+Session Management
|
Session Management
Enforce procedures to limit, lock, and terminate system and remote sessions after a predefined period of inactivity.
1. Resumen
1.1 Referencias
1.2 Requisitos identificados
1.3 Regulaciones relacionadas
2. Requisitos identificados
Requisitos
| Fuente |
Requisito |
3. Regulaciones relacionadas
Regulaciones
| Fuente |
Regulación |
|
EULAW
|
Artículo 9 4
4. Como parte del marco de gestión del riesgo relacionado con las TIC a que se refiere el artículo 6, apartado 1, las entidades financieras deberán:
|
a)
|
elaborar y documentar una política de seguridad de la información que defina normas para proteger la confidencialidad, disponibilidad, integridad o autenticidad de los datos, activos de información y activos de TIC, incluidos los de sus clientes, en su caso;
|
|
b)
|
siguiendo un enfoque basado en el riesgo, establecer una estructura de gestión sólida de redes e infraestructuras utilizando técnicas, métodos y protocolos adecuados que puedan incluir la aplicación de mecanismos automatizados para aislar los activos de información afectados en caso de ciberataques;
|
|
c)
|
aplicar políticas que limiten el acceso físico o lógico a los activos de información y activos de TIC a lo que sea necesario únicamente para funciones y actividades legítimas y aprobadas, y establecer a tal fin un conjunto de políticas, procedimientos y controles que se centren en los derechos de acceso y garanticen una buena administración de estos;
|
|
d)
|
aplicar políticas y protocolos para mecanismos de autenticación fuerte, basados en estándares pertinentes y sistemas de control específicos, y medidas de protección de las claves criptográficas mediante las que se cifran los datos en función de los resultados de los procesos aprobados de clasificación de datos y evaluación de riesgos relacionados con las TIC;
|
|
e)
|
aplicar políticas, procedimientos y controles documentados para la gestión de los cambios en las TIC, incluidos los cambios en el software, el hardware, los componentes de firmware, los sistemas o los parámetros de seguridad, que se basen en un enfoque de evaluación de riesgos y formen parte integrante del proceso general de gestión de cambios de la entidad financiera, a fin de garantizar que todos los cambios en los sistemas de TIC se registren, sometan a prueba, evalúen, aprueben, apliquen y verifiquen de forma controlada;
|
|
f)
|
contar con políticas documentadas adecuadas y globales para los parches y actualizaciones.
|
A efectos del párrafo primero, letra b), las entidades financieras diseñarán la infraestructura de conexión a la red de manera que permita su ruptura o segmentación instantánea con el fin de minimizar y prevenir el contagio, especialmente en los procesos financieros interconectados.
A efectos del párrafo primero, letra e), el proceso de gestión de cambios en las TIC será aprobado por los niveles directivos adecuados y dispondrá de protocolos específicos.
|
|
EULAW
|
Artículo 12 4
4. Las entidades financieras que no sean microempresas mantendrán capacidades de TIC redundantes provistas de recursos, medios y funciones adecuados para satisfacer las necesidades empresariales. Las microempresas evaluarán la necesidad de mantener estas capacidades de TIC redundantes sobre la base de su perfil de riesgo.
|
|
EULAW
|
Artículo 13 Gestión de la seguridad de las redes
Artículo 13
Gestión de la seguridad de las redes
Dentro de las salvaguardias que garanticen la seguridad de las redes contra las intrusiones y el uso indebido de los datos, las entidades financieras elaborarán, documentarán y aplicarán políticas, procedimientos, protocolos y herramientas en materia de gestión de la seguridad de las redes que incluirán todos los aspectos siguientes:
a)
la separación y segmentación de los sistemas y redes de TIC teniendo en cuenta:
i)
el carácter esencial o la importancia de la función sustentada por dichos sistemas y redes de TIC,
ii)
la clasificación establecida de conformidad con el artículo 8, apartado 1, del Reglamento (UE) 2022/2554,
iii)
el perfil de riesgo general de los activos de TIC que utilicen dichos sistemas y redes de TIC;
b)
la documentación de todas las conexiones de red y flujos de datos de la entidad financiera;
c)
el uso de una red separada y específica para la administración de los activos de TIC;
d)
la determinación y aplicación de controles de acceso a las redes para prevenir y detectar las conexiones a la red de la entidad financiera mediante cualquier dispositivo o sistema no autorizado o cualquier nodo final que no cumpla los requisitos de seguridad de la entidad financiera;
e)
el cifrado de las conexiones de red que pasen por redes corporativas, redes públicas, redes domésticas, redes de terceros y redes inalámbricas, en lo referente a los protocolos de comunicación utilizados, teniendo en cuenta los resultados de la clasificación de datos aprobada, los resultados de la evaluación del riesgo relacionado con las TIC y el cifrado de las conexiones de red a que se refiere el artículo 6, apartado 2;
f)
el diseño de las redes en consonancia con los requisitos de seguridad de las TIC establecidos por la entidad financiera, teniendo en cuenta las prácticas punteras para garantizar la confidencialidad, integridad y disponibilidad de las redes;
g)
la protección del tráfico de red entre las redes internas e internet y otras conexiones externas;
h)
la determinación de las funciones y responsabilidades y de las etapas para la especificación, aplicación, aprobación, modificación y revisión de las reglas cortafuegos y los filtros de conexión;
i)
la revisión de la arquitectura de las redes y del diseño de la seguridad de las redes una vez al año, y periódicamente en el caso de las microempresas, con el fin de detectar posibles vulnerabilidades;
j)
las medidas para aislar temporalmente, en caso necesario, las subredes y los componentes y dispositivos de red;
k)
la aplicación de una configuración segura de referencia de todos los componentes de las redes y el endurecimiento de las redes y de los dispositivos de red en consonancia con las instrucciones de los proveedores, las normas definidas en el artículo 2, punto 1, del Reglamento (UE) n.o 1025/2012, en su caso, y las prácticas punteras;
l)
los procedimientos para limitar, bloquear y cerrar las sesiones de sistema y a distancia tras un período de inactividad especificado;
m)
respecto de los acuerdos de servicios de red:
i)
la determinación y especificación de las medidas de seguridad de las TIC y de la información, los niveles de servicio y los requisitos de gestión de todos los servicios de red,
ii)
la especificación de si dichos servicios son prestados por un proveedor intragrupo o por proveedores terceros de servicios de TIC.
A efectos de la letra h), las entidades financieras revisarán periódicamente las reglas cortafuegos y los filtros de conexión teniendo en cuenta la clasificación establecida de conformidad con el artículo 8, apartado 1, del Reglamento (UE) 2022/2554 y el perfil de riesgo general de los sistemas de TIC que intervengan. En el caso de los sistemas de TIC que sustenten funciones esenciales o importantes, las entidades financieras verificarán la adecuación de las reglas cortafuegos y los filtros de conexión vigentes al menos cada seis meses.
|
- NOREA -
EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.
DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.
|