+Data Encryption

Data Encryption

Define rules for encrypting data at rest, in transit, and, where applicable, in use, considering data classification and risk assessments. Specify procedures when encryption of data in use is not feasible, ensuring processing in a separate and protected environment or taking equivalent measures. Implement rules for encrypting internal network connections and traffic with external parties, aligned with data classification and risk assessments.

1. Apžvalga

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję teisės aktai

2. Nustatyti reikalavimai

Reikalavimai

3. Susiję teisės aktai

Teisės aktai
EULAW 6 straipsnis 1.
Finansų sektoriaus subjektai parengia, dokumentuoja ir įgyvendina šifravimo ir kriptografinės kontrolės priemonių politiką ir įtraukia ją į savo IRT saugumo politiką, procedūras, protokolus ir priemones, nurodytus Reglamento (ES) 2022/2554 9 straipsnio 2 dalyje.
EULAW 6 straipsnis 2.

Finansų sektoriaus subjektai 1 dalyje nurodytą šifravimo ir kriptografinės kontrolės priemonių politiką rengia remdamiesi patvirtintų duomenų klasifikavimo ir IRT rizikos vertinimo procesų rezultatais. Toje politikoje pateikiamos taisyklės, kuriomis reglamentuojami visi šie elementai:

a) 

saugomų ir perduodamų duomenų užšifravimas;

b) 

naudojamų duomenų užšifravimas, kai reikia;

c) 

vidaus tinklų ryšių ir duomenų, kuriais keičiamasi su išorės šalimis, užšifravimas;

d) 

7 straipsnyje nurodytas kriptografinių raktų valdymas nustatant kriptografinių raktų teisingo naudojimo, apsaugos ir gyvavimo ciklo taisykles.

Taikant b punktą, tais atvejais, kai užšifruoti naudojamų duomenų neįmanoma, finansų sektoriaus subjektai tvarko naudojamus duomenis atskirtoje, apsaugotoje aplinkoje arba imasi lygiaverčių priemonių, kad užtikrintų duomenų konfidencialumą, vientisumą, autentiškumą ir prieinamumą.
EULAW 6 straipsnis 3.
Finansų sektoriaus subjektai, atsižvelgdami į pažangiausią praktiką ir Reglamento (ES) Nr. 1025/2012 2 straipsnio 1 punkte apibrėžtus standartus, į 1 dalyje nurodytą šifravimo ir kriptografinės kontrolės priemonių politiką įtraukia kriptografinių metodų ir naudojimo praktikos atrankos kriterijus ir atitinkamo IRT turto klasifikaciją, nustatytą pagal Reglamento (ES) 2022/2554 8 straipsnio 1 dalį. Finansų sektoriaus subjektai, kurie negali laikytis pažangiausios praktikos ar standartų arba taikyti pačių patikimiausių metodų, priima poveikio mažinimo ir stebėsenos priemones, kuriomis užtikrina atsparumą kibernetinėms grėsmėms.
EULAW 6 straipsnis 4.
Finansų sektoriaus subjektai į 1 dalyje nurodytą šifravimo ir kriptografinės kontrolės priemonių politiką įtraukia nuostatas dėl reikiamo kriptografinės technologijos naujinimo ar keitimo remiantis kriptoanalizės patobulinimais. Tais naujiniais ar keitiniais užtikrinama, kad kriptografinė technologija išliktų atspari kibernetinėms grėsmėms, kaip reikalaujama 10 straipsnio 2 dalies a punktu. Finansų sektoriaus subjektai, kurie negali atnaujinti ar pakeisti kriptografinės technologijos, priima poveikio mažinimo ir stebėsenos priemones, kuriomis užtikrina atsparumą kibernetinėms grėsmėms.
EULAW 6 straipsnis 5.
Finansų sektoriaus subjektai į 1 dalyje nurodytą šifravimo ir kriptografinės kontrolės priemonių politiką įtraukia reikalavimą registruoti poveikio mažinimo ir stebėsenos priemonių priėmimą, kai jos priimamos pagal 3 ir 4 dalis, ir pateikti motyvuotą to priėmimo paaiškinimą.
EULAW 7 straipsnis 1.
Finansų sektoriaus subjektai į 6 straipsnio 2 dalies d punkte nurodytą kriptografinių raktų valdymo politiką įtraukia reikalavimus dėl kriptografinių raktų valdymo visą jų gyvavimo ciklą, be kita ko, dėl tų kriptografinių raktų kūrimo, atnaujinimo, saugojimo, jų atsarginių kopijų kūrimo, archyvavimo, gavimo, persiuntimo, pašalinimo, panaikinimo ir sunaikinimo.
EULAW 7 straipsnis 2.
Finansų sektoriaus subjektai nustato ir įgyvendina kontrolės priemones kriptografiniams raktams apsaugoti nuo praradimo, neteisėtos prieigos, atskleidimo ir pakeitimo visą jų gyvavimo ciklą. Finansų sektoriaus subjektai tas kontrolės priemones kuria remdamiesi patvirtintų duomenų klasifikavimo ir IRT rizikos vertinimo procesų rezultatais.
EULAW 7 straipsnis 3.
Finansų sektoriaus subjektai rengia ir taiko metodus, pagal kuriuos kriptografiniai raktai pakeičiami, jei jie būtų prarasti, būtų pažeistas jų saugumas arba jie būtų sugadinti.
EULAW 7 straipsnis 4.
Finansų sektoriaus subjektai sukuria ir prižiūri bent IRT turto, kuriuo palaikomos ypatingos svarbos arba svarbios funkcijos, visų sertifikatų ir jų saugojimo įrenginių registrą. Finansų sektoriaus subjektai tą registrą atnaujina.
EULAW 7 straipsnis 5.
Finansų sektoriaus subjektai užtikrina punktualų sertifikatų atnaujinimą prieš pasibaigiant jų galiojimui.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.