+Data Encryption

Data Encryption

Define rules for encrypting data at rest, in transit, and, where applicable, in use, considering data classification and risk assessments. Specify procedures when encryption of data in use is not feasible, ensuring processing in a separate and protected environment or taking equivalent measures. Implement rules for encrypting internal network connections and traffic with external parties, aligned with data classification and risk assessments.

1. Pregled

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani propisi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani propisi

Propisi
EULAW Članak 6. 1.
Financijski subjekti u sklopu svojih politika, postupaka, protokola i alata za sigurnost IKT-a iz članka 9. stavka 2. Uredbe (EU) 2022/2554 izrađuju, dokumentiraju i provode politiku enkripcije i kriptografskih kontrola.
EULAW Članak 6. 2.

Financijski subjekti osmišljavaju politiku enkripcije i kriptografskih kontrola iz stavka 1. na temelju rezultata odobrene klasifikacije podataka i procjene IKT rizika. Ta politika sadržava pravila o svemu sljedećem:

(a) 

enkripciji podataka u mirovanju i prijenosu;

(b) 

enkripciji podataka u upotrebi, prema potrebi;

(c) 

enkripciji unutarnjih mrežnih veza i prometa s vanjskim stranama;

(d) 

upravljanju kriptografskim ključevima iz članka 7., kojim se utvrđuju pravila o ispravnoj upotrebi, zaštiti i životnom ciklusu kriptografskih ključeva.

Za potrebe točke (b) ako nije moguća enkripcija podataka u upotrebi, financijski subjekti ih obrađuju u odvojenom i zaštićenom okruženju ili poduzimaju jednakovrijedne mjere kako bi osigurali njihovu povjerljivost, cjelovitost, vjerodostojnost i dostupnost.
EULAW Članak 6. 3.
Financijski subjekti u politiku enkripcije i kriptografskih kontrola iz stavka 1. uključuju kriterije za odabir kriptografskih tehnika i praksi upotrebe, pri čemu uzimaju u obzir vodeće prakse i standarde u skladu s člankom 2. točkom 1. Uredbe (EU) br. 1025/2012 te klasifikaciju relevantne IKT imovine utvrđenu u skladu s člankom 8. stavkom 1. Uredbe (EU) 2022/2554. Financijski subjekti koji se ne mogu pridržavati vodećih praksi ili standarda ili ne mogu primjenjivati najpouzdanije tehnike donose mjere za ublažavanje i praćenje radi otpornosti na kiberprijetnje.
EULAW Članak 6. 4.
Financijski subjekti u politiku enkripcije i kriptografskih kontrola iz stavka 1. uključuju odredbe o ažuriranju ili promjeni, prema potrebi, kriptografske tehnologije na temelju napretka u području kriptoanalize. Zahvaljujući tim ažuriranjima ili promjenama kriptografska tehnologija ostaje otporna na kiberprijetnje u skladu s člankom 10. stavkom 2. točkom (a). Financijski subjekti koji ne mogu ažurirati ili promijeniti kriptografsku tehnologiju donose mjere za ublažavanje i praćenje radi otpornosti na kiberprijetnje.
EULAW Članak 6. 5.
Financijski subjekti u politiku enkripcije i kriptografskih kontrola iz stavka 1. uključuju zahtjev za evidentiranje donošenja mjera za ublažavanje i praćenje koje se donose u skladu sa stavcima 3. i 4. i za obrazloženo objašnjenje njihova donošenja.
EULAW Članak 7. 1.
Financijski subjekti u politiku upravljanja kriptografskim ključevima iz članka 6. stavka 2. točke (d) uključuju zahtjeve za upravljanje kriptografskim ključevima tijekom njihova cijelog životnog ciklusa, što uključuje njihovo generiranje, obnovu, pohranu, sigurnosno kopiranje, arhiviranje, dohvaćanje, prijenos, povlačenje, opoziv i uništenje.
EULAW Članak 7. 2.
Financijski subjekti utvrđuju i provode kontrole za zaštitu kriptografskih ključeva od gubitka, neovlaštenog pristupa, otkrivanja i izmjene tijekom njihova cijelog životnog ciklusa. Te kontrole osmišljavaju na temelju rezultata odobrene klasifikacije podataka i procjene IKT rizika.
EULAW Članak 7. 3.
Financijski subjekti izrađuju i provode metode za zamjenu kriptografskih ključeva u slučaju njihova gubitka, ugroženosti ili oštećenosti.
EULAW Članak 7. 4.
Financijski subjekti uspostavljaju i održavaju registar svih certifikata i uređaja na kojima su certifikati pohranjeni barem za IKT imovinu kojom se podupiru ključne ili važne funkcije. Taj registar ažuriraju.
EULAW Članak 7. 5.
Financijski subjekti trebaju se pobrinuti da se istekli certifikati prije njihova isteka brzo obnove.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.