ГЛАВА II Допълнителни елементи на системи, протоколи и инструменти за свеждане до минимум на въздействието на риска в областта на ИКТ

правата на достъп до информационни активи, активи на ИКТ и на поддържаните от тях функции, както и до критични за дейността на финансовия субект места, се управляват въз основа на принципите „необходимост да се знае“, „необходимост да се използва“ и „функциониране с най-малка привилегия“, включително по отношение на отдалечен достъп и достъп при извънредни ситуации;

отчетност на ползвателите, която гарантира, че самоличността на ползвателите може да бъде установена във връзка с извършваните в системите на ИКТ действия;

процедури за управление на профили за предоставяне, промяна или отнемане на права на достъп за потребителски и общи профили, в това число общи профили на администратори;

методи за удостоверяване на автентичността, които са съизмерими с посочената в член 30, параграф 1 класификация и с цялостния рисков профил на активите на ИКТ, и които се основават на водещите практики;

правата на достъп се преразглеждат периодично и се отнемат, когато вече не са необходими.

наблюдават и управляват жизнения цикъл на всички активи на ИКТ;

наблюдават дали активите на ИКТ са поддържани от трети страни доставчици на услуги в областта на ИКТ на финансови субекти, когато е приложимо;

идентифицират изискванията във връзка с капацитета на своите активи на ИКТ, както и мерки за поддържане и подобряване на наличността и ефикасността на системите на ИКТ, и предотвратяват недостига на капацитет, преди такъв да настъпи;

извършват автоматизирано сканиране за уязвими места, както и оценки на активите на ИКТ, съизмерими с тяхната класификация, посочена в член 30, параграф 1, и с цялостния рисков профил на активите на ИКТ, и внедряват корекции за отстраняване на установените уязвими места;

управляват рисковете, свързани с остарели, неподдържани или наследени активи на ИКТ;

регистрират събития, свързани с контрол на логическия и физическия достъп, основани на ИКТ операции, включително дейности по системен и мрежови пренос и управление на промените в областта на ИКТ;

идентифицират и прилагат мерки за наблюдение и анализ на информация за необичайни дейности и поведение във връзка с критични или важни основани на ИКТ операции;

прилагат мерки за наблюдение на подходяща и актуална информация за киберзаплахи;

прилагат мерки за идентифициране на възможни изтичания на информация, злонамерен код и други заплахи за сигурността и публично известни уязвими места в софтуера и хардуера и проверяват за съответните нови актуализации във връзка със сигурността.

идентифицирането и прилагането на мерки за защита на данните при тяхното използване, предаване и съхранение;

идентифицирането и прилагането на мерки за сигурност относно използването на софтуер, носители за съхранение на данни, системи и крайни устройства, с които се предават и съхраняват данни на финансовия субект;

идентифицирането и прилагането на мерки за предотвратяване и откриване на непозволени връзки към мрежата на финансовия субект и за защита на мрежовия пренос между вътрешните мрежи на финансовия субект и интернет и други външни връзки;

идентифицирането и прилагането на мерки, които осигуряват наличността, автентичността, цялостността и поверителността на данните по време на предаванията в мрежата;

процес за сигурно заличаване на данни относно помещения или съхранявани външно, които финансовият субект вече не трябва да събира или съхранява;

процес за сигурно унищожаване или извеждане от експлоатация на съдържащи поверителна информация устройства за съхранение на данни, намиращи се в помещения, или устройства за съхранение на данни, които се съхраняват външно;

идентифицирането и прилагането на мерки с цел да се гарантира, че работата от разстояние и използването на частни крайни устройства не оказват неблагоприятно въздействие върху способността на финансовия субект да извършва критичните си дейности по подходящ, навременен и сигурен начин.

гарантира се, че преди придобиването или разработването на системи на ИКТ, функционалните и нефункционалните изисквания, включително изискванията за сигурност на информацията, са ясно посочени и одобрени от съответната работна функция;

гарантират се тестването и одобрението на системите на ИКТ преди първото им използване и преди въвеждането на промени в продукционната среда;

определят се мерки за намаляване на риска от непреднамерена промяна или преднамерено манипулиране на системи на ИКТ по време на разработването и прилагането в продукционната среда.