+Network Design and Segmentation

Network Design and Segmentation

Design the network infrastructure in a way that allows it to be instantaneously severed or segmented to minimize and prevent contagion. Have provisions for temporarily isolating subnetworks and network components/devices. Ensure redundant capabilities are equipped with sufficient resources, capabilities, and functions (e.g., redundant network setup). Systems and networks must be segregated based on function criticality, classification, and overall risk profile. Maintain a separate network for asset administration. Provide a Layer 3 or 7 (L3/L7) visual representation of all networks and data flows. Conduct yearly performance reviews of the network architecture/design.

1. Pregled

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani propisi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani propisi

Propisi
EULAW Article 9 4

4.   As part of the ICT risk management framework referred to in Article 6(1), financial entities shall:

(a)

develop and document an information security policy defining rules to protect the availability, authenticity, integrity and confidentiality of data, information assets and ICT assets, including those of their customers, where applicable;

(b)

following a risk-based approach, establish a sound network and infrastructure management structure using appropriate techniques, methods and protocols that may include implementing automated mechanisms to isolate affected information assets in the event of cyber-attacks;

(c)

implement policies that limit the physical or logical access to information assets and ICT assets to what is required for legitimate and approved functions and activities only, and establish to that end a set of policies, procedures and controls that address access rights and ensure a sound administration thereof;

(d)

implement policies and protocols for strong authentication mechanisms, based on relevant standards and dedicated control systems, and protection measures of cryptographic keys whereby data is encrypted based on results of approved data classification and ICT risk assessment processes;

(e)

implement documented policies, procedures and controls for ICT change management, including changes to software, hardware, firmware components, systems or security parameters, that are based on a risk assessment approach and are an integral part of the financial entity’s overall change management process, in order to ensure that all changes to ICT systems are recorded, tested, assessed, approved, implemented and verified in a controlled manner;

(f)

have appropriate and comprehensive documented policies for patches and updates.

For the purposes of the first subparagraph, point (b), financial entities shall design the network connection infrastructure in a way that allows it to be instantaneously severed or segmented in order to minimise and prevent contagion, especially for interconnected financial processes.

For the purposes of the first subparagraph, point (e), the ICT change management process shall be approved by appropriate lines of management and shall have specific protocols in place.
EULAW Article 12 4

4.   Financial entities, other than microenterprises, shall maintain redundant ICT capacities equipped with resources, capabilities and functions that are adequate to ensure business needs. Microenterprises shall assess the need to maintain such redundant ICT capacities based on their risk profile.
EULAW Članak 13. Upravljanje mrežnom sigurnosti

Članak 13.

Upravljanje mrežnom sigurnosti

Financijski subjekti u sklopu mjera zaštite mreža od neovlaštenih upada i zlouporabe podataka izrađuju, dokumentiraju i provode politike, postupke, protokole i alate za upravljanje mrežnom sigurnosti, što uključuje sve sljedeće:

(a) 

razdvajanje i segmentaciju IKT sustavâ i mreža, pri čemu se uzimaju u obzir:

i. 

ključnost ili važnost funkcije koja se podupire IKT sustavima i mrežama;

ii. 

klasifikacija utvrđena u skladu s člankom 8. stavkom 1. Uredbe (EU) 2022/2554;

iii. 

ukupni profil rizičnosti IKT imovine za koju se ti IKT sustavi i mreže upotrebljavaju;

(b) 

dokumentiranje svih mrežnih veza i tokova podataka financijskog subjekta;

(c) 

upotrebu zasebne namjenske mreže za upravljanje IKT imovinom;

(d) 

utvrđivanje i provedbu kontrole pristupa mreži kako bi se spriječilo i otkrilo povezivanje neovlaštenih uređaja ili sustava na mrežu financijskog sustava ili krajnje točke koje ne ispunjavaju zahtjeve financijskog subjekta za sigurnost;

(e) 

enkripciju mrežnih veza koje prolaze kroz korporativne mreže, javne mreže, domaće mreže, mreže treće strane i bežične mreže u pogledu komunikacijskih protokola koji se upotrebljavaju, pri čemu se uzimaju u obzir rezultati odobrene klasifikacije podataka, rezultati procjene IKT rizika i enkripcija mrežnih veza iz članka 6. stavka 2.;

(f) 

oblikovanje mreža u skladu sa zahtjevima za sigurnost IKT-a koje utvrdi financijski subjekt, pri čemu se uzimaju u obzir vodeće prakse kako bi se osigurala povjerljivost, cjelovitost i dostupnost mreže;

(g) 

zaštitu mrežnog prometa između unutarnjih mreža i interneta te drugih vanjskih veza;

(h) 

utvrđivanje uloga i odgovornosti te koraka za određivanje, provedbu, odobrenje, promjenu i preispitivanje pravila za vatrozid i filtara veza;

(i) 

provedbu preispitivanja mrežne strukture i oblikovanja mrežne sigurnosti jedanput godišnje, a periodički za mikropoduzeća, kako bi se utvrdile potencijalne ranjivosti;

(j) 

mjere za privremenu izolaciju, prema potrebi, podmreža te mrežnih komponenata i uređaja;

(k) 

provedbu polazne sigurne konfiguracije svih mrežnih komponenata te povećanje sigurnosti mreže i mrežnih uređaja u skladu s uputama dobavljača te, prema potrebi, primjenjivim standardima kako su definirani u članku 2. točki 1. Uredbe (EU) br. 1025/2012 i vodećim praksama;

(l) 

postupke za ograničavanje, zaključavanje i prekid rada sustava i daljinskih sesija nakon određenog razdoblja neaktivnosti;

(m) 

za ugovore o mrežnim uslugama:

i. 

utvrđivanje i specifikaciju mjera za sigurnost IKT-a i informacijsku sigurnost, razina usluge i zahtjeva za upravljanje za sve mrežne usluge;

ii. 

pruža li te usluge pružatelj IKT usluga unutar grupe ili treća strana pružatelj IKT usluga.

Za potrebe točke (h) financijski subjekti redovito provode preispitivanje pravila za vatrozid i filtara veza u skladu s klasifikacijom iz članka 8. stavka 1. Uredbe (EU) 2022/2554 i ukupnim profilnom rizičnosti uključenih IKT sustava. Za IKT sustave kojima se podupiru ključne ili važne funkcije, financijski subjekti barem svakih šest mjeseci provjeravaju primjerenost postojećih pravila za vatrozid i filtara veza.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.