+Cryptographic Key Management and Lifecycle

Cryptographic Key Management and Lifecycle

Establish protocols for the proper use, protection, and lifecycle management of cryptographic keys. Define criteria for selecting cryptographic techniques and practices, incorporating best practices and industry standards. Employ mitigation and monitoring measures if adherence to these practices and standards is not possible. Outline requirements for managing and controlling cryptographic keys throughout their lifecycle, including generation, storage, backup, archiving, retrieval, transmission, retirement, revocation, and destruction. Establish methods to recover cryptographic keys in case of loss, compromise, or damage. Monitor crypto-analysis developments and, when necessary, update or change cryptographic technology. Implement mitigation and monitoring measures if changing or updating the cryptographic technology is not feasible. Maintain a register for all certificates and certificate storing devices.

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät säädökset

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät säädökset

Säädökset
EULAW 6 artikla 1.
Finanssiyhteisöjen on osana asetuksen (EU) 2022/2554 9 artiklan 2 kohdassa tarkoitettuja TVT-turvallisuutta koskevia toimintaperiaatteitaan, menettelyjään, protokolliaan ja välineitään laadittava, dokumentoitava ja otettava käyttöön salausta ja salaustekniikkaa hyödyntävää valvontaa koskevat toimintaperiaatteet.
EULAW 6 artikla 2.

Finanssiyhteisöjen on suunniteltava 1 kohdassa tarkoitetut salausta ja salaustekniikkaa hyödyntävää valvontaa koskevat toimintaperiaatteet hyväksytyn datan luokittelun ja TVT-riskinarvioinnin tulosten perusteella. Toimintaperiaatteisiin on sisällyttävä säännöt kaikista seuraavista:

a) 

tietojen salaus levossa ja siirtämisen aikana;

b) 

tietojen salaus käsittelyn aikana tarpeen mukaan;

c) 

sisäisten verkkoyhteyksien ja ulkopuolisten osapuolten kanssa käytävän liikenteen salaaminen;

d) 

jäljempänä 7 artiklassa tarkoitettu salausavaimen hallinta niin, että vahvistetaan salausavaimien asianmukaista käyttöä, suojaamista ja elinkaarta koskevat säännöt.

Jos tietojen salaaminen käsittelyn aikana ei ole mahdollista, finanssiyhteisöjen on b alakohtaa soveltaessaan käsiteltävä tietoja erillisessä ja suojatussa ympäristössä tai toteutettava vastaavat toimenpiteet tietojen luottamuksellisuuden, eheyden, aitouden ja saatavuuden varmistamiseksi.
EULAW 6 artikla 3.
Finanssiyhteisöjen on sisällytettävä 1 kohdassa tarkoitettuihin salausta ja salaustekniikkaa hyödyntävää valvontaa koskeviin toimintaperiaatteisiin salaustekniikoiden ja käyttötapojen valintaa koskevat kriteerit ottaen huomioon johtavat käytännöt ja asetuksen (EU) N:o 1025/2012 2 artiklan 1 alakohdassa määritellyt standardit sekä asetuksen (EU) 2022/2554 8 artiklan 1 kohdan mukaisesti vahvistettu asiaankuuluvan TVT-omaisuuden luokittelu. Finanssiyhteisöjen, jotka eivät pysty noudattamaan johtavia käytäntöjä tai standardeja tai käyttämään luotettavimpia tekniikoita, on otettava käyttöön lieventämis- ja seurantatoimenpiteitä, joilla varmistetaan kyberuhkien sietokyky.
EULAW 6 artikla 4.
Finanssiyhteisöjen on sisällytettävä 1 kohdassa tarkoitettuihin salausta ja salaustekniikkaa hyödyntävää valvontaa koskeviin toimintaperiaatteisiin määräykset salausteknologian päivittämisestä tai muuttamisesta tarvittaessa salauksen ratkonnan kehityksen perusteella. Näillä päivityksillä tai muutoksilla on varmistettava, että salausteknologian kyberuhkien sietokyky säilyy, kuten 10 artiklan 2 kohdan a alakohdassa edellytetään. Finanssiyhteisöjen, jotka eivät pysty päivittämään tai muuttamaan salausteknologiaa, on otettava käyttöön lieventämis- ja seurantatoimenpiteitä, joilla varmistetaan kyberuhkien sietokyky.
EULAW 6 artikla 5.
Finanssiyhteisöjen on sisällytettävä 1 kohdassa tarkoitettuihin salausta ja salaustekniikkaa hyödyntävää valvontaa koskeviin toimintaperiaatteisiin vaatimus 3 ja 4 kohdan mukaisesti hyväksyttyjen lieventämis- ja seurantatoimenpiteiden käyttöönoton kirjaamisesta ja käyttöönoton perustelemisesta.
EULAW 7 artikla 1.
Finanssiyhteisöjen on sisällytettävä 6 artiklan 2 kohdan d alakohdassa tarkoitettuihin salausavainten hallintaa koskeviin toimintaperiaatteisiin vaatimukset salausavainten hallinnasta niiden koko elinkaaren ajan, mukaan lukien salausavainten tuottaminen, uusiminen, tallentaminen, varmuuskopiointi, arkistointi, haku, siirto, käytöstä poistaminen, peruuttaminen ja tuhoaminen.
EULAW 7 artikla 2.
Finanssiyhteisöjen on määritettävä ja toteutettava valvontatoimenpiteitä salausavainten suojaamiseksi katoamiselta, luvattomalta käytöltä, luovuttamiselta ja muuttamiselta niiden koko elinkaaren ajan. Finanssiyhteisöjen on suunniteltava kyseiset valvontatoimenpiteet hyväksyttyjen datan luokittelun ja TVT-riskinarvioinnin tulosten perusteella.
EULAW 7 artikla 3.
Finanssiyhteisöjen on laadittava ja otettava käyttöön menetelmät salausavainten korvaamiseksi, jos avaimet katoavat, vaarantuvat tai vahingoittuvat.
EULAW 7 artikla 4.
Finanssiyhteisöjen on perustettava rekisteri vähintään kaikista kriittisiä tai tärkeitä toimintoja tukevia TVT-omaisuuseriä koskevista sertifioinneista ja sertifikaattien tallennuslaitteista ja pidettävä sitä yllä. Finanssiyhteisöjen on pidettävä kyseinen rekisteri ajan tasalla.
EULAW 7 artikla 5.
Finanssiyhteisöjen on varmistettava sertifiointien pikainen uusiminen ennen niiden voimassaolon päättymistä.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.