+Network Design and Segmentation

Network Design and Segmentation

Design the network infrastructure in a way that allows it to be instantaneously severed or segmented to minimize and prevent contagion. Have provisions for temporarily isolating subnetworks and network components/devices. Ensure redundant capabilities are equipped with sufficient resources, capabilities, and functions (e.g., redundant network setup). Systems and networks must be segregated based on function criticality, classification, and overall risk profile. Maintain a separate network for asset administration. Provide a Layer 3 or 7 (L3/L7) visual representation of all networks and data flows. Conduct yearly performance reviews of the network architecture/design.

1. Ülevaade

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud regulatsioonid

2. Tuvastatud nõuded

Nõuded

3. Seotud regulatsioonid

Regulatsioonid
EULAW Article 9 4

4.   As part of the ICT risk management framework referred to in Article 6(1), financial entities shall:

(a)

develop and document an information security policy defining rules to protect the availability, authenticity, integrity and confidentiality of data, information assets and ICT assets, including those of their customers, where applicable;

(b)

following a risk-based approach, establish a sound network and infrastructure management structure using appropriate techniques, methods and protocols that may include implementing automated mechanisms to isolate affected information assets in the event of cyber-attacks;

(c)

implement policies that limit the physical or logical access to information assets and ICT assets to what is required for legitimate and approved functions and activities only, and establish to that end a set of policies, procedures and controls that address access rights and ensure a sound administration thereof;

(d)

implement policies and protocols for strong authentication mechanisms, based on relevant standards and dedicated control systems, and protection measures of cryptographic keys whereby data is encrypted based on results of approved data classification and ICT risk assessment processes;

(e)

implement documented policies, procedures and controls for ICT change management, including changes to software, hardware, firmware components, systems or security parameters, that are based on a risk assessment approach and are an integral part of the financial entity’s overall change management process, in order to ensure that all changes to ICT systems are recorded, tested, assessed, approved, implemented and verified in a controlled manner;

(f)

have appropriate and comprehensive documented policies for patches and updates.

For the purposes of the first subparagraph, point (b), financial entities shall design the network connection infrastructure in a way that allows it to be instantaneously severed or segmented in order to minimise and prevent contagion, especially for interconnected financial processes.

For the purposes of the first subparagraph, point (e), the ICT change management process shall be approved by appropriate lines of management and shall have specific protocols in place.
EULAW Article 12 4

4.   Financial entities, other than microenterprises, shall maintain redundant ICT capacities equipped with resources, capabilities and functions that are adequate to ensure business needs. Microenterprises shall assess the need to maintain such redundant ICT capacities based on their risk profile.
EULAW Artikkel 13 Võrgu turvalisuse haldamine

Artikkel 13

Võrgu turvalisuse haldamine

Finantssektori ettevõtjad töötavad võrgu turvalisuse tagamiseks kehtestatavate sissetungi ja andmete väärkasutamise vastaste kaitsemeetmete osana välja ja dokumenteerivad võrgu turvalisuse haldamise põhimõtted, menetlused, protokollid ja vahendid, mis peavad hõlmama kõike järgmist:

a) 

IKT-süsteemide ja võrkude eraldamine ja segmentimine, võttes arvesse

i) 

asjaomaste IKT-süsteemide ja võrkude toetatavate funktsioonide kriitilist tähtsust või olulisust,

ii) 

määruse (EL) 2022/2554 artikli 8 lõike 1 kohast liigitust,

iii) 

neid IKT-süsteeme ja võrke kasutavate IKT-varade üldist riskiprofiili;

b) 

finantssektori ettevõtja kõigi võrguühenduste ja andmevoogude dokumenteerimine;

c) 

eraldi ja spetsiaalse võrgu kasutamine IKT-varade haldamiseks;

d) 

võrkupääsu reguleerimise kindlaksmääramine ja rakendamine, et ära hoida ja avastada ühendused finantssektori ettevõtja võrguga pääsuloata seadme või süsteemi kaudu või mis tahes lõpp-punkti kaudu, mis ei vasta finantssektori ettevõtja turvanõuetele;

e) 

kasutatavate sideprotokollide jaoks sisevõrke, üldkasutatavaid võrke, riigisiseseid võrke, kolmandate isikute võrke ja traadita võrke läbivate võrguühenduste krüptimine, võttes arvesse heakskiidetud andmeliigituse ja IKT-riski hindamise tulemusi ning artikli 6 lõikes 2 osutatud võrguühenduste krüptimist;

f) 

võrgu projekteerimine kooskõlas finantssektori ettevõtja kehtestatud IKT turvanõuetega, võttes arvesse juhtivaid tavasid, et tagada võrgu konfidentsiaalsus, terviklus ja kättesaadavus;

g) 

sisevõrgu ning interneti ja muude välisühenduste vahelise võrguliikluse turvalisuse tagamine;

h) 

tulemüüri reeglite ja ühendusfiltrite kindlaksmääramiseks, rakendamiseks, heakskiitmiseks, muutmiseks ja läbivaatamiseks rollide ja vastutusvaldkondade ning etappide kindlaksmääramine;

i) 

võrguarhitektuuri ja võrgu sisseprojekteeritud turbe meetmete läbivaatamine kord aastas ning mikroettevõtjate puhul perioodiliselt, et teha kindlaks võimalikud nõrkused;

j) 

meetmed, et vajaduse korral ajutiselt isoleerida alamvõrgud ning võrgukomponendid ja -seadmed;

k) 

kõigi võrgukomponentide turvalise konfigureerimise lähtealuse rakendamine ning võrgu ja võrguseadmete tugevdamine kooskõlas teenuseosutaja juhistega, määruse (EL) nr 1025/2012 artikli 2 punktis 1 määratletud standarditega (kui see on asjakohane) ja juhtivate tavadega;

l) 

menetlused süsteemi- ja kaugseansside piiramiseks, lukustamiseks ja lõpetamiseks pärast kindlaksmääratud jõudeolekuperioodi möödumist;

m) 

võrguteenuste lepingute puhul

i) 

IKT-turvameetmete ja infoturbe meetmete, teenustasemete ja juhtimisnõuete kindlaksmääramine ja täpsustamine kõigi võrguteenuste puhul,

ii) 

teave selle kohta, kas neid teenuseid osutab kontsernisisene IKT-teenuste osutaja või osutavad neid kolmandast isikust IKT-teenuste osutajad.

Punkti h kohaldamisel vaatavad finantssektori ettevõtjad tulemüüri reeglid ja ühendusfiltrid korrapäraselt läbi, võttes arvesse määruse (EL) 2022/2554 artikli 8 lõike 1 kohast liigitust ja asjaomaste IKT-süsteemide üldist riskiprofiili. Kriitilise tähtsusega või olulisi funktsioone toetavate IKT-süsteemide puhul kontrollivad finantssektori ettevõtjad kehtivate tulemüüri reeglite ja ühendusfiltrite asjakohasust vähemalt iga kuue kuu tagant.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.