+Data Encryption
|
Data Encryption
Define rules for encrypting data at rest, in transit, and, where applicable, in use, considering data classification and risk assessments. Specify procedures when encryption of data in use is not feasible, ensuring processing in a separate and protected environment or taking equivalent measures. Implement rules for encrypting internal network connections and traffic with external parties, aligned with data classification and risk assessments.
1. Pārskats
1.1 Atsauces
1.2 Identificētās prasības
1.3 Saistītie tiesību akti
2. Identificētās prasības
3. Saistītie tiesību akti
Tiesību akti
| Avots |
Regulējums |
|
EULAW
|
6. pants 1.
Kā daļu no savas Regulas (ES) 2022/2554 9. panta 2. punktā minētās IKT drošības politikas, procedūrām, protokoliem un rīkiem finanšu vienības izstrādā, dokumentē un īsteno šifrēšanas un kriptogrāfijas kontroles politiku.
|
|
EULAW
|
6. pants 2.
Finanšu vienības izstrādā 1. punktā minēto šifrēšanas un kriptogrāfijas kontroļu politiku, pamatojoties uz apstiprinātas datu klasifikācijas un IKT riska novērtējuma rezultātiem. Minētā politika ietver noteikumus par visu turpmāk minēto:
a)
glabāšanā vai pārsūtīšanā esošu datu šifrēšana;
b)
ja nepieciešams, lietošanā esošu datu šifrēšana;
c)
iekšējo tīklu savienojumu un datplūsmas ar ārējām personām šifrēšana;
d)
7. pantā minētā šifrēšanas atslēgu pārvaldība, paredzot noteikumus par kriptogrāfijas atslēgu pareizu izmantošanu, aizsardzību un aprites ciklu.
Šā panta b) punkta nolūkos, ja lietošanā esošu datu šifrēšana nav iespējama, finanšu vienības apstrādā lietošanā esošus datus nodalītā un aizsargātā vidē vai veic līdzvērtīgus pasākumus, lai nodrošinātu datu konfidencialitāti, integritāti, autentiskumu un pieejamību.
|
|
EULAW
|
6. pants 3.
Finanšu vienības iekļauj 1. punktā minētajā šifrēšanas un kriptogrāfijas kontroļu politikā kritērijus kriptogrāfijas metožu un izmantošanas prakses atlasei, ņemot vērā paraugpraksi un standartus, kas noteikti Regulas (ES) Nr. 1025/2012 2. panta 1. punktā, un attiecīgo IKT aktīvu klasifikāciju, kas noteikta saskaņā ar Regulas (ES) 2022/2554 8. panta 1. punktu. Finanšu vienības, kas nespēj ievērot paraugpraksi vai standartus vai izmantot uzticamākās metodes, pieņem riska mazināšanas un uzraudzības pasākumus, kas nodrošina noturību pret kiberdraudiem.
|
|
EULAW
|
6. pants 4.
Finanšu vienības iekļauj 1. punktā minētajā šifrēšanas un kriptogrāfijas kontroļu politikā noteikumus par kriptogrāfijas tehnoloģijas atjaunināšanu vai, ja nepieciešams, mainīšanu, pamatojoties uz norisēm kriptoanalīzes jomā. Minētie atjauninājumi vai maiņa nodrošina, ka kriptogrāfijas tehnoloģija joprojām ir noturīga pret kiberdraudiem, kā prasīts 10. panta 2. punkta a) apakšpunktā. Finanšu vienības, kas nespēj atjaunināt vai mainīt kriptogrāfijas tehnoloģiju, pieņem riska mazināšanas un uzraudzības pasākumus, kas nodrošina noturību pret kiberdraudiem.
|
|
EULAW
|
6. pants 5.
Finanšu vienības iekļauj 1. punktā minētajā šifrēšanas un kriptogrāfijas kontroļu politikā prasību reģistrēt riska mazināšanas un uzraudzības pasākumus, kas pieņemti saskaņā ar 3. un 4. punktu, un sniegt pamatotu skaidrojumu par to, kāpēc tas darīts.
|
|
EULAW
|
7. pants 1.
Finanšu vienības iekļauj 6. panta 2. punkta d) apakšpunktā minētajā kriptogrāfijas atslēgu pārvaldības politikā prasības par kriptogrāfijas atslēgu pārvaldību visā to aprites ciklā, ieskaitot šo kriptogrāfijas atslēgu ģenerēšanu, atjaunošanu, glabāšanu, dublēšanu, arhivēšanu, izgūšanu, pārsūtīšanu, norakstīšanu, anulēšanu un iznīcināšanu.
|
|
EULAW
|
7. pants 2.
Finanšu vienības nosaka un īsteno kontroles, lai aizsargātu kriptogrāfijas atslēgas visā to aprites ciklā pret neatļautu piekļuvi, izpaušanu un pārveidošanu. Finanšu vienības izstrādā minētās kontroles, pamatojoties uz apstiprinātas datu klasifikācijas un IKT riska novērtējuma rezultātiem.
|
|
EULAW
|
7. pants 3.
Finanšu vienības izstrādā un īsteno metodes kriptogrāfijas atslēgu aizstāšanai to nozaudēšanas gadījumā vai ja ar atslēgām ir veiktas neatļautas manipulācijas, vai tās ir bojātas.
|
|
EULAW
|
7. pants 4.
Finanšu vienības izveido un uztur reģistru, kurā reģistrē visus sertifikātus un sertifikātu glabāšanas ierīces, vismaz attiecībā uz IKT aktīviem, kas atbalsta kritiski svarīgas vai svarīgas funkcijas. Finanšu vienības pastāvīgi atjaunina minēto reģistru.
|
|
EULAW
|
7. pants 5.
Finanšu vienības nodrošina sertifikātu ātru atjaunošanu pirms to derīguma termiņa beigām.
|
- NOREA -
EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.
DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.
|