KAPITOLA II Další prvky systémů, protokolů a nástrojů pro minimalizaci dopadu rizik v oblasti ikt

přístupová práva k informačním aktivům, aktivům v oblasti IKT a jejich podporovaným funkcím a ke kritickým místům operací finančního subjektu jsou řízena na základě zásad „potřeba znát“ a „potřeba používat“ a zásady minimálních práv, a to i u vzdáleného a nouzového přístupu;

odpovědnost uživatelů, která zajišťuje, že uživatelé mohou být v souvislosti s činnostmi prováděnými v systémech IKT identifikováni;

postupy v oblasti správy účtů pro udělování, změnu nebo odebírání přístupových práv k uživatelským a obecným účtům, včetně obecných účtů správců:

metody ověřování, které jsou úměrné klasifikaci uvedené v čl. 30 odst. 1 a celkovému rizikovému profilu aktiv v oblasti IKT a které jsou založeny na osvědčených postupech;

přístupová práva jsou pravidelně přezkoumávána, a pokud již nejsou potřebná, jsou odebrána.

sledují a řídí životní cyklus všech aktiv v oblasti IKT;

sledují, zda jsou aktiva v oblasti IKT případně podporována poskytovateli služeb IKT z řad třetích stran finančních subjektů;

určují požadavky na kapacitu svých aktiv v oblasti IKT a opatření k udržení a zlepšení dostupnosti a účinnosti systémů IKT a předcházení nedostatku kapacity IKT dříve, než se projeví;

provádějí automatické skenování a posuzování zranitelnosti aktiv v oblasti IKT úměrně jejich klasifikaci podle čl. 30 odst. 1 a celkovému rizikovému profilu aktiv v oblasti IKT a provádějí opravy za účelem odstranění zjištěných zranitelností;

řídí rizika spojená se zastaralými, nepodporovanými nebo původními aktivy v oblasti IKT;

protokolují události související s řízením logického a fyzického přístupu, s operacemi IKT, včetně činností v systému a v síti, a s řízením změn v oblasti IKT;

určují a zavádějí opatření pro monitorování a analýzu informací o neobvyklých aktivitách a chování u zásadních nebo důležitých operací IKT;

zavádějí opatření ke sledování relevantních a aktuálních informací o kybernetických hrozbách;

provádějí opatření k identifikaci možných úniků informací, škodlivých kódů a dalších bezpečnostních hrozeb a veřejně známých zranitelností softwaru a hardwaru a kontrolují, zda existují odpovídající nové bezpečnostní aktualizace.

určení a zavedení opatření na ochranu údajů během jejich používání, přenosu i uchovávání;

určení a zavedení bezpečnostních opatření týkajících se používání softwaru, datových nosičů, systémů a koncových zařízení, které předávají a uchovávají data finančního subjektu;

určení a zavedení opatření k prevenci a odhalení neoprávněných připojení k síti finančního subjektu a k zabezpečení síťového provozu mezi interními sítěmi finančního subjektu a internetem a dalšími externími připojeními;

určení a zavedení opatření, která zajišťují dostupnost, hodnověrnost, integritu a důvěrnost údajů během síťových přenosů;

proces bezpečného vymazání údajů v prostorách nebo externě uchovávaných údajů, které již finanční subjekt nepotřebuje shromažďovat ani uchovávat;

proces bezpečné likvidace nebo vyřazení zařízení pro uchovávání údajů v prostorách nebo externě uložených zařízení pro uchovávání údajů, která obsahují důvěrné informace;

určení a zavedení opatření, která zajistí, že práce na dálku a používání soukromých koncových zařízení nebude mít nepříznivý dopad na schopnost finančního subjektu vykonávat své zásadní činnosti přiměřeným, včasným a bezpečným způsobem.

zajistí, aby před jakýmkoli pořízením nebo vývojem systémů IKT byly jasně specifikovány funkční a jiné než funkční požadavky, včetně požadavků na bezpečnost informací, a aby je schválila příslušná obchodní funkce;

zajistí testování a schválení systémů IKT před jejich prvním použitím a před zavedením změn v produkčním prostředí;

určí opatření ke zmírnění rizika neúmyslné úpravy nebo úmyslné manipulace se systémy IKT během vývoje a zavádění v produkčním prostředí.