+Network Design and Segmentation

Network Design and Segmentation

Design the network infrastructure in a way that allows it to be instantaneously severed or segmented to minimize and prevent contagion. Have provisions for temporarily isolating subnetworks and network components/devices. Ensure redundant capabilities are equipped with sufficient resources, capabilities, and functions (e.g., redundant network setup). Systems and networks must be segregated based on function criticality, classification, and overall risk profile. Maintain a separate network for asset administration. Provide a Layer 3 or 7 (L3/L7) visual representation of all networks and data flows. Conduct yearly performance reviews of the network architecture/design.

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související regulace

2. Identifikované požadavky

Požadavky

3. Související regulace

Regulace
EULAW Článek 9 4

4.   Jako součást rámce pro řízení rizika v oblasti IKT uvedeného v čl. 6 odst. 1 finanční subjekty:

a)

vypracují a zdokumentují politiku zabezpečení informací vymezující pravidla na ochranu dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů, informačních aktiv a aktiv v oblasti IKT, případně včetně uvedených aktiv jejich zákazníků;

b)

zavedou vhodné řízení sítí a infrastruktury na základě rizika využívající odpovídajících technik, metod a protokolů, které mohou zahrnovat zavedení automatizovaných mechanismů pro izolaci dotčených informačních aktiv v případě kybernetických útoků;

c)

uplatňují politiky omezující fyzický nebo logický přístup k informačním aktivům a aktivům v oblasti IKT na minimum nezbytné pro výkon oprávněných a schválených funkcí a činností a za tímto účelem vytvoří soubor politik, postupů a kontrol, který se zabývá přístupovými právy, a zajistí jejich řádnou správu;

d)

zavedou politiky a protokoly pro silné ověřovací mechanismy založené na příslušných normách a systémech speciálních kontrol a opatření na ochranu kryptografických klíčů, jimiž jsou zašifrována data, na základě výsledků schválené klasifikace dat a procesů posuzování rizika v oblasti IKT;

e)

zavedou zdokumentované politiky, postupy a kontroly pro řízení změn IKT, včetně změn softwarových, hardwarových a firmwarových komponentů, systémů nebo parametrů zabezpečení, vycházející z posouzení rizik a tvořící nedílnou součást celkových postupů finančního subjektu pro řízení změn, s cílem zajistit, aby všechny změny systémů IKT byly řízeně zaznamenány, otestovány, vyhodnoceny, schváleny, zavedeny a ověřeny;

f)

mají odpovídající a komplexní zdokumentované politiky pro dočasné opravy a aktualizace.

Pro účely prvního pododstavce písm. b) finanční subjekty navrhnou infrastrukturu připojení k síti umožňující jeho okamžité přerušení nebo segmentaci s cílem minimalizovat šíření krize a zabránit jejímu vzniku, zejména u vzájemně propojených finančních procesů.

Pro účely prvního pododstavce písm. e) jsou postupy řízení změn v oblasti IKT schvalovány příslušnými liniemi vedení a platí pro ně specifické protokoly.
EULAW Článek 12 4

4.   Finanční subjekty, jiné než mikropodniky, udržují rezervní kapacity IKT vybavené náležitými zdroji, schopnostmi a funkcemi pro zajištění potřeb jejich činnosti. Mikropodniky posuzují potřebu zachovat tyto nadbytečné kapacity IKT na základě svého rizikového profilu.
EULAW Článek 13 Řízení bezpečnosti sítí

Článek 13

Řízení bezpečnosti sítí

Finanční subjekty v rámci ochranných opatření zajišťujících bezpečnost sítí proti vniknutí a zneužití údajů vypracují, zdokumentují a zavedou politiky, postupy, protokoly a nástroje pro řízení bezpečnosti sítí, včetně všech následujících prvků:

a) 

oddělení a segmentace systémů a sítí IKT s ohledem na:

i) 

zásadnost nebo důležitost funkce, kterou tyto systémy a sítě IKT podporují;

ii) 

klasifikaci stanovenou v souladu s čl. 8 odst. 1 nařízení (EU) 2022/2554;

iii) 

celkový rizikový profil aktiv v oblasti IKT využívajících tyto systémy a sítě IKT;

b) 

dokumentace všech síťových připojení a datových toků finančního subjektu;

c) 

používání oddělené a vyhrazené sítě pro správu aktiv v oblasti IKT;

d) 

stanovení a provádění kontrol přístupu k síti, aby se zabránilo tomu, že se k síti finančního subjektu připojí jakékoli neschválené zařízení nebo systém nebo jakýkoli koncový bod, který nesplňuje bezpečnostní požadavky finančního subjektu;

e) 

šifrování síťových spojení procházejících podnikovými sítěmi, veřejnými sítěmi, domácími sítěmi, sítěmi třetích stran a bezdrátovými sítěmi pro používané komunikační protokoly s přihlédnutím k výsledkům schválené klasifikace dat, výsledkům posouzení rizik v oblasti IKT a šifrování síťových spojení podle čl. 6 odst. 2;

f) 

koncepce sítí v souladu s požadavky na bezpečnost IKT stanovenými finančním subjektem s přihlédnutím k osvědčeným postupům pro zajištění důvěrnosti, integrity a dostupnosti sítě;

g) 

zabezpečení síťového provozu mezi interními sítěmi a internetem a dalšími externími připojeními;

h) 

stanovení úloh a povinností a kroků pro specifikaci, provádění, schvalování, změnu a revizi pravidel brány firewall a filtrů připojení;

i) 

přezkumy architektury sítě a návrhu zabezpečení sítě prováděné jednou za rok a pravidelně u mikropodniků, aby se zjistily potenciální zranitelnosti;

j) 

opatření pro případnou dočasnou izolaci dílčích sítí a síťových komponent a zařízení;

k) 

zavedení základní úrovně bezpečné konfigurace všech síťových komponent a zabezpečení („hardening“) sítě a síťových zařízení v souladu s pokyny dodavatele, případně s normami definovanými v čl. 2 bodě 1 nařízení (EU) č. 1025/2012 a s osvědčenými postupy;

l) 

postupy pro omezení, uzamčení a ukončení systémových a vzdálených relací po určité době nečinnosti;

m) 

v případě smluv o síťových službách:

i) 

určení a specifikace opatření v oblasti bezpečnosti IKT a informací, úrovní služeb a požadavků na řízení všech síťových služeb;

ii) 

to, zda tyto služby poskytuje poskytovatel služeb IKT v rámci skupiny nebo poskytovatelé služeb IKT z řad třetích stran.

Pro účely písmene h) provádějí finanční subjekty pravidelný přezkum pravidel brány firewall a filtrů připojení v souladu s klasifikací stanovenou podle čl. 8 odst. 1 nařízení (EU) 2022/2554 a s celkovým rizikovým profilem příslušných systémů IKT. U systémů IKT, které podporují zásadní nebo důležité funkce, musí finanční subjekty ověřovat přiměřenost stávajících pravidel brány firewall a filtrů připojení nejméně jednou za šest měsíců.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.