CAPÍTULO II Otros elementos de los sistemas, protocolos y herramientas para minimizar las consecuencias del riesgo relacionado con las TIC

derechos de acceso a los activos de información, los activos de TIC y las funciones que sustentan, así como a los emplazamientos esenciales de actividad de la entidad financiera, gestionados sobre la base de los principios de «necesidad de conocer», «necesidad de uso» y «mínimo privilegio», también para el acceso a distancia y de emergencia;

responsabilidad de los usuarios, en virtud de la cual se garantice la identificación de los usuarios en las acciones realizadas en los sistemas de TIC;

procedimientos de gestión de cuentas para la concesión, modificación o revocación de derechos de acceso en relación con las cuentas de usuario y cuentas genéricas, incluidas las cuentas de administrador genéricas;

métodos de autenticación acordes con la clasificación a que se refiere el artículo 30, apartado 1, y con el perfil de riesgo general de los activos de TIC, y basados en las prácticas punteras;

revisión periódica de los derechos de acceso y retirada de esos derechos cuando ya no sean necesarios.

harán un seguimiento del ciclo de vida de todos los activos de TIC y lo gestionarán;

harán un seguimiento, en su caso, de si los activos de TIC cuentan con el soporte de proveedores terceros de servicios de TIC;

determinarán los requisitos de capacidad de sus activos de TIC y las medidas para mantener y mejorar la disponibilidad y eficiencia de los sistemas de TIC y prevenir la escasez de capacidad de TIC antes de que se materialice;

llevarán a cabo exploraciones y evaluaciones automatizadas de vulnerabilidad de los activos de TIC, acordes con la clasificación de tales activos contemplada en el artículo 30, apartado 1, y con el perfil de riesgo general de cada activo de TIC, e implementarán parches para hacer frente a las vulnerabilidades detectadas;

gestionarán los riesgos relacionados con los activos de TIC obsoletos, sin soporte o heredados;

registrarán los acontecimientos relacionados con el control del acceso lógico y físico, las operaciones de TIC, incluidas las actividades de sistema y de tráfico de red, y la gestión de cambios en las TIC;

determinarán y aplicarán medidas para el seguimiento y el análisis de la información sobre actividades y comportamientos anómalos respecto de operaciones de TIC esenciales o importantes;

aplicarán medidas para el seguimiento de la información pertinente y actualizada sobre las ciberamenazas;

aplicarán medidas para la detección de posibles fugas de información, códigos maliciosos y otras amenazas para la seguridad, así como vulnerabilidades en el software y el hardware conocidas públicamente, y comprobarán las nuevas actualizaciones de seguridad correspondientes.

la determinación y aplicación de medidas para proteger los datos en uso, en tránsito y en reposo;

la determinación y aplicación de medidas de seguridad relativas al uso del software, los soportes de almacenamiento de datos, los sistemas y los dispositivos de nodo final que transfieran y almacenen datos de la entidad financiera;

la determinación y aplicación de medidas para prevenir y detectar las conexiones no autorizadas a sus redes, así como para proteger el tráfico de red entre sus redes internas e internet y otras conexiones externas;

la determinación y aplicación de medidas que garanticen la disponibilidad, autenticidad, integridad y confidencialidad de los datos durante las transmisiones en redes;

un proceso para la supresión segura de los datos que se encuentren en los locales o estén almacenados externamente y que la entidad financiera ya no necesite recopilar o almacenar;

un proceso para desechar o desactivar de forma segura los dispositivos de almacenamiento de datos que se encuentren en los locales o estén almacenados externamente y que contengan información confidencial;

la determinación y aplicación de medidas de seguridad para garantizar que el teletrabajo y el uso de dispositivos de nodo final privados no afecten negativamente a la capacidad para llevar a cabo sus actividades esenciales de manera adecuada, oportuna y segura.

garantizará que, antes de la adquisición o el desarrollo de un sistema de TIC, los requisitos funcionales y no funcionales, incluidos los requisitos de seguridad de la información, hayan sido claramente especificados y aprobados por la función empresarial pertinente;

garantizará que los sistemas de TIC se sometan a prueba y sean aprobados antes de su primera utilización y antes de introducir cambios en el entorno de producción;

determinará medidas para mitigar el riesgo de alteración no intencionada o de manipulación intencionada de los sistemas de TIC durante el desarrollo y la implementación en el entorno de producción.