+Cryptographic Key Management and Lifecycle

Cryptographic Key Management and Lifecycle

Establish protocols for the proper use, protection, and lifecycle management of cryptographic keys. Define criteria for selecting cryptographic techniques and practices, incorporating best practices and industry standards. Employ mitigation and monitoring measures if adherence to these practices and standards is not possible. Outline requirements for managing and controlling cryptographic keys throughout their lifecycle, including generation, storage, backup, archiving, retrieval, transmission, retirement, revocation, and destruction. Establish methods to recover cryptographic keys in case of loss, compromise, or damage. Monitor crypto-analysis developments and, when necessary, update or change cryptographic technology. Implement mitigation and monitoring measures if changing or updating the cryptographic technology is not feasible. Maintain a register for all certificates and certificate storing devices.

1. Apžvalga

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję teisės aktai

2. Nustatyti reikalavimai

Reikalavimai

3. Susiję teisės aktai

Teisės aktai
EULAW 6 straipsnis 1.
Finansų sektoriaus subjektai parengia, dokumentuoja ir įgyvendina šifravimo ir kriptografinės kontrolės priemonių politiką ir įtraukia ją į savo IRT saugumo politiką, procedūras, protokolus ir priemones, nurodytus Reglamento (ES) 2022/2554 9 straipsnio 2 dalyje.
EULAW 6 straipsnis 2.

Finansų sektoriaus subjektai 1 dalyje nurodytą šifravimo ir kriptografinės kontrolės priemonių politiką rengia remdamiesi patvirtintų duomenų klasifikavimo ir IRT rizikos vertinimo procesų rezultatais. Toje politikoje pateikiamos taisyklės, kuriomis reglamentuojami visi šie elementai:

a) 

saugomų ir perduodamų duomenų užšifravimas;

b) 

naudojamų duomenų užšifravimas, kai reikia;

c) 

vidaus tinklų ryšių ir duomenų, kuriais keičiamasi su išorės šalimis, užšifravimas;

d) 

7 straipsnyje nurodytas kriptografinių raktų valdymas nustatant kriptografinių raktų teisingo naudojimo, apsaugos ir gyvavimo ciklo taisykles.

Taikant b punktą, tais atvejais, kai užšifruoti naudojamų duomenų neįmanoma, finansų sektoriaus subjektai tvarko naudojamus duomenis atskirtoje, apsaugotoje aplinkoje arba imasi lygiaverčių priemonių, kad užtikrintų duomenų konfidencialumą, vientisumą, autentiškumą ir prieinamumą.
EULAW 6 straipsnis 3.
Finansų sektoriaus subjektai, atsižvelgdami į pažangiausią praktiką ir Reglamento (ES) Nr. 1025/2012 2 straipsnio 1 punkte apibrėžtus standartus, į 1 dalyje nurodytą šifravimo ir kriptografinės kontrolės priemonių politiką įtraukia kriptografinių metodų ir naudojimo praktikos atrankos kriterijus ir atitinkamo IRT turto klasifikaciją, nustatytą pagal Reglamento (ES) 2022/2554 8 straipsnio 1 dalį. Finansų sektoriaus subjektai, kurie negali laikytis pažangiausios praktikos ar standartų arba taikyti pačių patikimiausių metodų, priima poveikio mažinimo ir stebėsenos priemones, kuriomis užtikrina atsparumą kibernetinėms grėsmėms.
EULAW 6 straipsnis 4.
Finansų sektoriaus subjektai į 1 dalyje nurodytą šifravimo ir kriptografinės kontrolės priemonių politiką įtraukia nuostatas dėl reikiamo kriptografinės technologijos naujinimo ar keitimo remiantis kriptoanalizės patobulinimais. Tais naujiniais ar keitiniais užtikrinama, kad kriptografinė technologija išliktų atspari kibernetinėms grėsmėms, kaip reikalaujama 10 straipsnio 2 dalies a punktu. Finansų sektoriaus subjektai, kurie negali atnaujinti ar pakeisti kriptografinės technologijos, priima poveikio mažinimo ir stebėsenos priemones, kuriomis užtikrina atsparumą kibernetinėms grėsmėms.
EULAW 6 straipsnis 5.
Finansų sektoriaus subjektai į 1 dalyje nurodytą šifravimo ir kriptografinės kontrolės priemonių politiką įtraukia reikalavimą registruoti poveikio mažinimo ir stebėsenos priemonių priėmimą, kai jos priimamos pagal 3 ir 4 dalis, ir pateikti motyvuotą to priėmimo paaiškinimą.
EULAW 7 straipsnis 1.
Finansų sektoriaus subjektai į 6 straipsnio 2 dalies d punkte nurodytą kriptografinių raktų valdymo politiką įtraukia reikalavimus dėl kriptografinių raktų valdymo visą jų gyvavimo ciklą, be kita ko, dėl tų kriptografinių raktų kūrimo, atnaujinimo, saugojimo, jų atsarginių kopijų kūrimo, archyvavimo, gavimo, persiuntimo, pašalinimo, panaikinimo ir sunaikinimo.
EULAW 7 straipsnis 2.
Finansų sektoriaus subjektai nustato ir įgyvendina kontrolės priemones kriptografiniams raktams apsaugoti nuo praradimo, neteisėtos prieigos, atskleidimo ir pakeitimo visą jų gyvavimo ciklą. Finansų sektoriaus subjektai tas kontrolės priemones kuria remdamiesi patvirtintų duomenų klasifikavimo ir IRT rizikos vertinimo procesų rezultatais.
EULAW 7 straipsnis 3.
Finansų sektoriaus subjektai rengia ir taiko metodus, pagal kuriuos kriptografiniai raktai pakeičiami, jei jie būtų prarasti, būtų pažeistas jų saugumas arba jie būtų sugadinti.
EULAW 7 straipsnis 4.
Finansų sektoriaus subjektai sukuria ir prižiūri bent IRT turto, kuriuo palaikomos ypatingos svarbos arba svarbios funkcijos, visų sertifikatų ir jų saugojimo įrenginių registrą. Finansų sektoriaus subjektai tą registrą atnaujina.
EULAW 7 straipsnis 5.
Finansų sektoriaus subjektai užtikrina punktualų sertifikatų atnaujinimą prieš pasibaigiant jų galiojimui.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.