II LUKU Muut järjestelmien, protokollien ja välineiden osatekijät, joilla minimoidaan TVT-riskien vaikutusta

tieto-omaisuuteen, TVT-omaisuuteen ja niillä tuettuihin toimintoihin sekä finanssiyhteisön kriittisiin toimipaikkoihin liittyviä pääsyoikeuksia, mukaan lukien etäkäyttöoikeudet ja hätätilanteen käyttöoikeudet, hallinnoidaan tiedonsaantitarpeen, käyttötarpeen ja vähäisimpien oikeuksien periaatteiden mukaisesti;

käyttäjien vastuuvelvollisuus, jolla varmistetaan, että käyttäjät voidaan tunnistaa TVT-järjestelmissä tapahtuvan toiminnan osalta;

tilinhallintamenettelyt käyttäjätilien ja yleisten tilien, mukaan lukien yleisten pääkäyttäjätilien, käyttöoikeuksien myöntämiseksi, muuttamiseksi tai peruuttamiseksi;

todentamismenetelmät, jotka ovat oikeassa suhteessa 30 artiklan 1 kohdassa tarkoitettuun luokitteluun ja TVT-omaisuuden yleiseen riskiprofiiliin ja jotka perustuvat johtaviin käytäntöihin;

käyttöoikeuksia tarkistetaan säännöllisesti uudelleen, ja ne peruutetaan, kun niitä ei enää tarvita.

seurattava ja hallittava kaiken TVT-omaisuuden elinkaarta;

seurattava tarvittaessa, tukevatko finanssiyhteisöjen TVT-palveluntarjoajana olevat kolmannet osapuolet niiden TVT-omaisuutta;

määritettävä TVT-omaisuutensa kapasiteettivaatimukset ja toimenpiteet, joilla ylläpidetään ja parannetaan TVT-järjestelmien saatavuutta ja tehokkuutta ja ennaltaehkäistään TVT-kapasiteettivajeita;

suoritettava TVT-omaisuuden automatisoitu haavoittuvuuskartoitus ja automatisoidut arvioinnit, jotka ovat oikeassa suhteessa niiden 30 artiklan 1 kohdassa tarkoitettuun luokitteluun ja TVT-omaisuuden yleiseen riskiprofiiliin, ja paikattava havaitut haavoittuvuudet korjauspäivityksillä;

hallittava vanhentuneeseen, tukemattomaan tai aiemman sukupolven TVT-omaisuuteen liittyviä riskejä;

kirjattava lokiin tapahtumat, jotka liittyvät loogiseen ja fyysiseen pääsynvalvontaan, TVT-toimiin, mukaan lukien järjestelmä- ja verkkoliikennetoiminnot, ja TVT-muutosten hallintaan;

määritettävä ja toteutettava toimenpiteitä, joilla seurataan ja analysoidaan tietoja poikkeavasta toiminnasta ja käyttäytymisestä kriittisissä tai tärkeissä TVT-toimissa;

toteutettava toimenpiteitä kyberuhkia koskevien merkityksellisten ja ajantasaisten tietojen seuraamiseksi;

toteutettava toimenpiteitä, joilla tunnistetaan mahdolliset tietovuodot, haitalliset koodit ja muut turvallisuusuhat sekä yleisesti tunnetut haavoittuvuudet ohjelmistoissa ja laitteistoissa, ja tarkistetaan, onko niihin liittyen saatavilla uusia turvallisuuspäivityksiä.

tietojen suojaamista käsittelyn ja siirtämisen aikana sekä levossa koskevien toimenpiteiden määrittäminen ja toteuttaminen;

finanssiyhteisön tietojen siirtämiseen ja tallentamiseen käytettävien ohjelmistojen, tallennusvälineiden, järjestelmien ja päätelaitteiden käyttöä koskevien turvatoimenpiteiden määrittäminen ja toteuttaminen;

sellaisten toimenpiteiden määrittäminen ja toteuttaminen, joilla estetään ja havaitaan luvattomat yhteydet finanssiyhteisön verkkoon sekä suojataan finanssiyhteisön sisäisten verkkojen sekä internetin ja muiden ulkoisten yhteyksien välinen verkkoliikenne;

sellaisten toimenpiteiden määrittäminen ja toteuttaminen, joilla varmistetaan tietojen saatavuus, aitous, eheys ja luottamuksellisuus verkossa tapahtuvan siirron aikana;

menettely, jolla toimitiloissa tai ulkoisesti tallennetut tiedot, joita finanssiyhteisön ei enää tarvitse kerätä tai tallentaa, poistetaan turvallisesti;

menettely, jolla toimitiloissa tai ulkoisesti säilytettävät luottamuksellisia tietoja sisältävät tallennuslaitteet hävitetään tai poistetaan käytöstä turvallisesti;

sellaisten toimenpiteiden määrittäminen ja toteuttaminen, joilla varmistetaan, että etätyö ja yksityisten päätelaitteiden käyttö eivät vaikuta kielteisesti finanssiyhteisön kykyyn suorittaa kriittisiä toimintojaan asianmukaisella, oikea-aikaisella ja turvallisella tavalla.

varmistettava, että ennen TVT-järjestelmien hankintaa tai kehittämistä asiaan liittyvä liiketoiminto määrittelee ja hyväksyy toiminnalliset ja muut vaatimukset, mukaan lukien tietoturvavaatimukset;

varmistettava, että TVT-järjestelmät testataan ja hyväksytään ennen niiden ensimmäistä käyttöä ja ennen kuin tuotantoympäristöön tehdään muutoksia;

määritettävä toimenpiteet, joilla tuotantoympäristössä tapahtuvan kehittämisen ja käyttöönoton aikana lievennetään riskiä kyseisten TVT-järjestelmien tahattomasta muuttamisesta tai tarkoituksellisesta manipuloinnista.