+Network Security

Network Security

Implement controls to prevent and detect unauthorized network connections. Establish and maintain a secure configuration baseline for all network components, following vendor instructions, industry standards, and best practices. Ensure Confidentiality, Integrity, and Availability (CIA) of data during network transmission. Prevent and detect data leakage, and secure data transfer with external parties. Implement measures to secure network traffic between internal networks and the internet/external connections. Apply encryption for all communication protocols over corporate, public, domestic, thirdparty, and wireless networks, based on data classification and risk assessments. 

Regularly review roles and responsibilities for defining, implementing, approving, changing, and reviewing firewall rules and connection filters.

Financial entities shall perform the review of firewall rules and connections filters on a regular basis according to the classification and overall risk profile of ICT systems involved. For the ICT systems supporting critical or important functions, the financial entities shall verify the adequacy of the existing firewall rules and connection filters at least every six months.

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede reguleringer

2. Identificerede krav

Krav

3. Relaterede reguleringer

Reguleringer
EULAW Artikel 9 4

4.   Som led i den ramme for IKT-risikostyring, der er omhandlet i artikel 6, stk. 1, skal de finansielle enheder

a)

udvikle og dokumentere en informationssikkerhedspolitik, der fastlægger regler for beskyttelse af tilgængeligheden, autenticiteten, integriteten og fortroligheden af data, informationsaktiver og IKT-aktiver, herunder deres kunders, hvis det er relevant

b)

ved at følge en risikobaseret tilgang indføre en forsvarlig forvaltningsstruktur for netværk og infrastrukturer ved anvendelse af passende teknikker, metoder og protokoller, der kan omfatte gennemførelse af automatiske mekanismer til isolering af de berørte informationsaktiver i tilfælde af cyberangreb

c)

gennemføre politikker, der begrænser den fysiske eller logiske adgang til informationsaktiver og IKT-aktiver udelukkende til, hvad der er påkrævet for legitime og godkendte funktioner og aktiviteter, og med henblik herpå indføre en række politikker, procedurer og kontroller, der vedrører adgangsrettigheder og sikrer forsvarlig forvaltning heraf

d)

gennemføre politikker og protokoller for stærke autentificeringsmekanismer på grundlag af relevante standarder og særlige kontrolsystemer og beskyttelsesforanstaltninger for krypteringsnøgler, hvorigennem data krypteres baseret på resultaterne fra godkendt dataklassificering og godkendte IKT-risikovurderingsprocesser

e)

gennemføre dokumenterede politikker, procedurer og kontroller for styring af IKT-ændringer, herunder ændringer af software, hardware, firmwarekomponenter, systemer eller sikkerhedsparametre, som er baseret på en risikovurderingstilgang og er en integreret del af den finansielle enheds samlede ændringsstyringsproces, for at sikre, at alle ændringer af IKT-systemer registreres, testes, vurderes, godkendes, gennemføres og efterprøves på en kontrolleret måde

f)

sørge for, at der indføres passende og omfattende dokumenterede politikker for programrettelser og opdateringer.

Med henblik på første afsnit, litra b), udformer de finansielle enheder infrastrukturen for netværkstilslutning på en sådan måde, at den kan afbrydes eller segmenteres øjeblikkeligt for at minimere og forhindre afsmitning, navnlig i forbindelse med indbyrdes forbundne finansielle processer.

Med henblik på første afsnit, litra e), skal IKT-ændringsstyringsprocessen godkendes på passende ledelsesniveauer og omfatte specifikke protokoller.
EULAW Artikel 12 4

4.   Finansielle enheder, der ikke er mikrovirksomheder, opretholder redundante IKT-kapaciteter, der er udstyret med passende ressourcer og funktioner med henblik på at sikre forretningsmæssige behov. Mikrovirksomheder vurderer behovet for at opretholde sådanne redundante IKT-kapaciteter på grundlag af deres risikoprofil.
EULAW Artikel 13 Styring af netsikkerhed

Artikel 13

Styring af netsikkerhed

Som led i de sikkerhedsforanstaltninger, der garanterer netsikkerheden mod indtrængen og datamisbrug, udvikler, dokumenterer og gennemfører finansielle enheder politikker, procedurer, protokoller og værktøjer for styring af netsikkerhed, herunder alle følgende:

a) 

adskillelse og segmentering af IKT-systemer og -netværk under hensyntagen til:

i) 

hvor kritisk eller vigtig den funktion, som disse IKT-systemer og -netværk understøtter, er

ii) 

den klassificering, der er fastlagt i overensstemmelse med artikel 8, stk. 1, i forordning (EU) 2022/2554

iii) 

den samlede risikoprofil for IKT-aktiver, der anvender disse IKT-systemer og -netværk

b) 

dokumentation for alle den finansielle enheds netværksforbindelser og datastrømme

c) 

anvendelse af et særskilt og dertil indrettet netværk til administration af IKT-aktiver

d) 

identifikation og gennemførelse af netadgangskontroller, som skal forebygge og detektere forbindelser til den finansielle enheds netværk ved hjælp af en uautoriseret enhed eller et uautoriseret system eller ethvert endpoint, der ikke opfylder den finansielle enheds sikkerhedskrav

e) 

kryptering af netværksforbindelser, der passerer gennem virksomhedsnetværk, offentlige netværk, indenlandske netværk, tredjeparters netværk og trådløse net, til de anvendte kommunikationsprotokoller, idet der tages hensyn til resultaterne af den godkendte dataklassificering, resultaterne af IKT-risikovurderingen og krypteringen af de netforbindelser, der er omhandlet i artikel 6, stk. 2

f) 

udformningen af netværk i overensstemmelse med de krav til IKT-sikkerhed, der er fastsat af den finansielle enhed, idet der tages hensyn til førende praksis for at sikre fortroligheden, integriteten og tilgængeligheden af netværket

g) 

sikring af netværkstrafikken mellem de interne netværk og internettet og andre eksterne forbindelser

h) 

identifikation af roller og ansvarsområder og trin i forbindelse med specifikation, gennemførelse, godkendelse, ændring og revision af firewallregler og forbindelsesfiltre

i) 

udførelsen af gennemgange af netarkitekturen og af udformningen af netsikkerheden en gang om året, og regelmæssigt for mikrovirksomheder, med henblik på at identificere potentielle sårbarheder

j) 

foranstaltninger til midlertidig isolering, hvis det er nødvendigt, af delnet og af netværkskomponenter og -udstyr

k) 

gennemførelse af en sikker konfigurationsstandard for alle netværkskomponenter og hærdning af netværket og netværksudstyr i overensstemmelse med eventuelle leverandørinstruktioner, hvis det er relevant, standarder som defineret i artikel 2, nr. (1), i forordning (EU) nr. 1025/2012, og førende praksis

l) 

procedurer, som skal begrænse, låse og afslutte system- og fjernsessioner efter en bestemt periode uden aktivitet

m) 

for aftaler om netværkstjenester:

i) 

identifikation og specificering af foranstaltninger vedrørende IKT og informationssikkerhed, serviceniveauer og styringskrav til alle netværkstjenester

ii) 

om disse tjenesteydelser leveres af en koncernintern udbyder af IKT-tjenester eller af tredjepartsudbydere af IKT-tjenester.

Med henblik på litra h) foretager finansielle enheder regelmæssigt en gennemgang af firewallregler og forbindelsesfiltre i overensstemmelse med den klassificering, der er fastlagt i overensstemmelse med artikel 8, stk. 1, i forordning (EU) 2022/2554, og den overordnede risikoprofil for de involverede IKT-systemer. For IKT-systemer, der understøtter kritiske eller vigtige funktioner, efterprøver finansielle enheder mindst hver sjette måned, at de eksisterende firewallregler og forbindelsesfiltre er tilstrækkelige.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.