+Network Design and Segmentation

Network Design and Segmentation

Design the network infrastructure in a way that allows it to be instantaneously severed or segmented to minimize and prevent contagion. Have provisions for temporarily isolating subnetworks and network components/devices. Ensure redundant capabilities are equipped with sufficient resources, capabilities, and functions (e.g., redundant network setup). Systems and networks must be segregated based on function criticality, classification, and overall risk profile. Maintain a separate network for asset administration. Provide a Layer 3 or 7 (L3/L7) visual representation of all networks and data flows. Conduct yearly performance reviews of the network architecture/design.

1. Преглед

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани регулации

2. Идентифицирани изисквания

Изисквания

3. Свързани регулации

Регулации
EULAW Член 9 (4)

Като част от посочената в член 6, параграф 1 рамка за управление на риска в областта на ИКТ финансовите субекти:

а) 

разработват и документират политика за сигурност на информацията, в която определят правила за защита на наличността, автентичността, цялостността и поверителността на данните, информационните активи и активите на ИКТ, включително тези на техните клиенти, когато е приложимо;

б) 

създават, следвайки подход, при който се отчита рискът, стабилна структура за управление на мрежите и инфраструктурата с помощта на подходящи техники, методи и протоколи, което може да включва използването на автоматизирани механизми за обособяване на засегнатите при кибератаки информационни активи;

в) 

прилагат политики, които ограничават физическия или логическия достъп до информационните активи и активите на ИКТ единствено до необходимото с оглед на законните и одобрени функции и дейности, като за тази цел създават набор от политики, процедури и механизми за контрол на правата на достъп, и гарантират разумното им управление;

г) 

прилагат политики и протоколи за стабилни механизми за удостоверяване на автентичността, като използват съответните стандарти и специални системи за проверки и предпазни мерки за криптографските ключове, с които данните са криптирани след одобрено тяхно класифициране и извършена оценка на риска в областта на ИКТ;

д) 

прилагат документирани политики, процедури и контролни механизми за управление на промените в ИКТ — включително на промените в софтуера, хардуера, компонентите на фърмуера, параметрите на системите или сигурността — които почиват на подход с оценка на риска и са неразделна част от цялостния процес на управление на промените от страна на финансовия субект с цел да се гарантира контролираното записване, тестване, оценяване, одобряване, прилагане и проверяване на всички промени в системите на ИКТ;

е) 

разполагат с подходящи и обстойни документирани политики за коригиране и актуализиране.

За целите на първа алинея, буква б) финансовите субекти разработват инфраструктурата за мрежова връзка така, че да бъде възможно моменталното ѝ изваждане от експлоатация или сегментиране, за да се сведе до минимум и да се предотврати разпространяването на даден проблем, особено при взаимосвързаните финансови процеси.

За целите на първа алинея, буква д) процесът на управление на промените в ИКТ се одобрява от подходяща йерархична стълбица и за него се въвеждат специални протоколи.
EULAW Article 12 4

4.   Financial entities, other than microenterprises, shall maintain redundant ICT capacities equipped with resources, capabilities and functions that are adequate to ensure business needs. Microenterprises shall assess the need to maintain such redundant ICT capacities based on their risk profile.
EULAW Член 13 Управление на сигурността на мрежата

Член 13

Управление на сигурността на мрежата

Като част от защитните механизми, гарантиращи сигурността на мрежите срещу проникване и срещу злоупотреба с данни, финансовите субекти разработват, документират и прилагат политики, процедури, протоколи и инструменти за управление на сигурността на мрежата, включващи всички изброени по-долу елементи:

а) 

разделянето и сегментирането на системите и мрежите на ИКТ, като се вземат предвид:

i) 

критичната значимост или важността на функцията, която поддържат тези системи и мрежи на ИКТ;

ii) 

класификацията, установена в съответствие с член 8, параграф 1 от Регламент (ЕС) 2022/2554;

iii) 

цялостният рисков профил на активите на ИКТ, използващи тези системи и мрежи на ИКТ;

б) 

документацията за всички мрежови връзки и информационни потоци на финансовия субект;

в) 

използването на отделна и специализирана мрежа за управлението на активи на ИКТ;

г) 

идентифицирането и прилагането на механизми за контрол на достъпа до мрежата за предотвратяване и откриване на връзки към мрежата на финансовия субект от всяко неупълномощено устройство или система или всяка крайна точка, която не отговаря на изискванията за сигурност на финансовия субект;

д) 

криптирането на мрежовите връзки, преминаващи през корпоративни мрежи, обществени мрежи, домашни мрежи, мрежи на трети страни и безжични мрежи, за използваните комуникационни протоколи, като се вземат предвид резултатите от одобрената класификация на данните, резултатите от оценката на риска в областта на ИКТ и криптирането на мрежови връзки, посочено в член 6, параграф 2;

е) 

проектирането на мрежи в съответствие с установените от финансовия субект изисквания за сигурност на ИКТ, като се вземат предвид водещите практики за осигуряване на поверителността, цялостността и наличността на мрежата;

ж) 

защитата на мрежовия пренос между вътрешните мрежи и интернет и други външни връзки;

з) 

установяването на ролите и отговорностите, както и на етапите за спецификацията, прилагането, одобрението, промяната и прегледа на правилата на защитната стена и филтрите за връзка;

и) 

извършването на прегледи на архитектурата на мрежата и проектирането на мрежовата сигурност веднъж годишно, а за микропредприятията — периодично, с цел установяване на потенциални уязвими места;

й) 

мерките за временно обособяване, когато е необходимо, на подмрежи и мрежови компоненти и устройства;

к) 

прилагането на базови стандарти за сигурно конфигуриране за всички компоненти на мрежата и укрепване на мрежата и мрежовите устройства в съответствие с всички указания на доставчика, когато е приложимо — със стандартите, както са определени в член 2, точка 1 от Регламент (ЕС) № 1025/2012, както и с водещите практики;

л) 

процедурите за ограничаване, заключване и прекратяване на системни сесии и сесии от разстояние след определен период на неактивност;

м) 

за споразумения за мрежови услуги:

i) 

идентифицирането и спецификацията на ИКТ и мерки за сигурност на информацията, нива на обслужване и изисквания за управление на всички мрежови услуги;

ii) 

дали тези услуги са предоставени от вътрешногрупов доставчик на услуги в областта на ИКТ или от трети страни доставчици на услуги в областта на ИКТ.

За целите на буква з) финансовите субекти извършват редовен преглед на правилата на защитната стена и филтрите за връзка в съответствие с установената в съответствие с член 8, параграф 1 от Регламент (ЕС) 2022/2554 класификация и цялостния рисков профил на включените системи на ИКТ. За системи на ИКТ, които поддържат критични или важни функции, финансовите субекти проверяват адекватността на съществуващите правила на защитната стена и филтрите за връзка най-малко на всеки 6 месеца.