KAPITEL II Yderligere elementer i systemer, protokoller og værktøjer til minimering af virkningerne af IKT-risici

adgangsrettigheder til informationsaktiver, IKT-aktiver og deres understøttede funktioner og til kritiske driftssteder for den finansielle enhed forvaltes på need to know-basis, need to use-basis og least privilege-basis, herunder for fjern- og hasteadgang

brugeransvar, som sikrer, at brugerne kan identificeres for de handlinger, der udføres i IKT-systemerne

procedurer for kontoforvaltning med henblik på tildeling, ændring eller tilbagekaldelse af adgangsrettigheder for brugerkonti og generiske konti, herunder generiske administratorkonti

autentificeringsmetoder, der svarer til den klassificering, der er omhandlet i artikel 30, stk. 1, og til IKT-aktivernes overordnede risikoprofil, og som er baseret på førende praksis

adgangsrettigheder gennemgås regelmæssigt og trækkes tilbage, når de ikke længere er nødvendige.

overvåger og forvalter livscyklussen for alle IKT-aktiver

overvåger, om IKT-aktiverne understøttes af tredjepartsudbydere af IKT-tjenester fra finansielle enheder, hvis det er relevant

identificerer kapacitetskrav til deres IKT-aktiver og foranstaltninger til at opretholde og forbedre IKT-systemernes tilgængelighed og effektivitet og forebygge mangel på IKT-kapacitet, inden de forekommer

foretager automatiseret sårbarhedsscanning og automatiserede vurderinger af IKT-aktiver, som står i rimeligt forhold til deres klassificering, jf. artikel 30, stk. 1, og til IKT-aktivets overordnede risikoprofil, og tager korrektioner i brug for at afhjælpe konstaterede sårbarheder

styrer de risici, der er forbundet med forældede, ikkeunderstøttede eller legacy-IKT-aktiver

logfører hændelser, som vedrører logisk og fysisk adgangskontrol, IKT-operationer, herunder system- og netværkstrafikaktiviteter, og styring af IKT-ændringer

identificerer og gennemfører foranstaltninger til overvågning og analyse af oplysninger om anormale aktiviteter og anormal adfærd, som vedrører kritiske eller vigtige IKT-operationer

gennemfører foranstaltninger til overvågning af relevante og ajourførte oplysninger om cybertrusler

gennemfører foranstaltninger til at konstatere mulige informationslækager, ondsindede kodetyper og andre sikkerhedstrusler og offentligt kendte sårbarheder i software og hardware og tjekker, om der findes dertil svarende nye sikkerhedsopdateringer.

identifikation og gennemførelse af foranstaltninger til beskyttelse af data, som i brug, under overførsel og inaktive

identifikation og gennemførelse af sikkerhedsforanstaltninger med henblik på brugen af software, datalagringsmedier, -systemer og endpoint-enheder til at overføre og lagre den finansielle enheds data

identifikation og gennemførelse af foranstaltninger til forebyggelse og detektion af uautoriserede forbindelser til den finansielle enheds netværk og til sikring af nettrafikken mellem den finansielle enheds interne netværk og internettet og andre eksterne forbindelser

identifikation og gennemførelse af foranstaltninger, der sikrer tilgængeligheden, autenticiteten, integriteten og fortroligheden af data i forbindelse med under overførsel på nettet

proces for sikker sletning af data, der findes i den finansielle enheds lokaler eller lagres eksternt, som den finansielle enhed ikke længere behøver at indsamle eller lagre

en proces til sikker bortskaffelse eller demontering af datalagringsenheder i lokaler eller datalagringsenheder, der er lagret eksternt, og som indeholder fortrolige oplysninger

identifikation og gennemførelse af foranstaltninger til at sikre, at telearbejde og brugen af private endpoint-enheder ikke har en negativ indvirkning på den finansielle enheds evne til at udøve sine kritiske aktiviteter på en passende, rettidig og sikker måde.

inden erhvervelse eller udvikling af IKT-systemer finder sted, sikre, at de funktionelle og ikkefunktionelle krav, herunder informationssikkerhedskrav, er klart angivet og godkendt af den pågældende forretningsfunktion

sikre test og godkendelse af IKT-systemer forud for deres første anvendelse, og inden der indføres ændringer i produktionsmiljøet

angive foranstaltninger, som skal mindske risikoen for utilsigtet ændring eller forsætlig manipulation af IKT-systemer i forbindelse med udviklingen og gennemførelsen af disse IKT-systemer i produktionsmiljøet.