+Cryptographic Key Management and Lifecycle

Cryptographic Key Management and Lifecycle

Establish protocols for the proper use, protection, and lifecycle management of cryptographic keys. Define criteria for selecting cryptographic techniques and practices, incorporating best practices and industry standards. Employ mitigation and monitoring measures if adherence to these practices and standards is not possible. Outline requirements for managing and controlling cryptographic keys throughout their lifecycle, including generation, storage, backup, archiving, retrieval, transmission, retirement, revocation, and destruction. Establish methods to recover cryptographic keys in case of loss, compromise, or damage. Monitor crypto-analysis developments and, when necessary, update or change cryptographic technology. Implement mitigation and monitoring measures if changing or updating the cryptographic technology is not feasible. Maintain a register for all certificates and certificate storing devices.

1. Panoramica

Titolo	Standard

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Regolamentazioni correlate

2. Requisiti identificati

Requisiti
Fonte	Requisito

3. Regolamentazioni correlate

Regolamentazioni
Fonte	Regolamentazione
EULAW	Articolo 6 1. Nell’ambito delle politiche, delle procedure, dei protocolli e degli strumenti per la sicurezza delle TIC di cui all’articolo 9, paragrafo 2, del regolamento (UE) 2022/2554, le entità finanziarie elaborano, documentano e attuano una politica in materia di cifratura e controlli crittografici.
EULAW	Articolo 6 2. Le entità finanziarie elaborano la politica in materia di cifratura e controlli crittografici di cui al paragrafo 1 sulla base dei risultati di una classificazione dei dati approvata e di una valutazione dei rischi informatici. La politica contiene norme relative a tutti gli aspetti seguenti: a) la cifratura dei dati a riposo e in transito; b) la cifratura dei dati in uso, ove necessario; c) la cifratura delle connessioni di rete interne e del traffico con l’esterno; d) la gestione delle chiavi crittografiche di cui all’articolo 7, che stabilisce le norme sul corretto uso, la protezione e il ciclo di vita delle chiavi crittografiche. Ai fini della lettera b), qualora non sia possibile la cifratura dei dati in uso, le entità finanziarie trattano i dati in uso in un ambiente separato e protetto o adottano misure equivalenti per garantire la riservatezza, l’integrità, l’autenticità e la disponibilità dei dati.
EULAW	Articolo 6 3. Le entità finanziarie includono nella politica in materia di cifratura e controlli crittografici di cui al paragrafo 1 i criteri per la selezione delle tecniche crittografiche e delle pratiche d’uso, tenendo conto delle pratiche più avanzate e delle norme definite all’articolo 2, punto 1), del regolamento (UE) n. 1025/2012, e la classificazione delle pertinenti risorse TIC stabilita conformemente all’articolo 8, paragrafo 1, del regolamento (UE) 2022/2554. Le entità finanziarie che non sono in grado di attenersi alle pratiche o alle norme più avanzate o di utilizzare le tecniche più affidabili adottano misure di attenuazione e di monitoraggio che garantiscano la resilienza alle minacce informatiche.
EULAW	Articolo 6 4. Le entità finanziarie includono nella politica in materia di cifratura e controlli crittografici di cui al paragrafo 1 disposizioni per aggiornare o modificare, se necessario, la tecnologia crittografica sulla base degli sviluppi della crittoanalisi. Tali aggiornamenti o modifiche garantiscono la resilienza della tecnologia crittografica alle minacce informatiche, come stabilito dall’articolo 10, paragrafo 2, lettera a). Le entità finanziarie che non sono in grado di aggiornare o modificare la tecnologia crittografica adottano misure di attenuazione e di monitoraggio che garantiscano la resilienza alle minacce informatiche.
EULAW	Articolo 6 5. Le entità finanziarie includono nella politica in materia di cifratura e controlli crittografici di cui al paragrafo 1 l’obbligo di registrare l’adozione delle misure di attenuazione e di monitoraggio adottate in conformità dei paragrafi 3 e 4 e di fornire una spiegazione motivata di tale scelta.
EULAW	Articolo 7 1. Le entità finanziarie includono nella politica di gestione delle chiavi crittografiche di cui all’articolo 6, paragrafo 2, lettera d), prescrizioni per la gestione delle chiavi crittografiche durante il loro intero ciclo di vita, compresi la generazione, il rinnovo, la conservazione, il backup, l’archiviazione, il recupero, la trasmissione, il ritiro, la revoca e la distruzione di tali chiavi crittografiche.
EULAW	Articolo 7 2. Le entità finanziarie identificano e attuano controlli per proteggere le chiavi crittografiche durante il loro intero ciclo di vita per evitarne la perdita, l’accesso non autorizzato, la divulgazione e la modifica. Le entità finanziarie concepiscono tali controlli sulla base dei risultati della classificazione dei dati approvata e della valutazione dei rischi informatici.
EULAW	Articolo 7 3. Le entità finanziarie elaborano e attuano metodi per sostituire le chiavi crittografiche in caso di perdita, compromissione o danneggiamento delle stesse.
EULAW	Articolo 7 4. Le entità finanziarie creano e mantengono un registro per tutti i certificati e i dispositivi di archiviazione dei certificati almeno per le risorse TIC che supportano funzioni essenziali o importanti. Le entità finanziarie mantengono tale registro aggiornato.
EULAW	Articolo 7 5. Le entità finanziarie garantiscono il tempestivo rinnovo dei certificati prima della loro scadenza.

NOREA -
EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.