+Network Design and Segmentation

Network Design and Segmentation

Design the network infrastructure in a way that allows it to be instantaneously severed or segmented to minimize and prevent contagion. Have provisions for temporarily isolating subnetworks and network components/devices. Ensure redundant capabilities are equipped with sufficient resources, capabilities, and functions (e.g., redundant network setup). Systems and networks must be segregated based on function criticality, classification, and overall risk profile. Maintain a separate network for asset administration. Provide a Layer 3 or 7 (L3/L7) visual representation of all networks and data flows. Conduct yearly performance reviews of the network architecture/design.

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät säädökset

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät säädökset

Säädökset
EULAW 9 artikla 4

4.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää

a)

laadittava ja dokumentoitava tietoturvapolitiikka, jossa määritellään säännöt yhteisöjen ja tarvittaessa niiden asiakkaiden datan, tieto-omaisuuden ja TVT-omaisuuden saatavuuden, aitouden, eheyden ja luottamuksellisuuden suojaamiseksi:

b)

riskiperusteista lähestymistapaa noudattaen otettava käyttöön vankka verkko- ja infrastruktuurin hallinnointirakenne käyttäen asianmukaisia tekniikoita, menetelmiä ja protokollia, joihin voi kuulua automatisoitujen mekanismien toteuttaminen mahdollisen kyberhyökkäyksen yhteydessä vahingoittuneen tieto-omaisuuden eristämiseksi;

c)

otettava käyttöön toimintatavat, joilla rajoitetaan fyysinen tai looginen pääsy tieto-omaisuuteen ja TVT-omaisuuteen vain siihen, mikä on tarpeen oikeutettuja ja hyväksyttyjä toimintoja ja tehtäviä varten, ja laaditaan tätä varten toimintaperiaatteet, menettelyt ja valvontatoimet, joissa määritellään pääsyoikeudet ja varmistetaan sen moitteeton hallinnointi;

d)

toteutettava vahvan todentamisen mekanismien edellyttämät toimintatavat ja protokollat asiaa koskevien standardien ja erityisten valvontajärjestelmien pohjalta, sekä niiden salausavaimien suojaustoimenpiteet, joilla data on salattu, hyväksyttyjen datan luokittelua ja TVT-riskinarviointia koskevien prosessien tulosten perusteella;

e)

toteutettava TVT-muutosten hallintaa koskevat dokumentoidut toimintaperiaatteet, menettelyt ja valvontatoimet, joissa otetaan huomioon ohjelmistojen, laitteiden, laiteohjelmistokomponenttien, järjestelmien tai turvaparametrien muutokset ja jotka perustuvat riskinarviointiin ja ovat olennainen osa finanssiyhteisön yleistä muutoksenhallintaprosessia, jotta voidaan varmistaa, että kaikki TVT-järjestelmien muutokset tallennetaan, testataan, arvioidaan, hyväksytään, toteutetaan ja todennetaan valvotusti;

f)

otettava käyttöön ohjelmisto- ja korjauspäivityksiä koskevat asianmukaiset ja kattavat dokumentoidut toimintaperiaatteet.

Ensimmäisen alakohdan b alakohdan soveltamiseksi finanssiyhteisöjen on suunniteltava verkkoyhteysinfrastruktuuri siten, että se voidaan irrottaa tai segmentoida välittömästi, jotta voidaan minimoida ja estää häiriöiden leviäminen erityisesti toisiinsa sidoksissa olevien rahoitusprosessien yhteydessä.

Ensimmäisen alakohdan e alakohdan soveltamiseksi TVT-muutoksenhallintaprosessin on saatava asianmukaisten hallintolinjojen hyväksyntä ja siinä on oltava erityiset protokollat.
EULAW 12 artikla 4

4.   Muiden kuin mikroyrityksiä olevien finanssiyhteisöjen on pidettävä yllä TVT-varakapasiteettia, jossa on riittävät resurssit, valmiudet ja toiminnot liiketoiminnan tarpeiden täyttämiseksi. Mikroyritysten on arvioitava tarve pitää yllä tällaista TVT-varakapasiteettia riskiprofiilinsa perusteella.
EULAW 13 artikla Verkkoturvallisuuden hallinta

13 artikla

Verkkoturvallisuuden hallinta

Finanssiyhteisöjen on osana suojatoimia, joilla varmistetaan verkkojen turvallisuus tunkeutumista ja tietojen väärinkäyttöä vastaan, laadittava, dokumentoitava ja otettava käyttöön verkkoturvallisuuden hallintaa koskevat toimintaperiaatteet, menettelyt, protokollat ja välineet, mukaan lukien kaikki seuraavat:

a) 

TVT-järjestelmien ja -verkkojen eriyttäminen ja segmentointi ottaen huomioon

i) 

niiden toimintojen kriittisyyden ja merkityksen, joita kyseisillä TVT-järjestelmillä ja -verkoilla tuetaan;

ii) 

asetuksen (EU) 2022/2554 8 artiklan 1 kohdan mukaisesti laaditun luokittelun;

iii) 

kyseisiä TVT-järjestelmiä ja -verkkoja käyttävän TVT-omaisuuden kokonaisriskiprofiilin;

b) 

kaikkien finanssiyhteisön verkkoyhteyksien ja datavirtojen dokumentointi;

c) 

erillisen ja tarkoitukseen varatun verkon käyttö TVT-omaisuuden hallinnointia varten;

d) 

verkkoon pääsyn valvontatoimenpiteiden määrittäminen ja toteuttaminen, jotta estetään ja havaitaan luvattomien laitteiden tai järjestelmien tai sellaisten päätepisteiden kautta tapahtuvat yhteydet finanssiyhteisön verkkoon, jotka eivät täytä finanssiyhteisön turvallisuusvaatimuksia;

e) 

yritysverkkojen, julkisten verkkojen, kotimaisten verkkojen, kolmansien osapuolten verkkojen ja langattomien verkkojen kautta kulkevien verkkoyhteyksien salaaminen käytettyjä viestintäprotokollia varten ottaen huomioon hyväksytyn tietoluokittelun tulokset, TVT-riskinarvioinnin tulokset ja 6 artiklan 2 kohdassa tarkoitettu verkkoyhteyksien salaus;

f) 

verkkojen suunnittelu finanssiyhteisön vahvistamien TVT-turvallisuusvaatimusten mukaisesti ottaen huomioon johtavat käytännöt, joilla varmistetaan verkon luottamuksellisuus, eheys ja käytettävyys;

g) 

sisäisten verkkojen sekä internetin ja muiden ulkoisten yhteyksien välisen verkkoliikenteen suojaaminen;

h) 

tehtävien ja vastuiden sekä vaiheiden määrittäminen palomuuria koskevien sääntöjen ja yhteyssuodattimien määrittelyä, täytäntöönpanoa, hyväksymistä, muuttamista ja tarkistamista varten;

i) 

verkkoarkkitehtuurin ja verkon turvallisuussuunnittelun tarkastelu kerran vuodessa, tai mikroyritysten osalta säännöllisesti, mahdollisten haavoittuvuuksien tunnistamiseksi;

j) 

toimenpiteet, joilla aliverkot, verkon osat ja verkkolaitteet voidaan tarvittaessa tilapäisesti eristää;

k) 

kaikkien verkon osien turvallisen perustason konfiguraation käyttöönotto sekä verkon ja verkkolaitteiden suojaaminen myyjän ohjeiden, soveltuvin osin asetuksen (EU) N:o 1025/2012 2 artiklan 1 alakohdassa määriteltyjen standardien sekä johtavien käytäntöjen mukaisesti;

l) 

menettelyt, joilla rajoitetaan järjestelmä- ja etäistuntoja sekä lukitaan ja lopetetaan järjestelmä- ja etäistunnot tietyn ajanjakson jälkeen;

m) 

verkkopalvelusopimusten osalta:

i) 

kaikkien verkkopalvelujen TVT- ja tietoturvatoimenpiteiden, palvelutasojen ja hallintaa koskevien vaatimusten yksilöinti ja määrittely;

ii) 

sen määrittäminen, tarjoaako kyseiset palvelut konsernin sisäinen TVT-palveluntarjoaja vai TVT-palveluntarjoajana oleva kolmas osapuoli.

Sovellettaessa h alakohtaa finanssiyhteisöjen on tarkasteltava palomuuria koskevia sääntöjä ja yhteyssuodattimia säännöllisesti asetuksen (EU) 2022/2554 8 artiklan 1 kohdan mukaisesti vahvistetun luokittelun ja asianomaisten TVT-järjestelmien yleisen riskiprofiilin mukaisesti. Kriittisiä tai tärkeitä toimintoja tukevien TVT-järjestelmien osalta finanssiyhteisöjen on tarkistettava olemassa olevien palomuuria koskevien sääntöjen ja yhteyssuodattimien riittävyys vähintään kuuden kuukauden välein.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.