+Endpoint Devices

Endpoint Devices

Enforce usage requirements for portable and nonportable endpoint devices. Ensure that only authorized data storage media, systems, and endpoint devices are used to transfer and store data. Implement security measures to ensure that teleworking and the use of private endpoint devices do not adversely impact the overall security of the entity. This includes having a centralized management solution to remotely manage and wipe endpoint devices, security mechanisms that cannot be modified, removed, or bypassed, and the use of removable data storage devices only when the residual ICT risk remains within predefined risk tolerance levels. Enforce security measures to allow only authorized software installation on systems and endpoint devices.

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související regulace

2. Identifikované požadavky

Požadavky

3. Související regulace

Regulace
EULAW Článek 9 2

2.   Finanční subjekty navrhují, opatřují a uplatňují politiky, postupy, protokoly a nástroje v oblasti bezpečnosti IKT, jejichž účelem je zajistit odolnost, kontinuitu provozu a dostupnost systémů IKT, zejména těch, které podporují zásadní nebo důležité funkce, a udržet vysoké standardy dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů během jejich uchovávání, používání i přenosu.
EULAW Článek 9 3

3.   K dosažení cílů uvedených v odstavci 2 využívají finanční subjekty řešení a procesy IKT, které jsou vhodné v souladu s článkem 4. Tato řešení a procesy IKT:

a)

zajišťují bezpečnost prostředků pro přenos dat;

b)

minimalizují riziko poškození nebo ztráty dat, neoprávněného přístupu a technických závad, jež mohou narušovat výkon obchodní činnosti;

c)

předcházejí narušení dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů a jejich ztrátě;

d)

zajišťují ochranu údajů před riziky vyplývajícími ze špatné správy údajů, včetně nekvalitní správy, rizik souvisejících se zpracováním a chyb způsobených lidským faktorem.
EULAW Článek 11 2.

Postup pro zajištění bezpečnosti údajů a systémů uvedený v odstavci 1 obsahuje všechny následující prvky týkající se bezpečnosti údajů a systémů IKT v souladu s klasifikací stanovenou podle čl. 8 odst. 1 nařízení (EU) 2022/2554:

a) 

omezení přístupu uvedená v článku 21 tohoto nařízení, která podporují požadavky na ochranu pro každý stupeň klasifikace;

b) 

určení základní úrovně bezpečné konfigurace aktiv v oblasti IKT, která minimalizuje riziko vystavení těchto aktiv v oblasti IKT kybernetickým hrozbám, a opatření k pravidelnému ověřování, zda jsou tyto základní úrovně konfigurace účinně zavedeny;

c) 

určení bezpečnostních opatření, která zajistí, že v systémech IKT a koncových zařízeních bude instalován pouze schválený software;

d) 

určení bezpečnostních opatření proti škodlivým kódům;

e) 

určení bezpečnostních opatření, která zajistí, aby se k přenosu a ukládání dat finančního subjektu používala pouze schválená média, systémy a koncová zařízení;

f) 

následující požadavky na zabezpečení používání přenosných koncových zařízení a soukromých nepřenosných koncových zařízení:

i) 

požadavek na používání řešení pro vzdálenou správu koncových zařízení a vzdálené vymazání dat finančního subjektu;

ii) 

požadavek na používání bezpečnostních mechanismů, které nemohou být neoprávněně upraveny, odstraněny nebo obejity zaměstnanci nebo poskytovateli služeb IKT z řad třetích stran;

iii) 

požadavek na používání přenosných zařízení pro ukládání dat pouze v případě, že zbytkové riziko v oblasti IKT je v rozmezí přípustné odchylky rizika finančního subjektu uvedené v čl. 3 prvním pododstavci písm. a);

g) 

postup bezpečného vymazání dat, která se nacházejí v prostorách finančního subjektu nebo jsou uložena externě a která finanční subjekt již nepotřebuje shromažďovat nebo uchovávat;

h) 

postup bezpečné likvidace nebo vyřazení zařízení pro ukládání dat, která se nacházejí v prostorách finančního subjektu nebo jsou uložena externě a obsahují důvěrné informace;

i) 

určení a zavedení bezpečnostních opatření, která brání ztrátě a úniku dat ze systémů a koncových zařízení;

j) 

zavedení bezpečnostních opatření, která zajistí, že práce na dálku a používání soukromých koncových zařízení nebude mít nepříznivý dopad na bezpečnost IKT finančního subjektu;

k) 

v případě aktiv v oblasti IKT nebo služeb provozovaných poskytovateli služeb IKT z řad třetích stran určení a zavedení požadavků na zachování digitální provozní odolnosti v souladu s výsledky klasifikace dat a posouzení rizik v oblasti IKT.

Pro účely písmene b) zohledňuje základní úroveň bezpečné konfigurace uvedená v tomto písmenu osvědčené postupy a vhodné techniky stanovené v normách definovaných v čl. 2 bodě 1 nařízení (EU) č. 1025/2012.

Pro účely písmene k) zohlední finanční subjekty toto:

a) 

nastavení prvků provozovaných finančním subjektem v souladu s doporučeními dodavatele;

b) 

jasné rozdělení úloh a povinností v oblasti bezpečnosti informací mezi finanční subjekt a poskytovatele služeb IKT z řad třetích stran v souladu se zásadou plné odpovědnosti finančního subjektu za svého poskytovatele služeb IKT z řad třetích stran uvedenou v čl. 28 odst. 1 písm. a) nařízení (EU) 2022/2554 a v případě finančních subjektů uvedených v čl. 28 odst. 2 uvedeného nařízení v souladu s politikou finančního subjektu týkající se využívání služeb IKT podporujících zásadní nebo důležité funkce;

c) 

nutnost zajistit a udržovat v rámci finančního subjektu odpovídající kompetence v oblasti řízení a zajištění bezpečnosti při využívaní služby;

d) 

technická a organizační opatření k minimalizaci rizik spojených s infrastrukturou, kterou poskytovatel služeb IKT z řad třetích stran používá pro své služby IKT, a to s ohledem na osvědčené postupy a normy definované v čl. 2 bodě 1 nařízení (EU) č. 1025/2012.
EULAW Článek 20 1.
V rámci kontroly správy přístupových práv finanční subjekty vypracují, zdokumentují a zavedou politiky a postupy správy identit, které zajistí jedinečnou identifikaci a autentizaci fyzických osob a systémů přistupujících k informacím finančních subjektů, aby bylo možné přidělovat uživatelská přístupová práva v souladu s článkem 21.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.