+Vendor Recommended Security Settings

Vendor Recommended Security Settings

Consider the security measures and settings recommended by the third-party service provider delivering the ICT service. Implement technical and organisational measures to minimise the risks related to the infrastructure used and managed by the ICT third-party service provider.

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät säädökset

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät säädökset

Säädökset
EULAW 9 artikla 2

2.   Finanssiyhteisöjen on suunniteltava, hankittava ja toteutettava TVT-turvallisuutta koskevat toimintatavat, menettelyt, protokollat ja välineet, joiden tarkoituksena on varmistaa TVT-järjestelmien ja erityisesti kriittisiä tai tärkeitä toimintoja tukevien TVT-järjestelmien häiriönsietokyky, jatkuvuus ja käytettävyys ja säilyttää datan saatavuus, aitous, eheys ja luottamuksellisuus korkealla tasolla riippumatta siitä, onko kyseessä lepäävä, käytössä oleva vai siirrettävä data.
EULAW 9 artikla 3

3.   Edellä 2 kohdassa tarkoitettujen tavoitteiden saavuttamiseksi finanssiyhteisöjen on käytettävä 4 artiklan mukaisesti asianmukaisia TVT-ratkaisuja ja -prosesseja. Kyseisten TVT-ratkaisujen ja -prosessien on

a)

varmistettava datansiirtovälineiden suojaus;

b)

minimoitava datan turmeltumisen tai menettämisen, luvattoman käytön ja liiketoimintaa mahdollisesti haittaavien teknisten vikojen riski;

c)

ehkäistävä datan saatavuuden puutetta, aitouden tai eheyden heikkenemistä, luottamuksellisuuden rikkomisia ja datan menettämistä;

d)

varmistettava, että data on suojattu tiedonhallinnassa esiintyviltä riskeiltä, mukaan lukien huono hallinto, käsittelyyn liittyvät riskit ja inhimilliset virheet.
EULAW 11 artikla 2.

Edellä 1 kohdassa tarkoitetun tietojen ja järjestelmän turvallisuutta koskevan menettelyn on sisällettävä kaikki seuraavat tietojen ja TVT-järjestelmän turvallisuuteen liittyvät elementit asetuksen (EU) 2022/2554 8 artiklan 1 kohdan mukaisesti vahvistetun luokittelun mukaisesti:

a) 

tämän asetuksen 21 artiklassa tarkoitetut pääsyn rajoitukset, joilla tuetaan kunkin luokan suojavaatimuksia;

b) 

TVT-omaisuuden turvallisen perustason konfiguraation määrittäminen siten, että minimoidaan kyseisen TVT-omaisuuden altistuminen kyberuhkille, ja toimenpiteet, joilla tarkistetaan säännöllisesti, että kyseiset perustasot ovat tosiasiallisesti käytössä;

c) 

sellaisten turvatoimenpiteiden määrittäminen, joilla varmistetaan, että TVT-järjestelmiin ja päätelaitteisiin asennetaan ainoastaan hyväksyttyjä ohjelmistoja;

d) 

haitallisten koodien vastaisten turvatoimenpiteiden määrittäminen;

e) 

sellaisten turvatoimenpiteiden määrittäminen, joilla varmistetaan, että finanssiyhteisön tietojen siirtämiseen ja tallentamiseen käytetään ainoastaan hyväksyttyjä tallennusvälineitä, järjestelmiä ja päätelaitteita;

f) 

seuraavat vaatimukset, joilla turvataan kannettavien päätelaitteiden ja yksityisten muiden kuin kannettavien päätelaitteiden käyttö:

i) 

vaatimus käyttää hallintaratkaisua, jolla mahdollistetaan päätelaitteiden hallinta ja finanssiyhteisön tietojen pyyhkiminen etäyhteyden välityksellä;

ii) 

vaatimus käyttää turvamekanismeja, joita henkilöstön jäsenet tai TVT-palveluntarjoajana olevat kolmannet osapuolet eivät voi luvattomasti muuttaa, poistaa tai ohittaa;

iii) 

vaatimus käyttää siirrettäviä tiedontallennuslaitteita vain, jos TVT-jäännösriski pysyy finanssiyhteisön 3 artiklan ensimmäisen kohdan a alakohdassa tarkoitetun riskitason alapuolella;

g) 

menettely, jolla poistetaan turvallisesti finanssiyhteisön tiloissa olevat tai ulkoisesti tallennetut tiedot, joita finanssiyhteisön ei enää tarvitse kerätä tai tallentaa;

h) 

menettely, jolla hävitetään tai poistetaan käytöstä turvallisesti finanssiyhteisön tiloissa olevat tai ulkoisesti säilytettävät tiedontallennuslaitteet, jotka sisältävät luottamuksellisia tietoja;

i) 

sellaisten turvatoimenpiteiden määrittäminen ja toteuttaminen, joilla estetään tietojen häviäminen tai vuotaminen järjestelmistä ja päätelaitteista;

j) 

sellaisten turvatoimenpiteiden toteuttaminen, joilla varmistetaan, että etätyö ja yksityisten päätelaitteiden käyttö eivät vaaranna finanssiyhteisön TVT-turvallisuutta;

k) 

TVT-palveluntarjoajana olevan kolmannen osapuolen ylläpitämien TVT-omaisuuserien tai -palvelujen osalta digitaalisen häiriönsietokyvyn ylläpitämistä koskevien vaatimusten määrittäminen ja täytäntöönpano dataluokittelun ja TVT-riskinarvioinnin tulosten mukaisesti.

Kun sovelletaan b alakohtaa, kyseisessä alakohdassa tarkoitetussa turvallisessa perustason konfiguraatiossa on otettava huomioon johtavat käytännöt ja asetuksen (EU) N:o 1025/2012 2 artiklan 1 alakohdassa määritellyissä standardeissa vahvistetut asianmukaiset tekniikat.

Sovellettaessa k alakohtaa finanssiyhteisöjen on otettava huomioon seuraavat seikat:

a) 

myyjän suosittelemien asetusten käyttö finanssiyhteisön ylläpitämissä osissa;

b) 

tietoturvallisuuteen liittyvien tehtävien ja vastuiden selkeä jako finanssiyhteisön ja TVT-palveluntarjoajana olevan kolmannen osapuolen välillä noudattaen asetuksen (EU) 2022/2554 28 artiklan 1 kohdan a alakohdassa tarkoitettua periaatetta, jonka mukaan finanssiyhteisö on täysin vastuussa TVT-palveluntarjoajana olevasta kolmannesta osapuolesta, ja mainitun asetuksen 28 artiklan 2 kohdassa tarkoitettujen finanssiyhteisöjen osalta kriittisiä tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevien finanssiyhteisön toimintaperiaatteiden mukaisesti;

c) 

tarve varmistaa ja ylläpitää finanssiyhteisössä käytössä olevan palvelun hallinnointiin ja turvallisuuteen liittyvää riittävää osaamista;

d) 

tekniset ja organisatoriset toimenpiteet TVT-palveluntarjoajana olevan kolmannen osapuolen TVT-palveluissaan käyttämään infrastruktuuriin liittyvien riskien minimoimiseksi ottaen huomioon johtavat käytännöt ja asetuksen (EU) N:o 1025/2012 2 artiklan 1 alakohdassa määritellyt standardit.
EULAW 20 artikla 1.
Käyttöoikeuksien myöntämiseksi 21 artiklan mukaisesti finanssiyhteisöjen on osana pääsynhallintaoikeuksien valvontaa laadittava, dokumentoitava ja otettava käyttöön henkilöllisyyden hallintaa koskevat toimintaperiaatteet ja menettelyt, joilla varmistetaan sellaisten luonnollisten henkilöiden ja järjestelmien yksilöllinen tunnistaminen ja todentaminen, joilla on pääsy finanssiyhteisöjen tietoihin.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.