II PEATÜKK Süsteemide, protokollide ja vahendite muud elemendid IKT-riski mõju minimeerimiseks

finantssektori ettevõtja teabevaradele, IKT-varadele ja nendega toetatavatele funktsioonidele ning elutähtsatele tegevuskohtadele juurdepääsu õiguste, sealhulgas kaugpääsu ja hädaolukorras pääsu õiguste haldamine, lähtudes teadmisvajadusest, kasutusvajadusest ja minimaalõiguste printsiibist;

kasutajate vastutus, millega tagatakse, et IKT-süsteemis toimingu teinud kasutaja on võimalik tuvastada;

kontohaldusmenetlused kasutaja- ja üldkontode, sealhulgas üldiste administraatorikontode pääsuõiguste andmiseks, muutmiseks või tühistamiseks;

autentimismeetodid, mis on vastavuses artikli 30 lõikes 1 osutatud liigitusega ja IKT-varade üldise riskiprofiiliga ning põhinevad juhtivatel tavadel;

pääsuõiguste korrapärane läbivaatamine ja tühistamine, kui neid ei ole enam vaja.

seiravad ja haldavad kõigi IKT-varade olelusringi;

vajaduse korral kontrollivad, kas nende IKT-varasid toetavad kolmandast isikust IKT-teenuste osutajad;

teevad kindlaks oma IKT-varade ja -meetmete vajamineva võimsuse, mis võimaldab säilitada ja muuta paremaks IKT-süsteemide kättesaadavuse ja tõhususe ning ennetada IKT võimsuse puudujääki;

teevad IKT-varade nõrkuse automaatse skaneerimise ja hindamise, mis on vastavuses artikli 30 lõikes 1 osutatud liigitusega ja IKT-vara üldise riskiprofiiliga, ning võtavad kasutusele paigad tuvastatud nõrkuste kõrvaldamiseks;

juhivad aegunud, toetamata või IKT pärandvaraga seotud riske;

logivad sündmusi, mis on seotud loogilise ja füüsilise pääsu reguleerimisega, IKT-toimingutega, sealhulgas süsteemi- ja võrguliiklusega, ning IKT-muudatuste juhtimisega;

määravad kindlaks meetmed, millega seirata ja analüüsida kriitilise tähtsusega või oluliste IKT-toimingutega seotud anomaalset tegevust ja käitumist käsitlevat teavet;

rakendavad meetmeid, millega seirata küberohte käsitlevat asja- ja ajakohast teavet;

rakendavad meetmeid, millega teha kindlaks võimalikud teabelekked, ründekoodid ja muud turvaohud, samuti tarkvara ja riistvara üldteada nõrkused ning kontrollida vastavaid turvauuendeid.

kasutatavate, edastatavate ja jõudeolekus andmete kaitsmise meetmete kindlaksmääramine ja rakendamine;

finantssektori ettevõtja andmete edastamiseks ja säilitamiseks kasutatava tarkvara, andmekandjate, süsteemide ja lõppseadmete kasutamisega seotud turvameetmete kindlaksmääramine ja rakendamine;

selliste meetmete kindlaksmääramine ja rakendamine, millega hoitakse ära ja avastatakse loata ühendused finantssektori ettevõtja võrguga ning tagatakse finantssektori ettevõtja sisevõrgu ning interneti ja muude välisühenduste vahelise võrguliikluse turvalisus;

selliste meetmete kindlaksmääramine ja rakendamine, mis tagavad andmete kättesaadavuse, autentsuse, tervikluse ja konfidentsiaalsuse võrguedastuse ajal;

selliste finantssektori ettevõtja ruumides või väljaspool säilitatavate andmete turvalise kustutamise protsess, mida finantssektori ettevõtjal ei ole enam vaja koguda või säilitada;

finantssektori ettevõtja ruumides või mujal asuvate konfidentsiaalset teavet sisaldavate andmesalvestusseadmete turvalise likvideerimise või kasutusest kõrvaldamise protsess;

selliste meetmete kindlaksmääramine ja rakendamine, millega tagatakse, et kaugtöö ja isiklike lõppseadmete kasutamine ei kahjusta finantssektori ettevõtja suutlikkust teha asjakohaselt, õigeaegselt ja turvaliselt oma kriitilise tähtsusega toiminguid.

tagatakse, et enne IKT-süsteemide soetamist või arendamist on täpselt kindlaks määratud funktsionaalsed ja mittefunktsionaalsed nõuded, sealhulgas infoturbenõuded, ning asjaomase funktsiooni täitja on need heaks kiitnud;

tagatakse IKT-süsteemide testimine ja heakskiitmine enne nende esmakordset kasutamist ja enne nende muutmist tootmiskeskkonnas;

määratakse kindlaks meetmed maandamaks riski, et IKT-süsteeme nende tootmiskeskkonnas arendamise ja rakendamise ajal tahtmatult muudetakse või et nendega sel ajal tahtlikult manipuleeritakse.