a)

laadittava ja dokumentoitava tietoturvapolitiikka, jossa määritellään säännöt yhteisöjen ja tarvittaessa niiden asiakkaiden datan, tieto-omaisuuden ja TVT-omaisuuden saatavuuden, aitouden, eheyden ja luottamuksellisuuden suojaamiseksi:

b)

riskiperusteista lähestymistapaa noudattaen otettava käyttöön vankka verkko- ja infrastruktuurin hallinnointirakenne käyttäen asianmukaisia tekniikoita, menetelmiä ja protokollia, joihin voi kuulua automatisoitujen mekanismien toteuttaminen mahdollisen kyberhyökkäyksen yhteydessä vahingoittuneen tieto-omaisuuden eristämiseksi;

c)

otettava käyttöön toimintatavat, joilla rajoitetaan fyysinen tai looginen pääsy tieto-omaisuuteen ja TVT-omaisuuteen vain siihen, mikä on tarpeen oikeutettuja ja hyväksyttyjä toimintoja ja tehtäviä varten, ja laaditaan tätä varten toimintaperiaatteet, menettelyt ja valvontatoimet, joissa määritellään pääsyoikeudet ja varmistetaan sen moitteeton hallinnointi;

d)

toteutettava vahvan todentamisen mekanismien edellyttämät toimintatavat ja protokollat asiaa koskevien standardien ja erityisten valvontajärjestelmien pohjalta, sekä niiden salausavaimien suojaustoimenpiteet, joilla data on salattu, hyväksyttyjen datan luokittelua ja TVT-riskinarviointia koskevien prosessien tulosten perusteella;

e)

toteutettava TVT-muutosten hallintaa koskevat dokumentoidut toimintaperiaatteet, menettelyt ja valvontatoimet, joissa otetaan huomioon ohjelmistojen, laitteiden, laiteohjelmistokomponenttien, järjestelmien tai turvaparametrien muutokset ja jotka perustuvat riskinarviointiin ja ovat olennainen osa finanssiyhteisön yleistä muutoksenhallintaprosessia, jotta voidaan varmistaa, että kaikki TVT-järjestelmien muutokset tallennetaan, testataan, arvioidaan, hyväksytään, toteutetaan ja todennetaan valvotusti;

f)

otettava käyttöön ohjelmisto- ja korjauspäivityksiä koskevat asianmukaiset ja kattavat dokumentoidut toimintaperiaatteet.

a)

otettava käyttöön luotettava ja dokumentoitu TVT-riskinhallintajärjestelmä, jossa esitetään yksityiskohtaisesti mekanismit ja toimenpiteet, joilla pyritään nopeaan, tehokkaaseen ja kattavaan TVT-riskin hallintaan, mukaan lukien asiaankuuluvien fyysisten komponenttien ja infrastruktuurien suojaaminen, ja ylläpidettävä sitä;

b)

valvottava jatkuvasti kaikkien TVT-järjestelmien turvallisuutta ja toimintaa;

c)

minimoitava TVT-riskin vaikutukset käyttämällä luotettavia, häiriönsietokykyisiä ja ajantasaisia TVT-järjestelmiä, -protokollia ja -välineitä, jotka ovat asianmukaisia tukemaan niiden toimintaa ja palvelujen tarjoamista ja suojaamaan riittävällä tavalla verkko- ja tietojärjestelmien sisältämän datan saatavuutta, aitoutta, eheyttä ja luottamuksellisuutta;

d)

mahdollistettava TVT-riskin ja poikkeamien lähteiden nopea tunnistaminen ja havaitseminen verkko- ja tietojärjestelmissä ja TVT:hen liittyvien poikkeamien nopea käsittely;

e)

yksilöitävä keskeiset riippuvuudet TVT-palveluntarjoajana olevista kolmansista osapuolista;

f)

varmistettava kriittisten tai tärkeiden toimintojen jatkuvuus sellaisten liiketoiminnan jatkuvuussuunnitelmien ja reagointi- ja toipumistoimenpiteiden avulla, joihin sisältyy vähintään varmuuskopiointi- ja palauttamistoimenpiteitä;

g)

testattava säännöllisesti f alakohdassa tarkoitettuja suunnitelmia ja toimenpiteitä sekä a ja c alakohdan mukaisesti toteutettujen tarkastusten tehokkuutta;

h)

pantava tarvittaessa g alakohdassa tarkoitetuista testeistä ja poikkeamien jälkeisestä analyysistä saadut asiaankuuluvat toimintaa koskevat johtopäätökset täytäntöön TVT-riskinarviointiprosessissa ja laadittava tarpeiden ja TVT-riskiprofiilin mukaisesti henkilöstölle ja johdolle suunnattuja TVT-turvallisuutta koskevia valistusohjelmia ja digitaalista häiriönsietokykyä koskevaa koulusta.