POGLAVLJE II. Dodatni elementi sustava, protokola i alata kojima se učinak IKT rizika svodi na najmanju moguću mjeru

pravima pristupa informacijskoj imovini, IKT imovini i funkcijama koje one podupiru te pravima pristupa ključnim lokacijama poslovanja financijskog subjekta upravlja se na temelju načela nužne informiranosti, nužne upotrebe i najmanjih povlastica, među ostalim za daljinski i hitni pristup;

odgovornost korisnika, kojom se omogućuje utvrđivanje identiteta korisnika koji izvršavaju pojedine radnje u IKT sustavima;

postupke za upravljanje računima kojima se dodjeljuju, mijenjaju ili opozivaju prava pristupa za korisničke i generičke račune, među ostalim generičke administratorske račune;

metode autentifikacije razmjerne klasifikaciji iz članka 30. stavka 1. i ukupnom profilu rizičnosti IKT imovine, koje se temelje na vodećim praksama;

prava pristupa periodički se preispituju i povlače kad više nisu potrebna.

prate i upravljaju životnim ciklusom sve IKT imovine;

prate podupiru li IKT imovinu treće strane pružatelji IKT usluga financijskih subjekata, prema potrebi;

utvrđuju zahtjeve za kapacitet svoje IKT imovine te mjere za održavanje i povećanje dostupnosti i učinkovitosti IKT sustavâ te sprečavaju manjak kapaciteta IKT-a prije nego što do njega dođe;

provode automatizirano skeniranje i procjenu ranjivosti IKT imovine razmjerne njihovoj klasifikaciji u skladu s člankom 30. stavkom 1. i ukupnom profilu rizičnosti IKT imovine te uvode zakrpe kako bi otklonili utvrđene ranjivosti;

upravljaju rizicima povezanima sa zastarjelom ili nepodržanom IKT imovinom;

evidentiraju događaje povezane s kontrolom logičkog i fizičkog pristupa, operacijama IKT-a, među ostalim aktivnostima sustava i mrežnog prometa, i upravljanjem promjenama IKT-a;

utvrđuju i provode mjere za praćenje i analiziranje informacija o neobičnim aktivnostima i ponašanju za ključne ili važne operacije IKT-a;

provode mjere za praćenje relevantnih i aktualnih informacija o kiberprijetnjama;

provode mjere za utvrđivanje mogućih curenja informacija, zlonamjernog koda i drugih sigurnosnih prijetnji, kao i javno poznatih ranjivosti softvera i hardvera te provjeravaju postoje li odgovarajuća nova sigurnosna ažuriranja.

utvrđivanje i provedbu mjera za zaštitu podataka u upotrebi, prijenosu i mirovanju;

utvrđivanje i provedbu sigurnosnih mjera povezanih s upotrebom softvera, medija za pohranu podataka, sustava i krajnjih uređaja za prijenos i pohranu podataka financijskog subjekta;

utvrđivanje i provedbu mjera za sprečavanje i otkrivanje neovlaštenih povezivanja na mrežu financijskog subjekta, kao i za zaštitu mrežnog prometa između unutarnjih mreža financijskog subjekta i interneta te drugih vanjskih veza;

utvrđivanje i provedbu mjera kojima se osigurava dostupnost, vjerodostojnost, cjelovitost i povjerljivost podataka tijekom mrežnog prijenosa;

proces za sigurno brisanje podataka koji se nalaze u prostorima financijskog subjekta ili su vanjski pohranjeni, a koje financijski subjekt više ne treba prikupljati ili pohranjivati;

proces za sigurno odlaganje ili stavljanje izvan funkcije uređaja za pohranu podataka koji se nalaze u prostorima ili su vanjski pohranjeni, a koji sadržavaju povjerljive informacije;

utvrđivanje i provedbu mjera kako rad na daljinu i upotreba privatnih krajnjih uređaja ne bi negativno utjecali na sposobnost financijskog subjekta da obavlja ključne aktivnosti na odgovarajući, pravodoban i siguran način.

osigurava da se prije svake nabave ili razvoja IKT sustava jasno odrede funkcionalni i nefunkcionalni zahtjevi, među ostalim zahtjevi za informacijsku sigurnost, te da relevantna poslovna funkcija odobri te zahtjeve;

osigurava testiranje i odobrenje IKT sustava prije njihove prve upotrebe i prije mijenjanja produkcijskog okruženja;

određuju mjere za smanjenje rizika od nenamjerne izmjene IKT sustava ili njihove namjerne manipulacije tijekom razvoja i uvođenja u produkcijsko okruženje.