRCA gruppiert oder sortiert SCF-Inhalte für die Anzeige, ohne sie zu verändern; die Zuordnungen erscheinen als Verknüpfungen zu den genannten Regelwerken. Mehr unter https://securecontrolsframework.com.
|