+Data Encryption

Data Encryption

Define rules for encrypting data at rest, in transit, and, where applicable, in use, considering data classification and risk assessments. Specify procedures when encryption of data in use is not feasible, ensuring processing in a separate and protected environment or taking equivalent measures. Implement rules for encrypting internal network connections and traffic with external parties, aligned with data classification and risk assessments.

1. Ülevaade

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud regulatsioonid

2. Tuvastatud nõuded

Nõuded

3. Seotud regulatsioonid

Regulatsioonid
EULAW Artikkel 6 1.
Finantssektori ettevõtjad töötavad määruse (EL) 2022/2554 artikli 9 lõikes 2 osutatud IKT turvalisuse põhimõtete, menetluste, protokollide ja vahendite osana välja ja dokumenteerivad krüptimise ja krüptokontrolli põhimõtted ning rakendavad neid.
EULAW Artikkel 6 2.

Finantssektori ettevõtjad võtavad lõikes 1 osutatud krüptimise ja krüptokontrolli põhimõtete kavandamisel aluseks heakskiidetud andmeliigituse ja IKT-riski hindamise tulemused. Kõnealused põhimõtted peavad sisaldama reegleid kõige järgmise kohta:

a) 

jõudeolekus ja edastatavate andmete krüptimine;

b) 

kasutatavate andmete krüptimine (vajaduse korral);

c) 

sisemiste võrguühenduste ja väliseid osalejaid hõlmava andmeedastuse krüptimine;

d) 

artiklis 7 osutatud krüptovõtmete haldamine, sealhulgas krüptovõtmete nõuetekohane kasutamine, kaitse ja olelusring.

Kui punkti b kohaldamisel ei ole kasutatavate andmete krüptimine võimalik, töötlevad finantssektori ettevõtjad kasutatavaid andmeid eraldatud ja kaitstud keskkonnas või võtavad samaväärseid meetmeid, mis tagavad andmete konfidentsiaalsuse, tervikluse, autentsuse ja kättesaadavuse.
EULAW Artikkel 6 3.
Finantssektori ettevõtjad lisavad lõikes 1 osutatud krüptimise ja krüptokontrolli põhimõtetesse krüptomeetodite ja kasutustavade valimise kriteeriumid, võttes arvesse juhtivaid tavasid ja määruse (EL) nr 1025/2012 artikli 2 punktis 1 määratletud standardeid ning määruse (EL) 2022/2554 artikli 8 lõike 1 kohast asjaomaste IKT-varade liigitust. Finantssektori ettevõtjad, kes ei ole võimelised järgima juhtivaid tavasid või standardeid või kasutama kõige usaldusväärsemaid meetodeid, võtavad vastu leevendus- ja seiremeetmed, millega tagatakse vastupidavus küberohtudele.
EULAW Artikkel 6 4.
Finantssektori ettevõtjad lisavad lõikes 1 osutatud krüptimise ja krüptokontrolli põhimõtetesse sätted krüptimistehnoloogia ajakohastamiseks või vajaduse korral muutmiseks krüptoanalüüsi valdkonnas toimuva arengu alusel. Selle ajakohastamise või muutmisega tagatakse, et krüptotehnoloogia jääb küberohtudele vastupidavaks, nagu on ette nähtud artikli 10 lõike 2 punktiga a. Finantssektori ettevõtjad, kes ei ole võimelised krüptotehnoloogiat ajakohastama või muutma, võtavad vastu leevendus- ja seiremeetmed, millega tagatakse vastupidavus küberohtudele.
EULAW Artikkel 6 5.
Finantssektori ettevõtjad lisavad lõikes 1 osutatud krüptimise ja krüptokontrolli põhimõtetesse nõude registreerida lõigete 3 ja 4 kohaste leevendus- ja seiremeetmete rakendamine ning esitada rakendamise põhjendatud selgitus.
EULAW Artikkel 7 1.
Finantssektori ettevõtjad lisavad artikli 6 lõike 2 punktis d osutatud krüptovõtmete haldamise põhimõtetesse nõuded, mis käsitlevad krüptovõtmete haldamist kogu nende olelusringi jooksul, sealhulgas nõuded krüptovõtmete loomise, uuendamise, talletamise, varundamise, arhiveerimise, otsimise, edastamise, kasutuselt kõrvaldamise, tühistamise ja hävitamise kohta.
EULAW Artikkel 7 2.
Finantssektori ettevõtjad määravad kindlaks kontrollid, et kaitsta krüptovõtmeid kogu nende olelusringi jooksul kaotsimineku, loata juurdepääsu, avalikustamise ja muutmise eest, ning rakendavad neid kontrolle. Finantssektori ettevõtjad võtavad nende kontrollide kavandamisel aluseks heakskiidetud andmeliigituse ja IKT-riski hindamise tulemused.
EULAW Artikkel 7 3.
Finantssektori ettevõtjad töötavad välja meetodid, et krüptovõti kaotsimineku, murdmise või kahjustumise korral asendada, ja rakendavad neid.
EULAW Artikkel 7 4.
Finantssektori ettevõtjad loovad kõigi sertifikaatide ja nende säilitamise seadmete registri vähemalt kriitilise tähtsusega või olulisi funktsioone toetavate IKT-varade jaoks ja haldavad seda. Finantssektori ettevõtjad ajakohastavad seda registrit.
EULAW Artikkel 7 5.
Finantssektori ettevõtjad tagavad sertifikaatide kiire uuendamise enne nende aegumist.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.