|
+Artikkel 11 2. |
Artikkel 11 2.Lõikes 1 osutatud andmete ja süsteemide turvalisuse menetlus peab hõlmama kõiki järgmisi andmete ja IKT-süsteemide turvalisusega seotud elemente kooskõlas määruse (EL) 2022/2554 artikli 8 lõike 1 kohase liigitusega:
a)
käesoleva määruse artiklis 21 osutatud pääsupiirangud, mis toetavad vastava liigitustaseme kaitsenõudeid;
b)
IKT-varade turvalise konfigureerimise lähtealuse kindlaksmääramine nii, et minimeeritakse varade avatust küberohtudele, ning meetmed, millega kontrollitakse korrapäraselt, kas neid lähtealuseid kasutatakse tõhusalt;
c)
selliste turvameetmete kindlaksmääramine, millega tagatakse, et IKT-süsteemidesse ja lõppseadmetesse installitakse ainult lubatud tarkvara;
d)
ründekoodide vastaste turvameetmete kindlaksmääramine;
e)
selliste turvameetmete kindlaksmääramine, millega tagatakse, et finantssektori ettevõtja andmete edastamiseks ja säilitamiseks kasutatakse ainult lubatud andmekandjaid, süsteeme ja lõppseadmeid;
f)
järgmised nõuded, et tagada kaasaskantavate lõppseadmete ja mittekaasaskantavate isiklike lõppseadmete turvaline kasutamine:
i)
nõue kasutada juhtimislahendust lõppseadmete kaugjuhtimiseks ja finantssektori ettevõtja andmete kaugkustutamiseks,
ii)
nõue kasutada turvamehhanisme, mida töötajad või kolmandast isikust IKT-teenuste osutajad ei saa loata muuta, eemaldada või vältida,
iii)
nõue kasutada eemaldatavaid andmesalvestusseadmeid üksnes juhul, kui IKT-jääkrisk jääb allapoole finantssektori ettevõtja artikli 3 esimese lõigu punktis a osutatud riskitaluvustaset;
g)
protsess, millega kustutatakse turvaliselt finantssektori ettevõtja ruumides või mujal säilitatavad andmed, mida finantssektori ettevõtjal ei ole enam vaja koguda või säilitada;
h)
protsess, millega turvaliselt likvideeritakse või kõrvaldatakse kasutusest finantssektori ettevõtja ruumides või mujal asuvad konfidentsiaalset teavet sisaldavad andmesalvestusseadmed;
i)
selliste turvameetmete kindlaksmääramine ja rakendamine, millega välditakse süsteemide ja lõppseadmete puhul andmekadu ja -leket;
j)
turvameetmete rakendamine tagamaks, et kaugtöö ja isiklike lõppseadmete kasutamine ei kahjusta finantssektori ettevõtja IKT turvalisust;
k)
kolmandast isikust IKT-teenuste osutaja käitatavate IKT-varade või -teenuste puhul digitaalse tegevuskerksuse säilitamist käsitlevate nõuete kindlaksmääramine ja rakendamine kooskõlas andmeliigituse ja IKT-riski hindamise tulemustega. Punkti b kohaldamisel võetakse nimetatud punktis osutatud turvalise konfigureerimise lähtealuse puhul arvesse juhtivaid tavasid ja määruse (EL) nr 1025/2012 artikli 2 punktis 1 määratletud standardites sätestatud asjakohaseid meetodeid. Punkti k kohaldamisel võtavad finantssektori ettevõtjad arvesse järgmist:
a)
teenuseosutaja soovitatud seadete rakendamine enda käitatavate elementide puhul;
b)
infoturbe rollide ja vastutusvaldkondade selge jaotus finantssektori ettevõtja ja kolmandast isikust IKT-teenuste osutaja vahel kooskõlas määruse (EL) 2022/2554 artikli 28 lõike 1 punktis a sätestatud põhimõttega, mille kohaselt finantssektori ettevõtjal lasub täielik vastutus oma kolmandast isikust IKT-teenuste osutaja eest, ning selle määruse artikli 28 lõikes 2 osutatud finantssektori ettevõtjate puhul kooskõlas finantssektori ettevõtja kehtestatud kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste kasutamise põhimõtetega;
c)
vajadus tagada ja säilitada finantssektori ettevõtja piisav pädevus kasutatava teenuse haldamiseks ja turvalisuse tagamiseks;
d)
tehnilised ja korralduslikud meetmed, et minimeerida kolmandast isikust IKT-teenuste osutaja teenuste jaoks kasutatava taristuga seotud riske, võttes arvesse juhtivaid tavasid ja määruse (EL) nr 1025/2012 artikli 2 punktis 1 määratletud standardeid. 1. Ülevaade
1.1 Viited1.2 Tuvastatud nõuded1.3 Seotud standardid
2. Tuvastatud nõuded
3. Seotud standardid
|