+Cryptographic Key Management and Lifecycle

Cryptographic Key Management and Lifecycle

Establish protocols for the proper use, protection, and lifecycle management of cryptographic keys. Define criteria for selecting cryptographic techniques and practices, incorporating best practices and industry standards. Employ mitigation and monitoring measures if adherence to these practices and standards is not possible. Outline requirements for managing and controlling cryptographic keys throughout their lifecycle, including generation, storage, backup, archiving, retrieval, transmission, retirement, revocation, and destruction. Establish methods to recover cryptographic keys in case of loss, compromise, or damage. Monitor crypto-analysis developments and, when necessary, update or change cryptographic technology. Implement mitigation and monitoring measures if changing or updating the cryptographic technology is not feasible. Maintain a register for all certificates and certificate storing devices.

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Regulamentos relacionados

2. Requisitos identificados

Requisitos

3. Regulamentos relacionados

Regulamentos
EULAW Artigo 6.o 1.
No âmbito das suas políticas, procedimentos, protocolos e ferramentas de segurança no domínio das TIC a que se refere o artigo 9.o, n.o 2, do Regulamento (UE) 2022/2554, as entidades financeiras devem elaborar, documentar e aplicar uma política em matéria de encriptação e controlos criptográficos.
EULAW Artigo 6.o 2.

As entidades financeiras devem conceber a política em matéria de encriptação e controlos criptográficos referida no n.o 1 com base nos resultados de uma classificação de dados aprovada e de uma avaliação do risco associado às TIC. Essa política deve conter regras em relação a todos os elementos seguintes:

a) 

A encriptação dos dados conservados e em trânsito;

b) 

A encriptação dos dados em utilização, se necessário;

c) 

A encriptação das ligações à rede interna e do tráfego com partes externas;

d) 

A gestão de chaves criptográficas a que se refere o artigo 7.o, estabelecendo regras relativas à utilização correta, à proteção e ao ciclo de vida dessas mesmas chaves criptográficas.

Para efeitos da alínea b), caso não seja possível a encriptação dos dados em utilização, as entidades financeiras devem tratar os dados em utilização num ambiente separado e protegido ou tomar medidas equivalentes para garantir a confidencialidade, integridade, autenticidade e disponibilidade dos dados.
EULAW Artigo 6.o 3.
As entidades financeiras devem incluir na política em matéria de encriptação e controlos criptográficos referida no n.o 1 critérios para a seleção de técnicas criptográficas e práticas de utilização, tendo em conta as melhores práticas e as normas definidas no artigo 2.o, ponto 1, do Regulamento (UE) n.o 1025/2012, e a classificação dos ativos de TIC relevantes estabelecida em conformidade com o artigo 8.o, n.o 1, do Regulamento (UE) 2022/2554. As entidades financeiras que não consigam aderir às melhores práticas ou normas, ou utilizar as técnicas mais fiáveis, devem adotar medidas de mitigação e monitorização que assegurem a resiliência contra ciberameaças.
EULAW Artigo 6.o 4.
As entidades financeiras devem incluir na política em matéria de encriptação e controlos criptográficos referida no n.o 1 disposições relativas à atualização ou alteração, se necessário, da tecnologia criptográfica com base na evolução da criptoanálise. Essas atualizações ou alterações devem assegurar que a tecnologia criptográfica permanece resiliente às ciberameaças, tal como exigido pelo artigo 10.o, n.o 2, alínea a). As entidades financeiras que não consigam atualizar ou alterar a tecnologia criptográfica devem adotar medidas de mitigação e monitorização que assegurem a resiliência contra ciberameaças.
EULAW Artigo 6.o 5.
As entidades financeiras devem incluir na política em matéria de encriptação e controlos criptográficos referida no n.o 1 a obrigação de registar a adoção de medidas de mitigação e monitorização em conformidade com os n.os 3 e 4 e apresentar uma explicação fundamentada para tal.
EULAW Artigo 7.o 1.
As entidades financeiras devem incluir na política em matéria de gestão das chaves criptográficas referida no artigo 6.o, n.o 2, alínea d), requisitos relativos à gestão das chaves criptográficas ao longo de todo o seu ciclo de vida, nomeadamente a geração, renovação, conservação, criação de cópias de segurança, arquivamento, recuperação, transmissão, retirada, revogação e destruição dessas chaves criptográficas.
EULAW Artigo 7.o 2.
As entidades financeiras devem identificar e aplicar controlos para proteger as chaves criptográficas ao longo de todo o seu ciclo de vida contra a perda, o acesso não autorizado, a divulgação e a alteração. As entidades financeiras devem conceber esses controlos com base nos resultados da classificação dos dados aprovada e da avaliação do risco associado às TIC.
EULAW Artigo 7.o 3.
As entidades financeiras devem desenvolver e aplicar métodos para substituir as chaves criptográficas em caso de perda, ou quando essas chaves estejam comprometidas ou danificadas.
EULAW Artigo 7.o 4.
As entidades financeiras devem criar e manter um registo de todos os certificados e dispositivos de armazenamento de certificados para, pelo menos, os ativos de TIC que apoiam funções críticas ou importantes. As entidades financeiras devem manter esse registo atualizado.
EULAW Artigo 7.o 5.
As entidades financeiras devem assegurar a rápida renovação dos certificados antes de estes expirarem.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.