+Data Encryption

Data Encryption

Define rules for encrypting data at rest, in transit, and, where applicable, in use, considering data classification and risk assessments. Specify procedures when encryption of data in use is not feasible, ensuring processing in a separate and protected environment or taking equivalent measures. Implement rules for encrypting internal network connections and traffic with external parties, aligned with data classification and risk assessments.

1. Pregled

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani predpisi

2. Ugotovljene zahteve

Zahteve

3. Povezani predpisi

Predpisi
EULAW Člen 6 1.
Finančni subjekti v okviru svojih varnostnih politik, postopkov, protokolov in orodij na področju IKT iz člena 9(2) Uredbe (EU) 2022/2554 razvijejo, dokumentirajo in izvajajo politiko o šifriranju in kriptografskih kontrolah.
EULAW Člen 6 2.

Finančni subjekti politiko o šifriranju in kriptografskih kontrolah iz odstavka 1 oblikujejo na podlagi rezultatov odobrene razvrstitve podatkov in ocene tveganja na področju IKT. Ta politika vsebuje pravila za vse naslednje:

(a) 

šifriranje podatkov v mirovanju in med prenosom;

(b) 

šifriranje podatkov v uporabi, kadar je potrebno;

(c) 

šifriranje notranjih omrežnih povezav in prometa z zunanjimi strankami;

(d) 

upravljanje kriptografskih ključev iz člena 7, ki določa pravila o pravilni uporabi, zaščiti in življenjskem ciklu kriptografskih ključev.

Kadar šifriranje podatkov v uporabi ni mogoče, finančni subjekti za namene točke (b) obdelujejo podatke v uporabi v ločenem in zaščitenem okolju ali sprejmejo enakovredne ukrepe za zagotovitev zaupnosti, celovitosti, avtentičnosti in razpoložljivosti podatkov.
EULAW Člen 6 3.
Finančni subjekti v politiko o šifriranju in kriptografskih kontrolah iz odstavka 1 vključijo merila za izbiro kriptografskih tehnik in praks uporabe, pri čemer upoštevajo vodilne prakse in standarde, kot so opredeljeni v členu 2, točka 1, Uredbe (EU) št. 1025/2012, ter razvrstitev ustreznih sredstev IKT, določeno v skladu s členom 8(1) Uredbe (EU) 2022/2554. Finančni subjekti, ki ne morejo upoštevati vodilnih praks ali standardov ali uporabljati najzanesljivejših tehnik, sprejmejo blažilne ukrepe in ukrepe za spremljanje, ki zagotavljajo odpornost proti kibernetskim grožnjam.
EULAW Člen 6 4.
Finančni subjekti v politiko o šifriranju in kriptografskih kontrolah iz odstavka 1 vključijo določbe za posodabljanje ali spreminjanje kriptografske tehnologije, kadar je potrebno, na podlagi razvoja kriptoanalize. S temi posodobitvami ali spremembami se zagotovi, da kriptografska tehnologija ostane odporna proti kibernetskim grožnjam, kot se zahteva v členu 10(2), točka (a). Finančni subjekti, ki ne morejo posodabljati ali spreminjati kriptografske tehnologije, sprejmejo blažilne ukrepe in ukrepe za spremljanje, ki zagotavljajo odpornost proti kibernetskim grožnjam.
EULAW Člen 6 5.
Finančni subjekti v politiko o šifriranju in kriptografskih kontrolah iz odstavka 1 vključijo zahtevo po evidentiranju sprejetja blažilnih ukrepov in ukrepov za spremljanje, sprejetih v skladu z odstavkoma 3 in 4, ter po predložitvi utemeljene obrazložitve za njihovo sprejetje.
EULAW Člen 7 1.
Finančni subjekti v politiko upravljanja kriptografskih ključev iz člena 6(2), točka (d), vključijo zahteve za upravljanje kriptografskih ključev v njihovem celotnem življenjskem ciklu, vključno z ustvarjanjem, obnavljanjem, hrambo, varnostnim kopiranjem, arhiviranjem, priklicem, prenosom, umikom, preklicem in uničenjem teh kriptografskih ključev.
EULAW Člen 7 2.
Finančni subjekti opredelijo in izvajajo kontrole za zaščito kriptografskih ključev pred izgubo, nepooblaščenim dostopom, razkritjem in spreminjanjem v njihovem celotnem življenjskem ciklu. Finančni subjekti te kontrole oblikujejo na podlagi rezultatov odobrene razvrstitve podatkov in ocene tveganja na področju IKT.
EULAW Člen 7 3.
Finančni subjekti razvijejo in izvajajo metode za nadomestitev kriptografskih ključev v primeru izgube, ogroženosti ali okvare teh ključev.
EULAW Člen 7 4.
Finančni subjekti vzpostavijo in vzdržujejo register vseh potrdil in naprav za shranjevanje potrdil vsaj za sredstva IKT, ki podpirajo kritične ali pomembne funkcije. Finančni subjekti ta register posodabljajo.
EULAW Člen 7 5.
Finančni subjekti zagotovijo pravočasno obnovitev potrdil pred iztekom njihove veljavnosti.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.