+Data Encryption

Data Encryption

Define rules for encrypting data at rest, in transit, and, where applicable, in use, considering data classification and risk assessments. Specify procedures when encryption of data in use is not feasible, ensuring processing in a separate and protected environment or taking equivalent measures. Implement rules for encrypting internal network connections and traffic with external parties, aligned with data classification and risk assessments.

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace predpisy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace predpisy

Predpisy
EULAW Článok 6 1.
V rámci svojich politík, postupov, protokolov a nástrojov v oblasti bezpečnosti IKT uvedených v článku 9 ods. 2 nariadenia (EÚ) 2022/2554 finančné subjekty vypracujú, zdokumentujú a vykonávajú politiku v oblasti šifrovania a kryptografických kontrol.
EULAW Článok 6 2.

Finančné subjekty navrhujú politiku v oblasti šifrovania a kryptografických kontrol uvedenú v odseku 1 na základe výsledkov schválenej klasifikácie údajov a posudzovania IKT rizika. Uvedená politika obsahuje pravidlá pre všetky tieto oblasti:

a) 

šifrovanie údajov v pokoji a pri prenose;

b) 

v prípade potreby šifrovanie údajov pri ich používaní;

c) 

šifrovanie interných sieťových pripojení a prevádzky s externými stranami;

d) 

riadenie šifrovacích kľúčov uvedené v článku 7 stanovením pravidiel správneho používania, ochrany a životného cyklu šifrovacích kľúčov.

Na účely písmena b) platí, že ak šifrovanie údajov pri používaní nie je možné, finančné subjekty spracúvajú údaje pri používaní v oddelenom a chránenom prostredí alebo prijmú rovnocenné opatrenia na zabezpečenie dôvernosti, integrity, pravosti a dostupnosti údajov.
EULAW Článok 6 3.
Finančné subjekty zahrnú do politiky v oblasti šifrovania a kryptografických kontrol uvedenej v odseku 1 kritériá výberu kryptografických techník a postupov používania, pričom zohľadnia popredné postupy a normy vymedzené v článku 2 bode 1 nariadenia (EÚ) č. 1025/2012 a klasifikáciu príslušných IKT aktív stanovenú v súlade s článkom 8 ods. 1 nariadenia (EÚ) 2022/2554. Finančné subjekty, ktoré nemôžu dodržiavať popredné postupy alebo normy či používať najspoľahlivejšie techniky, prijmú zmierňujúce a monitorovacie opatrenia, ktorými sa zabezpečí odolnosť voči kybernetickým hrozbám.
EULAW Článok 6 4.
Finančné subjekty zahrnú do politiky v oblasti šifrovania a kryptografických kontrol uvedenej v odseku 1 ustanovenia o aktualizácii alebo prípadne zmene kryptografickej technológie, a to na základe vývoja v oblasti kryptoanalýzy. Týmito aktualizáciami alebo zmenami sa zabezpečí, aby kryptografická technológia bola neustále odolná voči kybernetickým hrozbám, ako sa vyžaduje v článku 10 ods. 2 písm. a). Finančné subjekty, ktoré nemôžu aktualizovať alebo zmeniť kryptografickú technológiu, prijmú zmierňujúce a monitorovacie opatrenia, ktorými sa zabezpečí odolnosť voči kybernetickým hrozbám.
EULAW Článok 6 5.
Finančné subjekty zahrnú do politiky v oblasti šifrovania a kryptografických kontrol uvedenej v odseku 1 požiadavku zaznamenávať prijatie zmierňujúcich a monitorovacích opatrení prijatých v súlade s odsekmi 3 a 4 a poskytovať k tomu odôvodnené vysvetlenie.
EULAW Článok 7 1.
Finančné subjekty zahrnú do politiky v oblasti riadenia šifrovacích kľúčov uvedenej v článku 6 ods. 2 písm. d) požiadavky na riadenie šifrovacích kľúčov počas ich celého životného cyklu vrátane generovania, obnovovania, uchovávania, zálohovania, archivovania, vyhľadávania, prenosu, zrušenia, odnímania a zničenia uvedených šifrovacích kľúčov.
EULAW Článok 7 2.
Finančné subjekty identifikujú a vykonávajú kontroly na ochranu šifrovacích kľúčov počas celého ich životného cyklu pred stratou, neoprávneným prístupom, zverejnením a zmenou. Finančné subjekty navrhujú uvedené kontroly na základe výsledkov schválenej klasifikácie údajov a posudzovania IKT rizika.
EULAW Článok 7 3.
Finančné subjekty vypracujú a vykonávajú metódy na nahradenie šifrovacích kľúčov v prípade straty alebo ak sú tieto kľúče ohrozené alebo poškodené.
EULAW Článok 7 4.
Finančné subjekty vytvoria a vedú register pre všetky certifikáty a zariadenia na ukladanie certifikátov aspoň pre IKT aktíva podporujúce kritické alebo dôležité funkcie. Finančné subjekty udržiavajú tento register v aktualizovanom stave.
EULAW Článok 7 5.
Finančné subjekty zabezpečia urýchlené obnovenie certifikátov pred uplynutím ich platnosti.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.