+Data Encryption

Data Encryption

Define rules for encrypting data at rest, in transit, and, where applicable, in use, considering data classification and risk assessments. Specify procedures when encryption of data in use is not feasible, ensuring processing in a separate and protected environment or taking equivalent measures. Implement rules for encrypting internal network connections and traffic with external parties, aligned with data classification and risk assessments.

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät säädökset

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät säädökset

Säädökset
EULAW 6 artikla 1.
Finanssiyhteisöjen on osana asetuksen (EU) 2022/2554 9 artiklan 2 kohdassa tarkoitettuja TVT-turvallisuutta koskevia toimintaperiaatteitaan, menettelyjään, protokolliaan ja välineitään laadittava, dokumentoitava ja otettava käyttöön salausta ja salaustekniikkaa hyödyntävää valvontaa koskevat toimintaperiaatteet.
EULAW 6 artikla 2.

Finanssiyhteisöjen on suunniteltava 1 kohdassa tarkoitetut salausta ja salaustekniikkaa hyödyntävää valvontaa koskevat toimintaperiaatteet hyväksytyn datan luokittelun ja TVT-riskinarvioinnin tulosten perusteella. Toimintaperiaatteisiin on sisällyttävä säännöt kaikista seuraavista:

a) 

tietojen salaus levossa ja siirtämisen aikana;

b) 

tietojen salaus käsittelyn aikana tarpeen mukaan;

c) 

sisäisten verkkoyhteyksien ja ulkopuolisten osapuolten kanssa käytävän liikenteen salaaminen;

d) 

jäljempänä 7 artiklassa tarkoitettu salausavaimen hallinta niin, että vahvistetaan salausavaimien asianmukaista käyttöä, suojaamista ja elinkaarta koskevat säännöt.

Jos tietojen salaaminen käsittelyn aikana ei ole mahdollista, finanssiyhteisöjen on b alakohtaa soveltaessaan käsiteltävä tietoja erillisessä ja suojatussa ympäristössä tai toteutettava vastaavat toimenpiteet tietojen luottamuksellisuuden, eheyden, aitouden ja saatavuuden varmistamiseksi.
EULAW 6 artikla 3.
Finanssiyhteisöjen on sisällytettävä 1 kohdassa tarkoitettuihin salausta ja salaustekniikkaa hyödyntävää valvontaa koskeviin toimintaperiaatteisiin salaustekniikoiden ja käyttötapojen valintaa koskevat kriteerit ottaen huomioon johtavat käytännöt ja asetuksen (EU) N:o 1025/2012 2 artiklan 1 alakohdassa määritellyt standardit sekä asetuksen (EU) 2022/2554 8 artiklan 1 kohdan mukaisesti vahvistettu asiaankuuluvan TVT-omaisuuden luokittelu. Finanssiyhteisöjen, jotka eivät pysty noudattamaan johtavia käytäntöjä tai standardeja tai käyttämään luotettavimpia tekniikoita, on otettava käyttöön lieventämis- ja seurantatoimenpiteitä, joilla varmistetaan kyberuhkien sietokyky.
EULAW 6 artikla 4.
Finanssiyhteisöjen on sisällytettävä 1 kohdassa tarkoitettuihin salausta ja salaustekniikkaa hyödyntävää valvontaa koskeviin toimintaperiaatteisiin määräykset salausteknologian päivittämisestä tai muuttamisesta tarvittaessa salauksen ratkonnan kehityksen perusteella. Näillä päivityksillä tai muutoksilla on varmistettava, että salausteknologian kyberuhkien sietokyky säilyy, kuten 10 artiklan 2 kohdan a alakohdassa edellytetään. Finanssiyhteisöjen, jotka eivät pysty päivittämään tai muuttamaan salausteknologiaa, on otettava käyttöön lieventämis- ja seurantatoimenpiteitä, joilla varmistetaan kyberuhkien sietokyky.
EULAW 6 artikla 5.
Finanssiyhteisöjen on sisällytettävä 1 kohdassa tarkoitettuihin salausta ja salaustekniikkaa hyödyntävää valvontaa koskeviin toimintaperiaatteisiin vaatimus 3 ja 4 kohdan mukaisesti hyväksyttyjen lieventämis- ja seurantatoimenpiteiden käyttöönoton kirjaamisesta ja käyttöönoton perustelemisesta.
EULAW 7 artikla 1.
Finanssiyhteisöjen on sisällytettävä 6 artiklan 2 kohdan d alakohdassa tarkoitettuihin salausavainten hallintaa koskeviin toimintaperiaatteisiin vaatimukset salausavainten hallinnasta niiden koko elinkaaren ajan, mukaan lukien salausavainten tuottaminen, uusiminen, tallentaminen, varmuuskopiointi, arkistointi, haku, siirto, käytöstä poistaminen, peruuttaminen ja tuhoaminen.
EULAW 7 artikla 2.
Finanssiyhteisöjen on määritettävä ja toteutettava valvontatoimenpiteitä salausavainten suojaamiseksi katoamiselta, luvattomalta käytöltä, luovuttamiselta ja muuttamiselta niiden koko elinkaaren ajan. Finanssiyhteisöjen on suunniteltava kyseiset valvontatoimenpiteet hyväksyttyjen datan luokittelun ja TVT-riskinarvioinnin tulosten perusteella.
EULAW 7 artikla 3.
Finanssiyhteisöjen on laadittava ja otettava käyttöön menetelmät salausavainten korvaamiseksi, jos avaimet katoavat, vaarantuvat tai vahingoittuvat.
EULAW 7 artikla 4.
Finanssiyhteisöjen on perustettava rekisteri vähintään kaikista kriittisiä tai tärkeitä toimintoja tukevia TVT-omaisuuseriä koskevista sertifioinneista ja sertifikaattien tallennuslaitteista ja pidettävä sitä yllä. Finanssiyhteisöjen on pidettävä kyseinen rekisteri ajan tasalla.
EULAW 7 artikla 5.
Finanssiyhteisöjen on varmistettava sertifiointien pikainen uusiminen ennen niiden voimassaolon päättymistä.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.