Session Management

a)

laadittava ja dokumentoitava tietoturvapolitiikka, jossa määritellään säännöt yhteisöjen ja tarvittaessa niiden asiakkaiden datan, tieto-omaisuuden ja TVT-omaisuuden saatavuuden, aitouden, eheyden ja luottamuksellisuuden suojaamiseksi:

b)

riskiperusteista lähestymistapaa noudattaen otettava käyttöön vankka verkko- ja infrastruktuurin hallinnointirakenne käyttäen asianmukaisia tekniikoita, menetelmiä ja protokollia, joihin voi kuulua automatisoitujen mekanismien toteuttaminen mahdollisen kyberhyökkäyksen yhteydessä vahingoittuneen tieto-omaisuuden eristämiseksi;

c)

otettava käyttöön toimintatavat, joilla rajoitetaan fyysinen tai looginen pääsy tieto-omaisuuteen ja TVT-omaisuuteen vain siihen, mikä on tarpeen oikeutettuja ja hyväksyttyjä toimintoja ja tehtäviä varten, ja laaditaan tätä varten toimintaperiaatteet, menettelyt ja valvontatoimet, joissa määritellään pääsyoikeudet ja varmistetaan sen moitteeton hallinnointi;

d)

toteutettava vahvan todentamisen mekanismien edellyttämät toimintatavat ja protokollat asiaa koskevien standardien ja erityisten valvontajärjestelmien pohjalta, sekä niiden salausavaimien suojaustoimenpiteet, joilla data on salattu, hyväksyttyjen datan luokittelua ja TVT-riskinarviointia koskevien prosessien tulosten perusteella;

e)

toteutettava TVT-muutosten hallintaa koskevat dokumentoidut toimintaperiaatteet, menettelyt ja valvontatoimet, joissa otetaan huomioon ohjelmistojen, laitteiden, laiteohjelmistokomponenttien, järjestelmien tai turvaparametrien muutokset ja jotka perustuvat riskinarviointiin ja ovat olennainen osa finanssiyhteisön yleistä muutoksenhallintaprosessia, jotta voidaan varmistaa, että kaikki TVT-järjestelmien muutokset tallennetaan, testataan, arvioidaan, hyväksytään, toteutetaan ja todennetaan valvotusti;

f)

otettava käyttöön ohjelmisto- ja korjauspäivityksiä koskevat asianmukaiset ja kattavat dokumentoidut toimintaperiaatteet.