|
+Article 11 2. |
Article 11 2.La procédure de sécurité des données et des systèmes visée au paragraphe 1 contient tous les éléments suivants relatifs à la sécurité des données et des systèmes de TIC, conformément à la classification établie en application de l’article 8, paragraphe 1, du règlement (UE) 2022/2554:
a)
les restrictions d’accès, visées à l’article 21 du présent règlement, appuyant les exigences de protection prévues pour chaque niveau de classification;
b)
l’identification d’une configuration sécurisée de référence pour les actifs de TIC qui réduise à un minimum l’exposition de ces actifs aux cybermenaces, et des mesures visant à vérifier régulièrement que ces références sont effectivement déployées;
c)
la définition de mesures de sécurité visant à garantir que seuls des logiciels autorisés sont installés dans les systèmes de TIC et les périphériques de point de terminaison;
d)
la définition de mesures de sécurité contre les codes malveillants;
e)
la définition de mesures de sécurité visant à garantir que seuls des supports de stockage de données, des systèmes et des périphériques de point de terminaison autorisés sont utilisés pour transférer et stocker les données de l’entité financière;
f)
les exigences suivantes, pour sécuriser l’utilisation de périphériques de point de terminaison portables et de périphériques de point de terminaison non portables privés:
i)
l’obligation d’utiliser une solution de gestion qui permet de gérer à distance les périphériques de point de terminaison et d’effacer à distance les données de l’entité financière;
ii)
l’obligation d’utiliser des mécanismes de sécurité qui ne peuvent pas être modifiés, supprimés ou contournés sans autorisation par des membres du personnel ou par des prestataires tiers de services TIC;
iii)
l’obligation de n’utiliser des dispositifs de stockage de données amovibles que lorsque le risque résiduel lié aux TIC reste dans les limites du niveau de tolérance au risque de l’entité financière visé à l’article 3, premier alinéa, point a);
g)
le processus d’effacement sécurisé des données, présentes dans les locaux de l’entité financière ou stockées à l’extérieur, que l’entité financière n’a plus besoin de collecter ou de stocker;
h)
le processus d’élimination ou de déclassement en toute sécurité des dispositifs de stockage de données, présents dans les locaux de l’entité financière ou stockés à l’extérieur, qui contiennent des informations confidentielles;
i)
la définition et la mise en œuvre, pour les systèmes et les périphériques de point de terminaison, de mesures de sécurité visant à prévenir la perte et la fuite de données;
j)
la mise en œuvre de mesures de sécurité visant à garantir que le télétravail et l’utilisation de périphériques de point de terminaison privés n’aient pas d’incidence négative sur la sécurité des TIC de l’entité financière;
k)
pour les actifs de TIC ou les services TIC exploités par un prestataire tiers de services TIC, la définition et la mise en œuvre d’exigences visant à maintenir la résilience opérationnelle numérique, conformément aux résultats de la classification des données et de l’évaluation du risque lié aux TIC. La configuration sécurisée de référence visée au point b) tient compte, aux fins dudit point, des pratiques de pointe et des techniques appropriées définies dans les normes visées à l’article 2, point 1), du règlement (UE) no 1025/2012. Aux fins du point k), les entités financières prennent en considération les éléments suivants:
a)
l’application de paramètres recommandés par le vendeur aux éléments exploités par l’entité financière;
b)
une attribution claire des rôles et des responsabilités en matière de sécurité de l’information entre l’entité financière et le prestataire tiers de services TIC, conformément au principe, défini à l’article 28, paragraphe 1, point a), du règlement (UE) 2022/2554, selon lequel l’entité financière est pleinement responsable de son prestataire tiers de services TIC, et conformément à la politique de l’entité financière relative à l’utilisation de services TIC qui soutiennent des fonctions critiques ou importantes, pour les entités financières visées à l’article 28, paragraphe 2, dudit règlement;
c)
la nécessité de garantir et de maintenir des compétences adéquates au sein de l’entité financière en matière de gestion et de sécurité du service utilisé;
d)
des mesures techniques et organisationnelles visant à réduire à un minimum les risques liés à l’infrastructure utilisée par le prestataire tiers de services TIC pour ses services TIC, compte tenu des pratiques de pointe et des normes telles que définies à l’article 2, point 1), du règlement (UE) no 1025/2012. 1. Vue d’ensemble
1.1 Références1.2 Exigences identifiées1.3 Normes associées
2. Exigences identifiées
3. Normes associées
|