CHAPITRE II Autres éléments des systèmes, protocoles et outils visant à réduire au minimum l’incidence du risque lié aux TIC

les droits d’accès aux actifs informationnels, aux actifs de TIC et aux fonctions que ces actifs soutiennent, ainsi qu’aux sites critiques d’exploitation de l’entité financière, sont gérés selon les principes du besoin d’en connaître, du besoin d’en disposer et du droit d’accès minimal, y compris pour l’accès à distance et l’accès d’urgence;

la responsabilité des utilisateurs, qui garantit que les utilisateurs peuvent être identifiés pour les actions effectuées dans les systèmes de TIC;

les procédures de gestion des comptes permettant d’accorder, de modifier ou de révoquer des droits d’accès pour les comptes d’utilisateurs et les comptes génériques, y compris les comptes génériques d’administrateur;

des méthodes d’authentification proportionnées à la classification visée à l’article 30, paragraphe 1, et au profil de risque global des actifs de TIC, et reposant sur les pratiques de pointe;

les droits d’accès sont réexaminés périodiquement et retirés lorsqu’ils ne sont plus nécessaires.

suivent et gèrent le cycle de vie de tous les actifs de TIC;

surveillent si les actifs de TIC sont pris en charge par des prestataires tiers de services TIC des entités financières, le cas échéant;

définissent les besoins en capacités de leurs actifs de TIC et les mesures visant à maintenir et à améliorer la disponibilité et l’efficacité des systèmes de TIC et à prévenir les déficits de capacités en matière de TIC avant qu’ils ne se concrétisent;

effectuent des scans et évaluations automatisés des vulnérabilités des actifs de TIC de façon proportionnée à leur classification visée à l’article 30, paragraphe 1, et au profil de risque global de l’actif de TIC, et déploient des correctifs pour remédier aux vulnérabilités identifiées;

gèrent les risques liés aux actifs de TIC obsolètes, non pris en charge ou hérités;

journalisent les événements liés au contrôle des accès logiques et physiques, aux opérations de TIC, y compris aux activités liées aux systèmes et au trafic réseau, et à la gestion des changements dans les TIC;

définissent et mettent en œuvre des mesures de suivi et d’analyse des informations sur les activités et comportements anormaux pour les opérations de TIC critiques ou importantes;

mettent en œuvre des mesures de suivi des informations pertinentes et actualisées sur les cybermenaces;

mettent en œuvre des mesures visant à détecter les éventuelles fuites d’informations, les codes malveillants et les autres menaces pour la sécurité, ainsi que les vulnérabilités de notoriété publique dans les logiciels et le matériel, et vérifient la disponibilité de nouvelles mises à jour de sécurité correspondantes.

la définition et la mise en œuvre de mesures visant à protéger les données en cours d’utilisation, en transit et au repos;

la définition et la mise en œuvre de mesures de sécurité concernant l’utilisation de logiciels, de supports de stockage de données, de systèmes et de périphériques de point de terminaison qui transfèrent et stockent des données de l’entité financière;

la définition et la mise en œuvre de mesures visant à prévenir et à détecter les connexions non autorisées au réseau de l’entité financière et à sécuriser le trafic réseau entre les réseaux internes de l’entité financière et l’internet et d’autres connexions externes;

la définition et la mise en œuvre de mesures garantissant la disponibilité, l’authenticité, l’intégrité et la confidentialité des données lors des transmissions sur le réseau;

un processus permettant de supprimer de manière sécurisée les données dans les locaux, ou stockées à l’extérieur, que l’entité financière n’a plus besoin de collecter ou de stocker;

un processus permettant d’éliminer ou de déclasser de manière sécurisée des dispositifs de stockage de données dans les locaux, ou des dispositifs de stockage des données stockés à l’extérieur, qui contiennent des informations confidentielles;

la définition et la mise en œuvre de mesures visant à garantir que le télétravail et l’utilisation de périphériques de point de terminaison privés n’ont pas d’incidence négative sur la capacité de l’entité financière à mener ses activités critiques de manière adéquate, rapide et sûre.

prévoit que, avant toute acquisition ou tout développement de systèmes de TIC, les exigences fonctionnelles et non fonctionnelles, y compris les exigences en matière de sécurité de l’information, sont clairement définies et approuvées par la fonction «métier» concernée;

prévoit que les systèmes de TIC sont testés et approuvés avant leur première utilisation et avant l’introduction de changements dans l’environnement de production;

définit les mesures visant à atténuer le risque d’altération involontaire ou de manipulation intentionnelle des systèmes de TIC lors du développement et de la mise en œuvre dans l’environnement de production.