|
+Άρθρο 11 2. |
Άρθρο 11 2.Στη διαδικασία ασφάλειας δεδομένων και συστημάτων που αναφέρεται στην παράγραφο 1 περιλαμβάνονται όλα τα ακόλουθα στοιχεία που σχετίζονται με την ασφάλεια των δεδομένων και των συστημάτων ΤΠΕ, με βάση την ταξινόμηση που καθορίζεται σύμφωνα με το άρθρο 8 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554:
α)
οι περιορισμοί πρόσβασης που αναφέρονται στο άρθρο 21 του παρόντος κανονισμού, οι οποίοι στηρίζουν τις απαιτήσεις προστασίας για κάθε επίπεδο ταξινόμησης·
β)
ο προσδιορισμός βάσης αναφοράς ασφαλούς διαμόρφωσης όσον αφορά τους πόρους ΤΠΕ, η οποία ελαχιστοποιεί την έκθεση των εν λόγω πόρων ΤΠΕ σε κυβερνοαπειλές, καθώς και μέτρων για την τακτική επαλήθευση της αποτελεσματικής εφαρμογής των εν λόγω βάσεων αναφοράς·
γ)
ο προσδιορισμός μέτρων ασφαλείας ώστε να διασφαλίζεται ότι μόνον εγκεκριμένο λογισμικό είναι εγκατεστημένο σε συστήματα ΤΠΕ και συσκευές τελικού σημείου·
δ)
ο προσδιορισμός μέτρων ασφαλείας κατά κακόβουλων κωδικών·
ε)
ο προσδιορισμός μέτρων ασφαλείας ώστε να διασφαλίζεται ότι για τη διαβίβαση και την αποθήκευση δεδομένων της χρηματοοικονομικής οντότητας χρησιμοποιούνται μόνον εγκεκριμένα μέσα αποθήκευσης δεδομένων, συστήματα και συσκευές τελικού σημείου·
στ)
οι ακόλουθες απαιτήσεις για την εξασφάλιση της χρήσης φορητών συσκευών τελικού σημείου και ιδιωτικών μη φορητών συσκευών τελικού σημείου:
i)
η απαίτηση χρήσης διαχειριστικής λύσης για την εξ αποστάσεως διαχείριση των συσκευών τελικού σημείου και την εξ αποστάσεως διαγραφή των δεδομένων της χρηματοοικονομικής οντότητας·
ii)
η απαίτηση χρήσης μηχανισμών ασφαλείας που δεν μπορούν να τροποποιηθούν, να καταργηθούν ή να παρακαμφθούν από μέλη του προσωπικού ή τρίτους παρόχους υπηρεσιών ΤΠΕ με μη επιτρεπτό τρόπο·
iii)
η απαίτηση χρήσης αφαιρούμενων συσκευών αποθήκευσης δεδομένων μόνον όταν η εναπομένουσα έκθεση σε κινδύνους ΤΠΕ παραμένει εντός του επιπέδου ανοχής κινδύνου της χρηματοοικονομικής οντότητας που αναφέρεται στο άρθρο 3 πρώτο εδάφιο στοιχείο α)·
ζ)
η διαδικασία για την ασφαλή διαγραφή δεδομένων, τα οποία υπάρχουν στις εγκαταστάσεις της χρηματοοικονομικής οντότητας ή αποθηκεύονται εξωτερικά, και τα οποία η χρηματοοικονομική οντότητα δεν χρειάζεται πλέον να συλλέγει ή να αποθηκεύει·
η)
η διαδικασία για την ασφαλή απόρριψη ή τον παροπλισμό συσκευών αποθήκευσης δεδομένων που βρίσκονται στις εγκαταστάσεις της χρηματοοικονομικής οντότητας ή αποθηκεύονται εξωτερικά και περιέχουν εμπιστευτικές πληροφορίες·
θ)
ο προσδιορισμός και η εφαρμογή μέτρων ασφαλείας για την πρόληψη της απώλειας και της διαρροής δεδομένων σε σχέση με τα συστήματα και τις συσκευές τελικού σημείου·
ι)
η εφαρμογή μέτρων ασφαλείας για να διασφαλίζεται ότι η τηλεργασία και η χρήση ιδιωτικών συσκευών τελικού σημείου δεν επηρεάζουν αρνητικά την ασφάλεια ΤΠΕ της χρηματοοικονομικής οντότητας·
ια)
για πόρους ή υπηρεσίες ΤΠΕ που διαχειρίζεται τρίτος πάροχος υπηρεσιών ΤΠΕ, ο προσδιορισμός και η εφαρμογή απαιτήσεων για τη διατήρηση της ψηφιακής επιχειρησιακής ανθεκτικότητας, σύμφωνα με τα αποτελέσματα της κατηγοριοποίησης δεδομένων και της αξιολόγησης κινδύνων ΤΠΕ. Για τους σκοπούς του στοιχείου β), η βάση αναφοράς ασφαλούς διαμόρφωσης που αναφέρεται στο εν λόγω σημείο λαμβάνει υπόψη κορυφαίες πρακτικές και κατάλληλες τεχνικές που προβλέπονται στα πρότυπα που ορίζονται στο άρθρο 2 σημείο 1) του κανονισμού (ΕΕ) αριθ. 1025/2012. Για τους σκοπούς του στοιχείου ια), οι χρηματοοικονομικές οντότητες λαμβάνουν υπόψη τα ακόλουθα:
α)
την εφαρμογή των ρυθμίσεων που συνιστά ο προμηθευτής σχετικά με τα στοιχεία που διαχειρίζεται η χρηματοοικονομική οντότητα·
β)
σαφή κατανομή των ρόλων και των αρμοδιοτήτων για την ασφάλεια των πληροφοριών μεταξύ της χρηματοοικονομικής οντότητας και του τρίτου παρόχου υπηρεσιών ΤΠΕ, σύμφωνα με την αρχή της πλήρους ευθύνης της χρηματοοικονομικής οντότητας επί του οικείου τρίτου παρόχου υπηρεσιών ΤΠΕ που αναφέρεται στο άρθρο 28 παράγραφος 1 στοιχείο α) του κανονισμού (ΕΕ) 2022/2554, και, για τις χρηματοοικονομικές οντότητες που αναφέρονται στο άρθρο 28 παράγραφος 2 του εν λόγω κανονισμού, σύμφωνα με την πολιτική της χρηματοοικονομικής οντότητας σχετικά με τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες·
γ)
την ανάγκη διασφάλισης και διατήρησης επαρκών ικανοτήτων στο πλαίσιο της χρηματοοικονομικής οντότητας σε σχέση με τη διαχείριση και την ασφάλεια της χρησιμοποιούμενης υπηρεσίας·
δ)
τεχνικά και οργανωτικά μέτρα για την ελαχιστοποίηση των κινδύνων που σχετίζονται με την υποδομή που χρησιμοποιείται από τον τρίτο πάροχο υπηρεσιών ΤΠΕ για τις οικείες υπηρεσίες ΤΠΕ, λαμβανομένων υπόψη των κορυφαίων πρακτικών και των προτύπων, όπως ορίζονται στο άρθρο 2 σημείο 1) του κανονισμού (ΕΕ) αριθ. 1025/2012. 1. Επισκόπηση
1.1 Παραπομπές1.2 Εντοπισμένες απαιτήσεις1.3 Σχετικά πρότυπα
2. Εντοπισμένες απαιτήσεις
3. Σχετικά πρότυπα
|