|
+11 artikla 2. |
11 artikla 2.Edellä 1 kohdassa tarkoitetun tietojen ja järjestelmän turvallisuutta koskevan menettelyn on sisällettävä kaikki seuraavat tietojen ja TVT-järjestelmän turvallisuuteen liittyvät elementit asetuksen (EU) 2022/2554 8 artiklan 1 kohdan mukaisesti vahvistetun luokittelun mukaisesti:
a)
tämän asetuksen 21 artiklassa tarkoitetut pääsyn rajoitukset, joilla tuetaan kunkin luokan suojavaatimuksia;
b)
TVT-omaisuuden turvallisen perustason konfiguraation määrittäminen siten, että minimoidaan kyseisen TVT-omaisuuden altistuminen kyberuhkille, ja toimenpiteet, joilla tarkistetaan säännöllisesti, että kyseiset perustasot ovat tosiasiallisesti käytössä;
c)
sellaisten turvatoimenpiteiden määrittäminen, joilla varmistetaan, että TVT-järjestelmiin ja päätelaitteisiin asennetaan ainoastaan hyväksyttyjä ohjelmistoja;
d)
haitallisten koodien vastaisten turvatoimenpiteiden määrittäminen;
e)
sellaisten turvatoimenpiteiden määrittäminen, joilla varmistetaan, että finanssiyhteisön tietojen siirtämiseen ja tallentamiseen käytetään ainoastaan hyväksyttyjä tallennusvälineitä, järjestelmiä ja päätelaitteita;
f)
seuraavat vaatimukset, joilla turvataan kannettavien päätelaitteiden ja yksityisten muiden kuin kannettavien päätelaitteiden käyttö:
i)
vaatimus käyttää hallintaratkaisua, jolla mahdollistetaan päätelaitteiden hallinta ja finanssiyhteisön tietojen pyyhkiminen etäyhteyden välityksellä;
ii)
vaatimus käyttää turvamekanismeja, joita henkilöstön jäsenet tai TVT-palveluntarjoajana olevat kolmannet osapuolet eivät voi luvattomasti muuttaa, poistaa tai ohittaa;
iii)
vaatimus käyttää siirrettäviä tiedontallennuslaitteita vain, jos TVT-jäännösriski pysyy finanssiyhteisön 3 artiklan ensimmäisen kohdan a alakohdassa tarkoitetun riskitason alapuolella;
g)
menettely, jolla poistetaan turvallisesti finanssiyhteisön tiloissa olevat tai ulkoisesti tallennetut tiedot, joita finanssiyhteisön ei enää tarvitse kerätä tai tallentaa;
h)
menettely, jolla hävitetään tai poistetaan käytöstä turvallisesti finanssiyhteisön tiloissa olevat tai ulkoisesti säilytettävät tiedontallennuslaitteet, jotka sisältävät luottamuksellisia tietoja;
i)
sellaisten turvatoimenpiteiden määrittäminen ja toteuttaminen, joilla estetään tietojen häviäminen tai vuotaminen järjestelmistä ja päätelaitteista;
j)
sellaisten turvatoimenpiteiden toteuttaminen, joilla varmistetaan, että etätyö ja yksityisten päätelaitteiden käyttö eivät vaaranna finanssiyhteisön TVT-turvallisuutta;
k)
TVT-palveluntarjoajana olevan kolmannen osapuolen ylläpitämien TVT-omaisuuserien tai -palvelujen osalta digitaalisen häiriönsietokyvyn ylläpitämistä koskevien vaatimusten määrittäminen ja täytäntöönpano dataluokittelun ja TVT-riskinarvioinnin tulosten mukaisesti. Kun sovelletaan b alakohtaa, kyseisessä alakohdassa tarkoitetussa turvallisessa perustason konfiguraatiossa on otettava huomioon johtavat käytännöt ja asetuksen (EU) N:o 1025/2012 2 artiklan 1 alakohdassa määritellyissä standardeissa vahvistetut asianmukaiset tekniikat. Sovellettaessa k alakohtaa finanssiyhteisöjen on otettava huomioon seuraavat seikat:
a)
myyjän suosittelemien asetusten käyttö finanssiyhteisön ylläpitämissä osissa;
b)
tietoturvallisuuteen liittyvien tehtävien ja vastuiden selkeä jako finanssiyhteisön ja TVT-palveluntarjoajana olevan kolmannen osapuolen välillä noudattaen asetuksen (EU) 2022/2554 28 artiklan 1 kohdan a alakohdassa tarkoitettua periaatetta, jonka mukaan finanssiyhteisö on täysin vastuussa TVT-palveluntarjoajana olevasta kolmannesta osapuolesta, ja mainitun asetuksen 28 artiklan 2 kohdassa tarkoitettujen finanssiyhteisöjen osalta kriittisiä tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevien finanssiyhteisön toimintaperiaatteiden mukaisesti;
c)
tarve varmistaa ja ylläpitää finanssiyhteisössä käytössä olevan palvelun hallinnointiin ja turvallisuuteen liittyvää riittävää osaamista;
d)
tekniset ja organisatoriset toimenpiteet TVT-palveluntarjoajana olevan kolmannen osapuolen TVT-palveluissaan käyttämään infrastruktuuriin liittyvien riskien minimoimiseksi ottaen huomioon johtavat käytännöt ja asetuksen (EU) N:o 1025/2012 2 artiklan 1 alakohdassa määritellyt standardit. 1. Yleiskatsaus
1.1 Viittaukset1.2 Tunnistetut vaatimukset1.3 Liittyvät standardit
2. Tunnistetut vaatimukset
3. Liittyvät standardit
|