+Cryptographic Key Management and Lifecycle

Cryptographic Key Management and Lifecycle

Establish protocols for the proper use, protection, and lifecycle management of cryptographic keys. Define criteria for selecting cryptographic techniques and practices, incorporating best practices and industry standards. Employ mitigation and monitoring measures if adherence to these practices and standards is not possible. Outline requirements for managing and controlling cryptographic keys throughout their lifecycle, including generation, storage, backup, archiving, retrieval, transmission, retirement, revocation, and destruction. Establish methods to recover cryptographic keys in case of loss, compromise, or damage. Monitor crypto-analysis developments and, when necessary, update or change cryptographic technology. Implement mitigation and monitoring measures if changing or updating the cryptographic technology is not feasible. Maintain a register for all certificates and certificate storing devices.

1. Ülevaade

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud regulatsioonid

2. Tuvastatud nõuded

Nõuded

3. Seotud regulatsioonid

Regulatsioonid
EULAW Artikkel 6 1.
Finantssektori ettevõtjad töötavad määruse (EL) 2022/2554 artikli 9 lõikes 2 osutatud IKT turvalisuse põhimõtete, menetluste, protokollide ja vahendite osana välja ja dokumenteerivad krüptimise ja krüptokontrolli põhimõtted ning rakendavad neid.
EULAW Artikkel 6 2.

Finantssektori ettevõtjad võtavad lõikes 1 osutatud krüptimise ja krüptokontrolli põhimõtete kavandamisel aluseks heakskiidetud andmeliigituse ja IKT-riski hindamise tulemused. Kõnealused põhimõtted peavad sisaldama reegleid kõige järgmise kohta:

a) 

jõudeolekus ja edastatavate andmete krüptimine;

b) 

kasutatavate andmete krüptimine (vajaduse korral);

c) 

sisemiste võrguühenduste ja väliseid osalejaid hõlmava andmeedastuse krüptimine;

d) 

artiklis 7 osutatud krüptovõtmete haldamine, sealhulgas krüptovõtmete nõuetekohane kasutamine, kaitse ja olelusring.

Kui punkti b kohaldamisel ei ole kasutatavate andmete krüptimine võimalik, töötlevad finantssektori ettevõtjad kasutatavaid andmeid eraldatud ja kaitstud keskkonnas või võtavad samaväärseid meetmeid, mis tagavad andmete konfidentsiaalsuse, tervikluse, autentsuse ja kättesaadavuse.
EULAW Artikkel 6 3.
Finantssektori ettevõtjad lisavad lõikes 1 osutatud krüptimise ja krüptokontrolli põhimõtetesse krüptomeetodite ja kasutustavade valimise kriteeriumid, võttes arvesse juhtivaid tavasid ja määruse (EL) nr 1025/2012 artikli 2 punktis 1 määratletud standardeid ning määruse (EL) 2022/2554 artikli 8 lõike 1 kohast asjaomaste IKT-varade liigitust. Finantssektori ettevõtjad, kes ei ole võimelised järgima juhtivaid tavasid või standardeid või kasutama kõige usaldusväärsemaid meetodeid, võtavad vastu leevendus- ja seiremeetmed, millega tagatakse vastupidavus küberohtudele.
EULAW Artikkel 6 4.
Finantssektori ettevõtjad lisavad lõikes 1 osutatud krüptimise ja krüptokontrolli põhimõtetesse sätted krüptimistehnoloogia ajakohastamiseks või vajaduse korral muutmiseks krüptoanalüüsi valdkonnas toimuva arengu alusel. Selle ajakohastamise või muutmisega tagatakse, et krüptotehnoloogia jääb küberohtudele vastupidavaks, nagu on ette nähtud artikli 10 lõike 2 punktiga a. Finantssektori ettevõtjad, kes ei ole võimelised krüptotehnoloogiat ajakohastama või muutma, võtavad vastu leevendus- ja seiremeetmed, millega tagatakse vastupidavus küberohtudele.
EULAW Artikkel 6 5.
Finantssektori ettevõtjad lisavad lõikes 1 osutatud krüptimise ja krüptokontrolli põhimõtetesse nõude registreerida lõigete 3 ja 4 kohaste leevendus- ja seiremeetmete rakendamine ning esitada rakendamise põhjendatud selgitus.
EULAW Artikkel 7 1.
Finantssektori ettevõtjad lisavad artikli 6 lõike 2 punktis d osutatud krüptovõtmete haldamise põhimõtetesse nõuded, mis käsitlevad krüptovõtmete haldamist kogu nende olelusringi jooksul, sealhulgas nõuded krüptovõtmete loomise, uuendamise, talletamise, varundamise, arhiveerimise, otsimise, edastamise, kasutuselt kõrvaldamise, tühistamise ja hävitamise kohta.
EULAW Artikkel 7 2.
Finantssektori ettevõtjad määravad kindlaks kontrollid, et kaitsta krüptovõtmeid kogu nende olelusringi jooksul kaotsimineku, loata juurdepääsu, avalikustamise ja muutmise eest, ning rakendavad neid kontrolle. Finantssektori ettevõtjad võtavad nende kontrollide kavandamisel aluseks heakskiidetud andmeliigituse ja IKT-riski hindamise tulemused.
EULAW Artikkel 7 3.
Finantssektori ettevõtjad töötavad välja meetodid, et krüptovõti kaotsimineku, murdmise või kahjustumise korral asendada, ja rakendavad neid.
EULAW Artikkel 7 4.
Finantssektori ettevõtjad loovad kõigi sertifikaatide ja nende säilitamise seadmete registri vähemalt kriitilise tähtsusega või olulisi funktsioone toetavate IKT-varade jaoks ja haldavad seda. Finantssektori ettevõtjad ajakohastavad seda registrit.
EULAW Artikkel 7 5.
Finantssektori ettevõtjad tagavad sertifikaatide kiire uuendamise enne nende aegumist.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.