|
+Článek 11 2. |
Článek 11 2.Postup pro zajištění bezpečnosti údajů a systémů uvedený v odstavci 1 obsahuje všechny následující prvky týkající se bezpečnosti údajů a systémů IKT v souladu s klasifikací stanovenou podle čl. 8 odst. 1 nařízení (EU) 2022/2554:
a)
omezení přístupu uvedená v článku 21 tohoto nařízení, která podporují požadavky na ochranu pro každý stupeň klasifikace;
b)
určení základní úrovně bezpečné konfigurace aktiv v oblasti IKT, která minimalizuje riziko vystavení těchto aktiv v oblasti IKT kybernetickým hrozbám, a opatření k pravidelnému ověřování, zda jsou tyto základní úrovně konfigurace účinně zavedeny;
c)
určení bezpečnostních opatření, která zajistí, že v systémech IKT a koncových zařízeních bude instalován pouze schválený software;
d)
určení bezpečnostních opatření proti škodlivým kódům;
e)
určení bezpečnostních opatření, která zajistí, aby se k přenosu a ukládání dat finančního subjektu používala pouze schválená média, systémy a koncová zařízení;
f)
následující požadavky na zabezpečení používání přenosných koncových zařízení a soukromých nepřenosných koncových zařízení:
i)
požadavek na používání řešení pro vzdálenou správu koncových zařízení a vzdálené vymazání dat finančního subjektu;
ii)
požadavek na používání bezpečnostních mechanismů, které nemohou být neoprávněně upraveny, odstraněny nebo obejity zaměstnanci nebo poskytovateli služeb IKT z řad třetích stran;
iii)
požadavek na používání přenosných zařízení pro ukládání dat pouze v případě, že zbytkové riziko v oblasti IKT je v rozmezí přípustné odchylky rizika finančního subjektu uvedené v čl. 3 prvním pododstavci písm. a);
g)
postup bezpečného vymazání dat, která se nacházejí v prostorách finančního subjektu nebo jsou uložena externě a která finanční subjekt již nepotřebuje shromažďovat nebo uchovávat;
h)
postup bezpečné likvidace nebo vyřazení zařízení pro ukládání dat, která se nacházejí v prostorách finančního subjektu nebo jsou uložena externě a obsahují důvěrné informace;
i)
určení a zavedení bezpečnostních opatření, která brání ztrátě a úniku dat ze systémů a koncových zařízení;
j)
zavedení bezpečnostních opatření, která zajistí, že práce na dálku a používání soukromých koncových zařízení nebude mít nepříznivý dopad na bezpečnost IKT finančního subjektu;
k)
v případě aktiv v oblasti IKT nebo služeb provozovaných poskytovateli služeb IKT z řad třetích stran určení a zavedení požadavků na zachování digitální provozní odolnosti v souladu s výsledky klasifikace dat a posouzení rizik v oblasti IKT. Pro účely písmene b) zohledňuje základní úroveň bezpečné konfigurace uvedená v tomto písmenu osvědčené postupy a vhodné techniky stanovené v normách definovaných v čl. 2 bodě 1 nařízení (EU) č. 1025/2012. Pro účely písmene k) zohlední finanční subjekty toto:
a)
nastavení prvků provozovaných finančním subjektem v souladu s doporučeními dodavatele;
b)
jasné rozdělení úloh a povinností v oblasti bezpečnosti informací mezi finanční subjekt a poskytovatele služeb IKT z řad třetích stran v souladu se zásadou plné odpovědnosti finančního subjektu za svého poskytovatele služeb IKT z řad třetích stran uvedenou v čl. 28 odst. 1 písm. a) nařízení (EU) 2022/2554 a v případě finančních subjektů uvedených v čl. 28 odst. 2 uvedeného nařízení v souladu s politikou finančního subjektu týkající se využívání služeb IKT podporujících zásadní nebo důležité funkce;
c)
nutnost zajistit a udržovat v rámci finančního subjektu odpovídající kompetence v oblasti řízení a zajištění bezpečnosti při využívaní služby;
d)
technická a organizační opatření k minimalizaci rizik spojených s infrastrukturou, kterou poskytovatel služeb IKT z řad třetích stran používá pro své služby IKT, a to s ohledem na osvědčené postupy a normy definované v čl. 2 bodě 1 nařízení (EU) č. 1025/2012. 1. Přehled
1.1 Odkazy1.2 Identifikované požadavky1.3 Související standardy
2. Identifikované požadavky
3. Související standardy
|