+ΚΕΦΑΛΑΙΟ II Περαιτέρω στοιχεία συστημάτων, πρωτοκόλλων και εργαλείων για την ελαχιστοποίηση των επιπτώσεων των κινδύνων ΤΠΕ
---+Άρθρο 33 Έλεγχος πρόσβασης
---+Άρθρο 34 Ασφάλεια λειτουργιών ΤΠΕ
---+Άρθρο 35 Ασφάλεια δεδομένων, συστημάτων και δικτύων
---+Άρθρο 36 Δοκιμές ασφάλειας ΤΠΕ
------+Άρθρο 36 1.
------+Άρθρο 36 2.
------+Άρθρο 36 3.
---+Άρθρο 37 Απόκτηση, ανάπτυξη και συντήρηση συστημάτων ΤΠΕ
---+Άρθρο 38 Διαχείριση έργων και αλλαγών ΤΠΕ
------+Άρθρο 38 1.
------+Άρθρο 38 2.
|
ΚΕΦΑΛΑΙΟ II Περαιτέρω στοιχεία συστημάτων, πρωτοκόλλων και εργαλείων για την ελαχιστοποίηση των επιπτώσεων των κινδύνων ΤΠΕ
ΚΕΦΑΛΑΙΟ II Περαιτέρω στοιχεία συστημάτων, πρωτοκόλλων και εργαλείων για την ελαχιστοποίηση των επιπτώσεων των κινδύνων ΤΠΕ
1. Επισκόπηση
| Τίτλος |
Κανονισμός |
|
Άρθρο 33 Έλεγχος πρόσβασης
|
Άρθρο 33
Οι χρηματοοικονομικές οντότητες που αναφέρονται στο άρθρο 16 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554 αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν διαδικασίες για τον έλεγχο της λογικής και φυσικής πρόσβασης και επιβάλλουν, παρακολουθούν και επανεξετάζουν περιοδικά τις εν λόγω διαδικασίες. Οι διαδικασίες αυτές περιλαμβάνουν τα ακόλουθα στοιχεία ελέγχου της λογικής και φυσικής πρόσβασης:
α)
διαχείριση των δικαιωμάτων πρόσβασης σε πληροφοριακούς πόρους, πόρους ΤΠΕ και στις υποστηριζόμενες λειτουργίες τους, καθώς και σε κρίσιμες τοποθεσίες λειτουργίας της χρηματοοικονομικής οντότητας, με βάση την ανάγκη γνώσης, την ανάγκη χρήσης και τα ελάχιστα προνόμια, συμπεριλαμβανομένης της εξ αποστάσεως πρόσβασης και της πρόσβασης έκτακτης ανάγκης·
β)
λογοδοσία χρήστη, η οποία διασφαλίζει ότι μπορούν να ταυτοποιούνται οι χρήστες για τις ενέργειες που εκτελούνται στα συστήματα ΤΠΕ·
γ)
διαδικασίες διαχείρισης λογαριασμών για τη χορήγηση, την αλλαγή ή την ανάκληση δικαιωμάτων πρόσβασης για λογαριασμούς χρήστη και γενικούς λογαριασμούς, συμπεριλαμβανομένων γενικών λογαριασμών διαχειριστή·
δ)
μεθόδους επαλήθευσης ταυτότητας που είναι ανάλογες προς την ταξινόμηση που αναφέρεται στο άρθρο 30 παράγραφος 1 και προς το συνολικό προφίλ κινδύνου των πόρων ΤΠΕ, και οι οποίες βασίζονται σε κορυφαίες πρακτικές·
ε)
περιοδική επανεξέταση των δικαιωμάτων πρόσβασης και ανάκληση αυτών όταν δεν είναι πλέον αναγκαία.
Για τους σκοπούς του στοιχείου γ), η χρηματοοικονομική οντότητα εκχωρεί προνομιακή πρόσβαση, πρόσβαση έκτακτης ανάγκης και διαχειριστή με βάση την ανάγκη χρήσης ή ad hoc για όλα τα συστήματα ΤΠΕ και προχωρά σε καταγραφή σύμφωνα με το άρθρο 34 πρώτο εδάφιο στοιχείο στ).
Για τους σκοπούς του στοιχείου δ), οι χρηματοοικονομικές οντότητες χρησιμοποιούν μεθόδους ισχυρής αυθεντικοποίησης που βασίζονται σε κορυφαίες πρακτικές για την εξ αποστάσεως πρόσβαση στο δίκτυο των χρηματοοικονομικών οντοτήτων, για προνομιακή πρόσβαση και για την πρόσβαση σε πόρους ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες που είναι δημόσια διαθέσιμες.
|
|
Άρθρο 34 Ασφάλεια λειτουργιών ΤΠΕ
|
Άρθρο 34
Οι χρηματοοικονομικές οντότητες που αναφέρονται στο άρθρο 16 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554, στο πλαίσιο των συστημάτων, των πρωτοκόλλων και των εργαλείων τους, και για όλους τους πόρους ΤΠΕ:
α)
παρακολουθούν και διαχειρίζονται τον κύκλο ζωής όλων των πόρων ΤΠΕ·
β)
παρακολουθούν αν οι πόροι ΤΠΕ υποστηρίζονται από τρίτους παρόχους υπηρεσιών ΤΠΕ στις χρηματοοικονομικές οντότητες, κατά περίπτωση·
γ)
προσδιορίζουν τις απαιτήσεις χωρητικότητας των οικείων πόρων ΤΠΕ και μέτρα για τη διατήρηση και τη βελτίωση της διαθεσιμότητας και της αποτελεσματικότητας των συστημάτων ΤΠΕ και την πρόληψη ελλείψεων χωρητικότητας ΤΠΕ πριν από την υλοποίησή τους·
δ)
διενεργούν αυτοματοποιημένη σάρωση και αυτοματοποιημένες αξιολογήσεις ευπαθειών των πόρων ΤΠΕ ανάλογα με την ταξινόμησή τους, όπως αναφέρεται στο άρθρο 30 παράγραφος 1, και με το συνολικό προφίλ κινδύνου του πόρου ΤΠΕ, και αναπτύσσουν ενημερώσεις κώδικα για την αντιμετώπιση των εντοπιζόμενων ευπαθειών·
ε)
διαχειρίζονται τους κινδύνους που σχετίζονται με ανεπίκαιρους, μη υποστηριζόμενους ή παρωχημένους πόρους ΤΠΕ·
στ)
καταγράφουν τα συμβάντα που σχετίζονται με τον έλεγχο λογικής και φυσικής πρόσβασης, τις λειτουργίες ΤΠΕ, συμπεριλαμβανομένων των δραστηριοτήτων κίνησης συστημάτων και δικτύων, και τη διαχείριση αλλαγών ΤΠΕ·
ζ)
προσδιορίζουν και εφαρμόζουν μέτρα για την παρακολούθηση και την ανάλυση πληροφοριών σχετικά με ασυνήθιστες δραστηριότητες και συμπεριφορά για κρίσιμες ή σημαντικές λειτουργίες ΤΠΕ·
η)
εφαρμόζουν μέτρα για την παρακολούθηση συναφών και επικαιροποιημένων πληροφοριών σχετικά με τις κυβερνοαπειλές·
θ)
εφαρμόζουν μέτρα για τον εντοπισμό πιθανών διαρροών πληροφοριών, κακόβουλων κωδικών και άλλων απειλών για την ασφάλεια, καθώς και δημοσίως γνωστών ευπαθειών του λογισμικού και του υλισμικού, και ελέγχουν αν υπάρχουν αντίστοιχες νέες ενημερώσεις ασφαλείας.
Για τους σκοπούς του στοιχείου στ), οι χρηματοοικονομικές οντότητες ευθυγραμμίζουν τον βαθμό λεπτομέρειας των αρχείων καταγραφής με τον σκοπό τους και τη χρήση του πόρου ΤΠΕ που παράγει τα εν λόγω αρχεία καταγραφής.
|
|
Άρθρο 35 Ασφάλεια δεδομένων, συστημάτων και δικτύων
|
Άρθρο 35
Ασφάλεια δεδομένων, συστημάτων και δικτύων
Οι χρηματοοικονομικές οντότητες που αναφέρονται στο άρθρο 16 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554, στο πλαίσιο των συστημάτων, των πρωτοκόλλων και των εργαλείων τους, αναπτύσσουν και εφαρμόζουν διασφαλίσεις που εγγυώνται την ασφάλεια των δικτύων από εισβολές και κατάχρηση δεδομένων και που διατηρούν τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα και την εμπιστευτικότητα των δεδομένων. Ειδικότερα, οι χρηματοοικονομικές οντότητες, λαμβάνοντας υπόψη την ταξινόμηση που αναφέρεται στο άρθρο 30 παράγραφος 1 του παρόντος κανονισμού, καθορίζουν όλα τα ακόλουθα:
α)
τον προσδιορισμό και την εφαρμογή μέτρων για την προστασία των δεδομένων σε κατάσταση χρήσης, διαβίβασης και αποθήκευσης·
β)
τον προσδιορισμό και την εφαρμογή μέτρων ασφαλείας σχετικά με τη χρήση λογισμικού, μέσων αποθήκευσης δεδομένων, συστημάτων και συσκευών τελικού σημείου που διαβιβάζουν και αποθηκεύουν τα δεδομένα της χρηματοοικονομικής οντότητας·
γ)
τον προσδιορισμό και την εφαρμογή μέτρων για την πρόληψη και τον εντοπισμό μη εγκεκριμένων συνδέσεων στο δίκτυο της χρηματοοικονομικής οντότητας, καθώς και για τη διασφάλιση της κίνησης δικτύου μεταξύ των εσωτερικών δικτύων της χρηματοοικονομικής οντότητας και του διαδικτύου και άλλων εξωτερικών συνδέσεων·
δ)
τον προσδιορισμό και την εφαρμογή μέτρων που διασφαλίζουν τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα και την εμπιστευτικότητα των δεδομένων κατά τη διάρκεια των διαβιβάσεων δικτύου·
ε)
τη διαδικασία για την ασφαλή διαγραφή δεδομένων που υπάρχουν στις εγκαταστάσεις ή αποθηκεύονται εξωτερικά και που η χρηματοοικονομική οντότητα δεν χρειάζεται πλέον να συλλέγει ή να αποθηκεύει·
στ)
τη διαδικασία για την ασφαλή απόρριψη ή τον παροπλισμό συσκευών αποθήκευσης δεδομένων σε εγκαταστάσεις ή συσκευών αποθήκευσης δεδομένων που αποθηκεύονται εξωτερικά, οι οποίες περιέχουν εμπιστευτικές πληροφορίες·
ζ)
τον προσδιορισμό και την εφαρμογή μέτρων για να διασφαλίζεται ότι η τηλεργασία και η χρήση ιδιωτικών συσκευών τελικού σημείου δεν επηρεάζουν αρνητικά την ικανότητα της χρηματοοικονομικής οντότητας να εκτελεί τις κρίσιμες δραστηριότητές της επαρκώς, έγκαιρα και με ασφάλεια.
|
|
Άρθρο 36 Δοκιμές ασφάλειας ΤΠΕ
|
|
|
Άρθρο 37 Απόκτηση, ανάπτυξη και συντήρηση συστημάτων ΤΠΕ
|
Άρθρο 37
Απόκτηση, ανάπτυξη και συντήρηση συστημάτων ΤΠΕ
Οι χρηματοοικονομικές οντότητες που αναφέρονται στο άρθρο 16 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554 σχεδιάζουν και εφαρμόζουν, κατά περίπτωση, διαδικασία που διέπει την απόκτηση, την ανάπτυξη και τη συντήρηση συστημάτων ΤΠΕ ακολουθώντας προσέγγιση βάσει κινδύνου. Με τη διαδικασία αυτή:
α)
διασφαλίζεται ότι, πριν από οποιαδήποτε απόκτηση ή ανάπτυξη συστημάτων ΤΠΕ, οι λειτουργικές και μη λειτουργικές απαιτήσεις, συμπεριλαμβανομένων των απαιτήσεων ασφάλειας των πληροφοριών, καθορίζονται σαφώς και εγκρίνονται από την οικεία επιχειρηματική λειτουργία·
β)
διασφαλίζονται οι δοκιμές και η έγκριση των συστημάτων ΤΠΕ πριν από την πρώτη χρήση τους και πριν από την εισαγωγή αλλαγών στο περιβάλλον παραγωγής·
γ)
προσδιορίζονται μέτρα για τον μετριασμό του κινδύνου ακούσιας τροποποίησης ή εσκεμμένης χειραγώγησης των συστημάτων ΤΠΕ κατά την ανάπτυξη και την εφαρμογή στο περιβάλλον παραγωγής.
|
|
Άρθρο 38 Διαχείριση έργων και αλλαγών ΤΠΕ
|
|
,
1.1 Παραπομπές
1.2 Εντοπισμένες απαιτήσεις
1.3 Σχετικά πρότυπα
2. Εντοπισμένες απαιτήσεις
3. Σχετικά πρότυπα
|