+Secure Data Deletion and Disposal

Secure Data Deletion and Disposal

Establish a process to securely delete data on and offpremises. Establish a process to securely dispose or decommission data storage devices on and offpremises that contain confidential information.

1. Επισκόπηση

Τίτλος	Πρότυπο

1.1 Παραπομπές

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικοί κανονισμοί

2. Εντοπισμένες απαιτήσεις

Απαιτήσεις
Πηγή	Απαίτηση

3. Σχετικοί κανονισμοί

Κανονισμοί

EULAW

Άρθρο 9 2

2. Οι χρηματοοικονομικές οντότητες σχεδιάζουν, αποκτούν και εφαρμόζουν πολιτικές, διαδικασίες, πρωτόκολλα και εργαλεία ασφάλειας ΤΠΕ που έχουν ως στόχο τη διασφάλιση της ανθεκτικότητας, της συνέχειας και της διαθεσιμότητας των συστημάτων ΤΠΕ, ιδίως όσων υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, και τη διατήρηση υψηλών προτύπων διαθεσιμότητας, γνησιότητας, ακεραιότητας και εμπιστευτικότητας δεδομένων, ανεξάρτητα από το αν βρίσκονται σε κατάσταση αποθήκευσης, χρήσης ή διαβίβασης.

EULAW

Άρθρο 9 3

3. Για την επίτευξη των στόχων που αναφέρονται στην παράγραφο 2, οι χρηματοοικονομικές οντότητες χρησιμοποιούν λύσεις και διαδικασίες ΤΠΕ που είναι κατάλληλες σύμφωνα με το άρθρο 4. Οι εν λόγω λύσεις και διαδικασίες ΤΠΕ:

α)	εγγυώνται την ασφάλεια των μέσων διαβίβασης δεδομένων,

β)	ελαχιστοποιούν τον κίνδυνο αλλοίωσης ή απώλειας δεδομένων, μη εξουσιοδοτημένης πρόσβασης και τεχνικών σφαλμάτων που ενδέχεται να παρεμποδίσουν την επιχειρηματική δραστηριότητα,

γ)	προλαμβάνουν την έλλειψη διαθεσιμότητας, την υποβάθμιση της γνησιότητας και της ακεραιότητας, τις παραβιάσεις της εμπιστευτικότητας και την απώλεια δεδομένων,

δ)	διασφαλίζουν ότι τα δεδομένα προστατεύονται από κινδύνους που προκύπτουν από τη διαχείριση των δεδομένων, συμπεριλαμβανομένων της πλημμελούς διοίκησης, των κινδύνων που σχετίζονται με την επεξεργασία και του ανθρώπινου σφάλματος.

EULAW

Άρθρο 11 2.

Στη διαδικασία ασφάλειας δεδομένων και συστημάτων που αναφέρεται στην παράγραφο 1 περιλαμβάνονται όλα τα ακόλουθα στοιχεία που σχετίζονται με την ασφάλεια των δεδομένων και των συστημάτων ΤΠΕ, με βάση την ταξινόμηση που καθορίζεται σύμφωνα με το άρθρο 8 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554:

α)

οι περιορισμοί πρόσβασης που αναφέρονται στο άρθρο 21 του παρόντος κανονισμού, οι οποίοι στηρίζουν τις απαιτήσεις προστασίας για κάθε επίπεδο ταξινόμησης·

β)

ο προσδιορισμός βάσης αναφοράς ασφαλούς διαμόρφωσης όσον αφορά τους πόρους ΤΠΕ, η οποία ελαχιστοποιεί την έκθεση των εν λόγω πόρων ΤΠΕ σε κυβερνοαπειλές, καθώς και μέτρων για την τακτική επαλήθευση της αποτελεσματικής εφαρμογής των εν λόγω βάσεων αναφοράς·

γ)

ο προσδιορισμός μέτρων ασφαλείας ώστε να διασφαλίζεται ότι μόνον εγκεκριμένο λογισμικό είναι εγκατεστημένο σε συστήματα ΤΠΕ και συσκευές τελικού σημείου·

δ)

ο προσδιορισμός μέτρων ασφαλείας κατά κακόβουλων κωδικών·

ε)

ο προσδιορισμός μέτρων ασφαλείας ώστε να διασφαλίζεται ότι για τη διαβίβαση και την αποθήκευση δεδομένων της χρηματοοικονομικής οντότητας χρησιμοποιούνται μόνον εγκεκριμένα μέσα αποθήκευσης δεδομένων, συστήματα και συσκευές τελικού σημείου·

στ)

οι ακόλουθες απαιτήσεις για την εξασφάλιση της χρήσης φορητών συσκευών τελικού σημείου και ιδιωτικών μη φορητών συσκευών τελικού σημείου:

η απαίτηση χρήσης διαχειριστικής λύσης για την εξ αποστάσεως διαχείριση των συσκευών τελικού σημείου και την εξ αποστάσεως διαγραφή των δεδομένων της χρηματοοικονομικής οντότητας·

ii)

η απαίτηση χρήσης μηχανισμών ασφαλείας που δεν μπορούν να τροποποιηθούν, να καταργηθούν ή να παρακαμφθούν από μέλη του προσωπικού ή τρίτους παρόχους υπηρεσιών ΤΠΕ με μη επιτρεπτό τρόπο·

iii)

η απαίτηση χρήσης αφαιρούμενων συσκευών αποθήκευσης δεδομένων μόνον όταν η εναπομένουσα έκθεση σε κινδύνους ΤΠΕ παραμένει εντός του επιπέδου ανοχής κινδύνου της χρηματοοικονομικής οντότητας που αναφέρεται στο άρθρο 3 πρώτο εδάφιο στοιχείο α)·

ζ)

η διαδικασία για την ασφαλή διαγραφή δεδομένων, τα οποία υπάρχουν στις εγκαταστάσεις της χρηματοοικονομικής οντότητας ή αποθηκεύονται εξωτερικά, και τα οποία η χρηματοοικονομική οντότητα δεν χρειάζεται πλέον να συλλέγει ή να αποθηκεύει·

η)

η διαδικασία για την ασφαλή απόρριψη ή τον παροπλισμό συσκευών αποθήκευσης δεδομένων που βρίσκονται στις εγκαταστάσεις της χρηματοοικονομικής οντότητας ή αποθηκεύονται εξωτερικά και περιέχουν εμπιστευτικές πληροφορίες·

θ)

ο προσδιορισμός και η εφαρμογή μέτρων ασφαλείας για την πρόληψη της απώλειας και της διαρροής δεδομένων σε σχέση με τα συστήματα και τις συσκευές τελικού σημείου·

ι)

η εφαρμογή μέτρων ασφαλείας για να διασφαλίζεται ότι η τηλεργασία και η χρήση ιδιωτικών συσκευών τελικού σημείου δεν επηρεάζουν αρνητικά την ασφάλεια ΤΠΕ της χρηματοοικονομικής οντότητας·

ια)

για πόρους ή υπηρεσίες ΤΠΕ που διαχειρίζεται τρίτος πάροχος υπηρεσιών ΤΠΕ, ο προσδιορισμός και η εφαρμογή απαιτήσεων για τη διατήρηση της ψηφιακής επιχειρησιακής ανθεκτικότητας, σύμφωνα με τα αποτελέσματα της κατηγοριοποίησης δεδομένων και της αξιολόγησης κινδύνων ΤΠΕ.

Για τους σκοπούς του στοιχείου β), η βάση αναφοράς ασφαλούς διαμόρφωσης που αναφέρεται στο εν λόγω σημείο λαμβάνει υπόψη κορυφαίες πρακτικές και κατάλληλες τεχνικές που προβλέπονται στα πρότυπα που ορίζονται στο άρθρο 2 σημείο 1) του κανονισμού (ΕΕ) αριθ. 1025/2012.

Για τους σκοπούς του στοιχείου ια), οι χρηματοοικονομικές οντότητες λαμβάνουν υπόψη τα ακόλουθα:

α)

την εφαρμογή των ρυθμίσεων που συνιστά ο προμηθευτής σχετικά με τα στοιχεία που διαχειρίζεται η χρηματοοικονομική οντότητα·

β)

σαφή κατανομή των ρόλων και των αρμοδιοτήτων για την ασφάλεια των πληροφοριών μεταξύ της χρηματοοικονομικής οντότητας και του τρίτου παρόχου υπηρεσιών ΤΠΕ, σύμφωνα με την αρχή της πλήρους ευθύνης της χρηματοοικονομικής οντότητας επί του οικείου τρίτου παρόχου υπηρεσιών ΤΠΕ που αναφέρεται στο άρθρο 28 παράγραφος 1 στοιχείο α) του κανονισμού (ΕΕ) 2022/2554, και, για τις χρηματοοικονομικές οντότητες που αναφέρονται στο άρθρο 28 παράγραφος 2 του εν λόγω κανονισμού, σύμφωνα με την πολιτική της χρηματοοικονομικής οντότητας σχετικά με τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες·

γ)

την ανάγκη διασφάλισης και διατήρησης επαρκών ικανοτήτων στο πλαίσιο της χρηματοοικονομικής οντότητας σε σχέση με τη διαχείριση και την ασφάλεια της χρησιμοποιούμενης υπηρεσίας·

δ)

τεχνικά και οργανωτικά μέτρα για την ελαχιστοποίηση των κινδύνων που σχετίζονται με την υποδομή που χρησιμοποιείται από τον τρίτο πάροχο υπηρεσιών ΤΠΕ για τις οικείες υπηρεσίες ΤΠΕ, λαμβανομένων υπόψη των κορυφαίων πρακτικών και των προτύπων, όπως ορίζονται στο άρθρο 2 σημείο 1) του κανονισμού (ΕΕ) αριθ. 1025/2012.

EULAW

Άρθρο 20 1.

Στο πλαίσιο ελέγχου της διαχείρισης δικαιωμάτων πρόσβασης, οι χρηματοοικονομικές οντότητες αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν πολιτικές και διαδικασίες διαχείρισης ταυτότητας που διασφαλίζουν τη μοναδική ταυτοποίηση και επαλήθευση ταυτότητας των φυσικών προσώπων και των συστημάτων που έχουν πρόσβαση στις πληροφορίες των χρηματοοικονομικών οντοτήτων, ώστε να καθίσταται δυνατή η εκχώρηση δικαιωμάτων πρόσβασης χρήστη σύμφωνα με το άρθρο 21.

NOREA -
EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.