+Network Design and Segmentation
|
Network Design and Segmentation
Design the network infrastructure in a way that allows it to be instantaneously severed or segmented to minimize and prevent contagion. Have provisions for temporarily isolating subnetworks and network components/devices. Ensure redundant capabilities are equipped with sufficient resources, capabilities, and functions (e.g., redundant network setup). Systems and networks must be segregated based on function criticality, classification, and overall risk profile. Maintain a separate network for asset administration. Provide a Layer 3 or 7 (L3/L7) visual representation of all networks and data flows. Conduct yearly performance reviews of the network architecture/design.
1. Επισκόπηση
1.1 Παραπομπές
1.2 Εντοπισμένες απαιτήσεις
1.3 Σχετικοί κανονισμοί
2. Εντοπισμένες απαιτήσεις
3. Σχετικοί κανονισμοί
Κανονισμοί
| Πηγή |
Κανονισμός |
|
EULAW
|
Άρθρο 9 4
4. Στο πλαίσιο της διαχείρισης κινδύνων ΤΠΕ που αναφέρεται στο άρθρο 6 παράγραφος 1, οι χρηματοοικονομικές οντότητες:
|
α)
|
καταρτίζουν και τεκμηριώνουν πολιτική ασφάλειας των πληροφοριών που καθορίζει κανόνες για την προστασία της διαθεσιμότητας, της γνησιότητας, της ακεραιότητας και της εμπιστευτικότητας των δεδομένων, των πληροφοριακών πόρων και των πόρων ΤΠΕ, συμπεριλαμβανομένων εκείνων των πελατών τους, κατά περίπτωση,
|
|
β)
|
ακολουθώντας μια προσέγγιση βάσει κινδύνων, θεσπίζουν δομή ορθής διαχείρισης δικτύων και υποδομών, χρησιμοποιώντας κατάλληλες τεχνικές, μεθόδους και πρωτόκολλα, που μπορούν να περιλαμβάνουν την εφαρμογή αυτοματοποιημένων μηχανισμών για την απομόνωση των πληροφοριακών πόρων που επηρεάζονται σε περίπτωση κυβερνοεπιθέσεων,
|
|
γ)
|
εφαρμόζουν πολιτικές που περιορίζουν την υλική ή λογική πρόσβαση σε πληροφοριακούς πόρους και πόρους ΤΠΕ στην πρόσβαση που είναι απολύτως αναγκαία για τις νόμιμες και εγκεκριμένες λειτουργίες και δραστηριότητες και θεσπίζουν, για τον σκοπό αυτόν, ένα σύνολο πολιτικών, διαδικασιών και δικλείδων ασφάλειας που αφορούν τα δικαιώματα πρόσβασης και διασφαλίζουν την ορθή διαχείρισή τους,
|
|
δ)
|
εφαρμόζουν πολιτικές και πρωτόκολλα για ισχυρούς μηχανισμούς αυθεντικοποίησης, με βάση σχετικά πρότυπα και ειδικά συστήματα ελέγχου, και προστατευτικά μέτρα κρυπτογραφικών κλειδιών με τα οποία κρυπτογραφούνται δεδομένα, βάσει αποτελεσμάτων εγκεκριμένων διαδικασιών κατηγοριοποίησης δεδομένων και αξιολόγησης κινδύνων ΤΠΕ,
|
|
ε)
|
εφαρμόζουν τεκμηριωμένες πολιτικές, διαδικασίες και δικλείδες ασφάλειας για τη διαχείριση αλλαγών στις ΤΠΕ, συμπεριλαμβανομένων αλλαγών σε λογισμικό, υλισμικό, στοιχεία, συστήματα ή παράμετροι ασφάλειας υλικολογισμικού, που βασίζονται σε μια προσέγγιση αξιολόγησης κινδύνου και αποτελούν αναπόσπαστο μέρος της συνολικής διαδικασίας διαχείρισης αλλαγών της χρηματοοικονομικής οντότητας, ώστε να διασφαλιστεί ότι όλες οι αλλαγές στα συστήματα ΤΠΕ καταγράφονται, δοκιμάζονται, αξιολογούνται, εγκρίνονται, εφαρμόζονται και επαληθεύονται με ελεγχόμενο τρόπο,
|
|
στ)
|
διαθέτουν κατάλληλες και ολοκληρωμένες τεκμηριωμένες πολιτικές σχετικά με τις ενημερώσεις κώδικα και τις επικαιροποιήσεις.
|
Για τους σκοπούς του πρώτου εδαφίου στοιχείο β), οι χρηματοοικονομικές οντότητες σχεδιάζουν την υποδομή σύνδεσης δικτύου κατά τρόπο ώστε να μπορεί να διακοπεί ή να κατατμηθεί στιγμιαία, προκειμένου να ελαχιστοποιείται και να αποτρέπεται η μετάδοση, ιδίως όσον αφορά τις διασυνδεδεμένες χρηματοοικονομικές διαδικασίες.
Για τους σκοπούς του πρώτου εδαφίου στοιχείο ε), η διαδικασία διαχείρισης αλλαγών ΤΠΕ εγκρίνεται από κατάλληλες ιεραρχικές δομές και διαθέτει ειδικά πρωτόκολλα.
|
|
EULAW
|
Άρθρο 12 4
4. Οι χρηματοοικονομικές οντότητες, πλην των πολύ μικρών επιχειρήσεων, διατηρούν εφεδρικές χωρητικότητες ΤΠΕ εξοπλισμένες με επαρκείς πόρους, ικανότητες και λειτουργίες για την κάλυψη των επιχειρηματικών αναγκών. Οι πολύ μικρές επιχειρήσεις αξιολογούν την ανάγκη διατήρησης αυτών των εφεδρικών χωρητικοτήτων ΤΠΕ με βάση το προφίλ κινδύνου τους.
|
|
EULAW
|
Άρθρο 13 Διαχείριση ασφάλειας δικτύου
Άρθρο 13
Διαχείριση ασφάλειας δικτύου
Οι χρηματοοικονομικές οντότητες, στο πλαίσιο των διασφαλίσεων που εγγυώνται την ασφάλεια των δικτύων έναντι εισβολών και κατάχρησης δεδομένων, αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν πολιτικές, διαδικασίες, πρωτόκολλα και εργαλεία για τη διαχείριση της ασφάλειας δικτύου, μεταξύ άλλων όλα τα ακόλουθα:
α)
τον διαχωρισμό και την κατάτμηση των συστημάτων και δικτύων ΤΠΕ, λαμβάνοντας υπόψη:
i)
την κρισιμότητα ή τη σημασία της λειτουργίας την οποία υποστηρίζουν τα εν λόγω συστήματα και δίκτυα ΤΠΕ·
ii)
την ταξινόμηση που καθορίζεται σύμφωνα με το άρθρο 8 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554·
iii)
το συνολικό προφίλ κινδύνου των πόρων ΤΠΕ οι οποίοι χρησιμοποιούν τα εν λόγω συστήματα και δίκτυα ΤΠΕ·
β)
την τεκμηρίωση όλων των συνδέσεων δικτύου και των ροών δεδομένων της χρηματοοικονομικής οντότητας·
γ)
τη χρήση χωριστού και ειδικού δικτύου για τη διαχείριση των πόρων ΤΠΕ·
δ)
τον προσδιορισμό και την εφαρμογή ελέγχων πρόσβασης στο δίκτυο για την πρόληψη και τον εντοπισμό συνδέσεων στο δίκτυο της χρηματοοικονομικής οντότητας από οποιαδήποτε μη εγκεκριμένη συσκευή ή σύστημα, ή τελικό σημείο που δεν πληροί τις απαιτήσεις ασφαλείας της χρηματοοικονομικής οντότητας·
ε)
την κρυπτογράφηση συνδέσεων δικτύου που διέρχονται μέσω εταιρικών δικτύων, δημόσιων δικτύων, εγχώριων δικτύων, δικτύων τρίτων και ασύρματων δικτύων, για τα χρησιμοποιούμενα πρωτόκολλα επικοινωνίας, με συνεκτίμηση των αποτελεσμάτων της εγκεκριμένης κατηγοριοποίησης δεδομένων, των αποτελεσμάτων της αξιολόγησης κινδύνων ΤΠΕ και της κρυπτογράφησης των συνδέσεων δικτύου που αναφέρονται στο άρθρο 6 παράγραφος 2·
στ)
τον σχεδιασμό δικτύων σύμφωνα με τις απαιτήσεις ασφάλειας ΤΠΕ που έχει θεσπίσει η χρηματοοικονομική οντότητα, με συνεκτίμηση κορυφαίων πρακτικών για τη διασφάλιση της εμπιστευτικότητας, της ακεραιότητας και της διαθεσιμότητας του δικτύου·
ζ)
τη διασφάλιση της κίνησης στο δίκτυο μεταξύ των εσωτερικών δικτύων και του διαδικτύου και άλλων εξωτερικών συνδέσεων·
η)
τον προσδιορισμό των ρόλων και των αρμοδιοτήτων και των βημάτων για τον καθορισμό, την εφαρμογή, την έγκριση, την αλλαγή και την επανεξέταση των κανόνων του τείχους προστασίας και των φίλτρων σύνδεσης·
θ)
τη διενέργεια επανεξετάσεων της αρχιτεκτονικής δικτύου και του σχεδιασμού ασφάλειας δικτύου μία φορά ετησίως και περιοδικά για τις πολύ μικρές επιχειρήσεις, για τον εντοπισμό πιθανών ευπαθειών·
ι)
τα μέτρα για την προσωρινή απομόνωση, κατά περίπτωση, των υποδικτύων και των στοιχείων και συσκευών δικτύου·
ια)
την εφαρμογή βάσης αναφοράς ασφαλούς διαμόρφωσης όλων των στοιχείων του δικτύου και τη θωράκιση του δικτύου και των συσκευών δικτύου σύμφωνα με τυχόν οδηγίες του προμηθευτή, κατά περίπτωση, με πρότυπα, όπως ορίζονται στο άρθρο 2 σημείο 1) του κανονισμού (ΕΕ) αριθ. 1025/2012, και με κορυφαίες πρακτικές·
ιβ)
τις διαδικασίες περιορισμού, κλειδώματος και τερματισμού λειτουργίας συστημάτων και των απομακρυσμένων περιόδων λειτουργίας μετά από συγκεκριμένη περίοδο αδράνειας·
ιγ)
όσον αφορά τις συμφωνίες υπηρεσιών δικτύου:
i)
τον προσδιορισμό και την εξειδίκευση των μέτρων ασφάλειας ΤΠΕ και πληροφοριών, των επιπέδων υπηρεσιών και των απαιτήσεων διαχείρισης όλων των υπηρεσιών δικτύου·
ii)
αν οι εν λόγω υπηρεσίες παρέχονται από ενδοομιλικό πάροχο υπηρεσιών ΤΠΕ ή από τρίτους παρόχους υπηρεσιών ΤΠΕ.
Για τους σκοπούς του στοιχείου η), οι χρηματοοικονομικές οντότητες διενεργούν την επανεξέταση των κανόνων του τείχους προστασίας και των φίλτρων σύνδεσης σε τακτική βάση σύμφωνα με την ταξινόμηση που καθορίζεται σύμφωνα με το άρθρο 8 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554 και το συνολικό προφίλ κινδύνου των σχετικών συστημάτων ΤΠΕ. Για τα συστήματα ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, οι χρηματοοικονομικές οντότητες επαληθεύουν την επάρκεια των υφιστάμενων κανόνων του τείχους προστασίας και των φίλτρων σύνδεσης τουλάχιστον κάθε 6 μήνες.
|
|