+Data Protection Practices

Data Protection Practices

Establish a secure configuration baseline for ICT assets, incorporating industry practices and techniques to minimize exposure to cyber threats. Deploy security measures to ensure CIA, prevent data loss and leakage, and protect against malicious codes. Protect data from risks arising from data management, including poor administration, processing risks, and human error. Ensure secure transfer of data and minimize the risk of data corruption or loss, unauthorized access, and technical flaws that may hinder business activity. Implement access restrictions based on data classification schemes. Regularly verify the effective deployment of these baselines.

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät säädökset

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät säädökset

Säädökset
EULAW 9 artikla 2

2.   Finanssiyhteisöjen on suunniteltava, hankittava ja toteutettava TVT-turvallisuutta koskevat toimintatavat, menettelyt, protokollat ja välineet, joiden tarkoituksena on varmistaa TVT-järjestelmien ja erityisesti kriittisiä tai tärkeitä toimintoja tukevien TVT-järjestelmien häiriönsietokyky, jatkuvuus ja käytettävyys ja säilyttää datan saatavuus, aitous, eheys ja luottamuksellisuus korkealla tasolla riippumatta siitä, onko kyseessä lepäävä, käytössä oleva vai siirrettävä data.
EULAW 9 artikla 3

3.   Edellä 2 kohdassa tarkoitettujen tavoitteiden saavuttamiseksi finanssiyhteisöjen on käytettävä 4 artiklan mukaisesti asianmukaisia TVT-ratkaisuja ja -prosesseja. Kyseisten TVT-ratkaisujen ja -prosessien on

a)

varmistettava datansiirtovälineiden suojaus;

b)

minimoitava datan turmeltumisen tai menettämisen, luvattoman käytön ja liiketoimintaa mahdollisesti haittaavien teknisten vikojen riski;

c)

ehkäistävä datan saatavuuden puutetta, aitouden tai eheyden heikkenemistä, luottamuksellisuuden rikkomisia ja datan menettämistä;

d)

varmistettava, että data on suojattu tiedonhallinnassa esiintyviltä riskeiltä, mukaan lukien huono hallinto, käsittelyyn liittyvät riskit ja inhimilliset virheet.
EULAW 11 artikla 2.

Edellä 1 kohdassa tarkoitetun tietojen ja järjestelmän turvallisuutta koskevan menettelyn on sisällettävä kaikki seuraavat tietojen ja TVT-järjestelmän turvallisuuteen liittyvät elementit asetuksen (EU) 2022/2554 8 artiklan 1 kohdan mukaisesti vahvistetun luokittelun mukaisesti:

a) 

tämän asetuksen 21 artiklassa tarkoitetut pääsyn rajoitukset, joilla tuetaan kunkin luokan suojavaatimuksia;

b) 

TVT-omaisuuden turvallisen perustason konfiguraation määrittäminen siten, että minimoidaan kyseisen TVT-omaisuuden altistuminen kyberuhkille, ja toimenpiteet, joilla tarkistetaan säännöllisesti, että kyseiset perustasot ovat tosiasiallisesti käytössä;

c) 

sellaisten turvatoimenpiteiden määrittäminen, joilla varmistetaan, että TVT-järjestelmiin ja päätelaitteisiin asennetaan ainoastaan hyväksyttyjä ohjelmistoja;

d) 

haitallisten koodien vastaisten turvatoimenpiteiden määrittäminen;

e) 

sellaisten turvatoimenpiteiden määrittäminen, joilla varmistetaan, että finanssiyhteisön tietojen siirtämiseen ja tallentamiseen käytetään ainoastaan hyväksyttyjä tallennusvälineitä, järjestelmiä ja päätelaitteita;

f) 

seuraavat vaatimukset, joilla turvataan kannettavien päätelaitteiden ja yksityisten muiden kuin kannettavien päätelaitteiden käyttö:

i) 

vaatimus käyttää hallintaratkaisua, jolla mahdollistetaan päätelaitteiden hallinta ja finanssiyhteisön tietojen pyyhkiminen etäyhteyden välityksellä;

ii) 

vaatimus käyttää turvamekanismeja, joita henkilöstön jäsenet tai TVT-palveluntarjoajana olevat kolmannet osapuolet eivät voi luvattomasti muuttaa, poistaa tai ohittaa;

iii) 

vaatimus käyttää siirrettäviä tiedontallennuslaitteita vain, jos TVT-jäännösriski pysyy finanssiyhteisön 3 artiklan ensimmäisen kohdan a alakohdassa tarkoitetun riskitason alapuolella;

g) 

menettely, jolla poistetaan turvallisesti finanssiyhteisön tiloissa olevat tai ulkoisesti tallennetut tiedot, joita finanssiyhteisön ei enää tarvitse kerätä tai tallentaa;

h) 

menettely, jolla hävitetään tai poistetaan käytöstä turvallisesti finanssiyhteisön tiloissa olevat tai ulkoisesti säilytettävät tiedontallennuslaitteet, jotka sisältävät luottamuksellisia tietoja;

i) 

sellaisten turvatoimenpiteiden määrittäminen ja toteuttaminen, joilla estetään tietojen häviäminen tai vuotaminen järjestelmistä ja päätelaitteista;

j) 

sellaisten turvatoimenpiteiden toteuttaminen, joilla varmistetaan, että etätyö ja yksityisten päätelaitteiden käyttö eivät vaaranna finanssiyhteisön TVT-turvallisuutta;

k) 

TVT-palveluntarjoajana olevan kolmannen osapuolen ylläpitämien TVT-omaisuuserien tai -palvelujen osalta digitaalisen häiriönsietokyvyn ylläpitämistä koskevien vaatimusten määrittäminen ja täytäntöönpano dataluokittelun ja TVT-riskinarvioinnin tulosten mukaisesti.

Kun sovelletaan b alakohtaa, kyseisessä alakohdassa tarkoitetussa turvallisessa perustason konfiguraatiossa on otettava huomioon johtavat käytännöt ja asetuksen (EU) N:o 1025/2012 2 artiklan 1 alakohdassa määritellyissä standardeissa vahvistetut asianmukaiset tekniikat.

Sovellettaessa k alakohtaa finanssiyhteisöjen on otettava huomioon seuraavat seikat:

a) 

myyjän suosittelemien asetusten käyttö finanssiyhteisön ylläpitämissä osissa;

b) 

tietoturvallisuuteen liittyvien tehtävien ja vastuiden selkeä jako finanssiyhteisön ja TVT-palveluntarjoajana olevan kolmannen osapuolen välillä noudattaen asetuksen (EU) 2022/2554 28 artiklan 1 kohdan a alakohdassa tarkoitettua periaatetta, jonka mukaan finanssiyhteisö on täysin vastuussa TVT-palveluntarjoajana olevasta kolmannesta osapuolesta, ja mainitun asetuksen 28 artiklan 2 kohdassa tarkoitettujen finanssiyhteisöjen osalta kriittisiä tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevien finanssiyhteisön toimintaperiaatteiden mukaisesti;

c) 

tarve varmistaa ja ylläpitää finanssiyhteisössä käytössä olevan palvelun hallinnointiin ja turvallisuuteen liittyvää riittävää osaamista;

d) 

tekniset ja organisatoriset toimenpiteet TVT-palveluntarjoajana olevan kolmannen osapuolen TVT-palveluissaan käyttämään infrastruktuuriin liittyvien riskien minimoimiseksi ottaen huomioon johtavat käytännöt ja asetuksen (EU) N:o 1025/2012 2 artiklan 1 alakohdassa määritellyt standardit.
EULAW 20 artikla 1.
Käyttöoikeuksien myöntämiseksi 21 artiklan mukaisesti finanssiyhteisöjen on osana pääsynhallintaoikeuksien valvontaa laadittava, dokumentoitava ja otettava käyttöön henkilöllisyyden hallintaa koskevat toimintaperiaatteet ja menettelyt, joilla varmistetaan sellaisten luonnollisten henkilöiden ja järjestelmien yksilöllinen tunnistaminen ja todentaminen, joilla on pääsy finanssiyhteisöjen tietoihin.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.