+Cryptographic Key Management and Lifecycle

Cryptographic Key Management and Lifecycle

Establish protocols for the proper use, protection, and lifecycle management of cryptographic keys. Define criteria for selecting cryptographic techniques and practices, incorporating best practices and industry standards. Employ mitigation and monitoring measures if adherence to these practices and standards is not possible. Outline requirements for managing and controlling cryptographic keys throughout their lifecycle, including generation, storage, backup, archiving, retrieval, transmission, retirement, revocation, and destruction. Establish methods to recover cryptographic keys in case of loss, compromise, or damage. Monitor crypto-analysis developments and, when necessary, update or change cryptographic technology. Implement mitigation and monitoring measures if changing or updating the cryptographic technology is not feasible. Maintain a register for all certificates and certificate storing devices.

1. Resumen

1.1 Referencias

1.2 Requisitos identificados

1.3 Regulaciones relacionadas

2. Requisitos identificados

Requisitos

3. Regulaciones relacionadas

Regulaciones
EULAW Artículo 6 1.
Dentro de las políticas, procedimientos, protocolos y herramientas en materia de seguridad de las TIC a que se refiere el artículo 9, apartado 2, del Reglamento (UE) 2022/2554, las entidades financieras elaborarán, documentarán y aplicarán una política de cifrado y controles criptográficos.
EULAW Artículo 6 2.

Las entidades financieras diseñarán la política de cifrado y controles criptográficos a que se refiere el apartado 1 basándose en los resultados de una clasificación de datos aprobada y una evaluación del riesgo relacionado con las TIC. Dicha política contendrá normas sobre todos los aspectos siguientes:

a) 

el cifrado de los datos en reposo y en tránsito;

b) 

el cifrado de los datos en uso, cuando proceda;

c) 

el cifrado de las conexiones de red internas y del tráfico con partes externas;

d) 

la gestión de claves criptográficas a que se refiere el artículo 7, con normas sobre el uso correcto, la protección y el ciclo de vida de esas claves.

A efectos de la letra b), cuando el cifrado de los datos en uso no sea posible, las entidades financieras tratarán tales datos en un entorno separado y protegido, o adoptarán medidas equivalentes para garantizar la confidencialidad, integridad, autenticidad y disponibilidad de los datos.
EULAW Artículo 6 3.
Las entidades financieras incluirán en la política de cifrado y controles criptográficos a que se refiere el apartado 1 criterios para la selección de técnicas y prácticas de uso en materia de criptografía, tomando en consideración las prácticas punteras y las normas definidas en el artículo 2, punto 1, del Reglamento (UE) n.o 1025/2012, así como la clasificación de los activos de TIC pertinentes establecida de conformidad con el artículo 8, apartado 1, del Reglamento (UE) 2022/2554. Las entidades financieras que no puedan adherirse a dichas prácticas punteras o normas, o utilizar las técnicas más fiables, adoptarán medidas de mitigación y de seguimiento que garanticen la resiliencia frente a las ciberamenazas.
EULAW Artículo 6 4.
Las entidades financieras incluirán en la política de cifrado y controles criptográficos a que se refiere el apartado 1 disposiciones para actualizar o modificar, en caso necesario, la tecnología criptográfica, a la luz de la evolución del criptoanálisis. Dichas actualizaciones o modificaciones garantizarán que se preserve la resiliencia de la tecnología criptográfica frente a las ciberamenazas, tal como se exige en el artículo 10, apartado 2, letra a). Las entidades financieras que no puedan actualizar o modificar la tecnología criptográfica adoptarán medidas de mitigación y de seguimiento que garanticen la resiliencia frente a las ciberamenazas.
EULAW Artículo 6 5.
Las entidades financieras incluirán en la política de cifrado y controles criptográficos a que se refiere el apartado 1 la obligación de registrar la adopción de medidas de mitigación y de seguimiento con arreglo a los apartados 3 y 4 y de proporcionar una explicación motivada al respecto.
EULAW Artículo 7 1.
Las entidades financieras incluirán en la política de gestión de claves criptográficas a que se refiere el artículo 6, apartado 2, letra d), requisitos relativos a la gestión de las claves criptográficas a lo largo de todo su ciclo de vida, en particular por lo que respecta a su generación, renovación, almacenamiento, copia de seguridad, archivo, recuperación, transmisión, retirada, revocación y destrucción.
EULAW Artículo 7 2.
Las entidades financieras determinarán y aplicarán controles para proteger las claves criptográficas a lo largo de todo su ciclo de vida contra la pérdida, el acceso no autorizado, la divulgación y la modificación. Las entidades financieras diseñarán dichos controles basándose en los resultados de la clasificación de datos aprobada y la evaluación del riesgo relacionado con las TIC.
EULAW Artículo 7 3.
Las entidades financieras elaborarán y aplicarán métodos para sustituir las claves criptográficas en caso de pérdida o cuando esas claves se vean comprometidas o resulten dañadas.
EULAW Artículo 7 4.
Las entidades financieras crearán y mantendrán un registro de todos los certificados y dispositivos de almacenamiento de certificados al menos para los activos de TIC que sustenten funciones esenciales o importantes. Las entidades financieras mantendrán actualizado dicho registro.
EULAW Artículo 7 5.
Las entidades financieras velarán por la rápida renovación de los certificados antes de su expiración.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.