+Network Security

Network Security

Implement controls to prevent and detect unauthorized network connections. Establish and maintain a secure configuration baseline for all network components, following vendor instructions, industry standards, and best practices. Ensure Confidentiality, Integrity, and Availability (CIA) of data during network transmission. Prevent and detect data leakage, and secure data transfer with external parties. Implement measures to secure network traffic between internal networks and the internet/external connections. Apply encryption for all communication protocols over corporate, public, domestic, thirdparty, and wireless networks, based on data classification and risk assessments. 

Regularly review roles and responsibilities for defining, implementing, approving, changing, and reviewing firewall rules and connection filters.

Financial entities shall perform the review of firewall rules and connections filters on a regular basis according to the classification and overall risk profile of ICT systems involved. For the ICT systems supporting critical or important functions, the financial entities shall verify the adequacy of the existing firewall rules and connection filters at least every six months.

1. Áttekintés

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabályozások

2. Azonosított követelmények

Követelmények

3. Kapcsolódó szabályozások

Szabályozások
EULAW 9. cikk (4)

A 6. cikk (1) bekezdésében említett IKT-kockázatkezelési keretrendszer részeként a pénzügyi szervezetek:

a) 

információs biztonsági szabályzatot dolgoznak ki és dokumentálnak, amely meghatározza az adatok, az információs vagyonelemek és az IKT-eszközök – ideértve adott esetben az ügyfeleikét is – rendelkezésre állását, hitelességét, integritását és bizalmas kezelését védeni célzó szabályokat;

b) 

kockázatalapú megközelítést követve, létrehoznak egy megbízható hálózati és infrastruktúra-menedzsment struktúrát, megfelelő technikákat, módszereket és protokollokat alkalmazva, amelyek magukban foglalhatják automatizált mechanizmusok végrehajtását is, az érintett információs vagyonelemek kibertámadás esetén történő elszigetelése érdekében;

c) 

olyan szabályzatokat hajtanak végre, amelyek az információs vagyonelemekhez és az IKT-eszközökhöz való fizikai vagy logikai hozzáférést kizárólag a jogszerű és jóváhagyott funkciókhoz és tevékenységekhez szükséges mértékűre korlátozzák, és e célból olyan szabályzatokat, eljárásokat és kontrollokat határoznak meg, amelyek szabályozzák a hozzáférés-kezelési jogosultságokat, és biztosítják azok megbízható adminisztrációját;

d) 

erős hitelesítési mechanizmusokat szolgáló szabályzatokat és protokollokat vezetnek be releváns normák és célzott kontrollrendszerek alapján, valamint a kriptográfiai kulcsokhoz kapcsolódó védelmi intézkedéseket hajtanak végre, ahol az adatok jóváhagyott adatminősítési és IKT-kockázatértékelési folyamatok eredményei alapján kerülnek titkosításra;

e) 

az IKT-változás többek között a szoftver-, hardver- és belsővezérlőprogram-összetevőket, -rendszert vagy -biztonságot érintő változások kezelését szolgáló, olyan dokumentált szabályzatokat, eljárásokat és kontrollokat vezetnek be, amelyek kockázatértékelési megközelítésen alapulnak, és integráns részét képezik a pénzügyi szervezet általános változásmenedzsment-folyamatának, annak biztosítása érdekében, hogy az IKT-rendszerekben bekövetkező valamennyi változást kontrollált módon rögzítsék, teszteljék, értékeljék, hagyják jóvá, hajtsák végre és ellenőrizzék;

f) 

megfelelő és átfogó, dokumentált szabályzatokkal rendelkeznek a hibajavító csomagokra és frissítésekre vonatkozóan.

A b) pont első albekezdésének alkalmazásában a pénzügyi szervezetek a hálózati kapcsolati infrastruktúrát azonnali megszakításra vagy szakaszokra bontásra alkalmas módon alakítják ki annak érdekében, hogy minimalizálják és megelőzzék az átterjedést, különösen az összekapcsolt pénzügyi folyamatok esetében.

Az e) pont első albekezdésének alkalmazásában az IKT-vonatkozású változásmenedzsment-folyamatot a megfelelő vezetői szintnek kell jóváhagynia, és annak konkrét protokollokkal kell rendelkeznie.
EULAW 12. cikk (4)
A mikrovállalkozásnak nem minősülő pénzügyi szervezeteknek olyan IKT-tartalékkapacitásokat kell fenntartaniuk, amelyek biztosítják az üzleti igények ellátásához elégséges és megfelelő erőforrásokat, képességeket és funkciókat. A mikrovállalkozásoknak kockázati profiljukat alapul véve, mérlegelniük kell, hogy szükséges-e ilyen IKT-tartalékkapacitásokat fenntartaniuk.
EULAW 13. cikk A hálózatbiztonság kezelése

13. cikk

A hálózatbiztonság kezelése

A pénzügyi szervezetek a hálózatok biztonságát a behatolásokkal és az adatokkal való visszaéléssel szemben garantáló biztosítékok részeként kidolgozzák, dokumentálják és végrehajtják a hálózatbiztonság kezelésére vonatkozó szabályzatokat, eljárásokat, protokollokat és eszközöket, beleértve a következők mindegyikét:

a) 

az IKT-rendszerek és -hálózatok elkülönítése és szegmentálása, figyelembe véve a következőket:

i. 

ezen IKT-rendszerek és -hálózatok által támogatott funkció kritikussága vagy fontossága;

ii. 

az (EU) 2022/2554 rendelet 8. cikkének (1) bekezdésével összhangban megállapított osztályozás;

iii. 

az említett IKT-rendszereket és -hálózatokat használó IKT-eszközök általános kockázati profilja;

b) 

a pénzügyi szervezet valamennyi hálózati kapcsolatának és adatáramlásának dokumentálása;

c) 

külön, erre kijelölt hálózat használata az IKT-eszközök kezelésére;

d) 

hálózati hozzáférés-ellenőrzések azonosítása és végrehajtása a pénzügyi szervezet hálózatához való, jogosulatlan eszköz vagy rendszer, vagy a pénzügyi szervezet biztonsági követelményeinek nem megfelelő végpont általi kapcsolat megelőzése és észlelése érdekében;

e) 

a vállalati hálózatokon, nyilvános hálózatokon, belföldi hálózatokon, harmadik felek hálózatain és vezeték nélküli hálózatokon áthaladó hálózati kapcsolatok titkosítása az alkalmazott kommunikációs protokollok esetében, figyelembe véve a jóváhagyott adatminősítés eredményeit, az IKT-kockázatértékelés eredményeit és a hálózati kapcsolatok 6. cikk (2) bekezdésében említett titkosítását;

f) 

a hálózatoknak a pénzügyi szervezet által meghatározott IKT-biztonsági követelményekkel összhangban történő kialakítása, figyelembe véve a hálózat bizalmas jellegének, integritásának és rendelkezésre állásának biztosítására irányuló vezető gyakorlatokat;

g) 

a belső hálózatok és az internet és más külső kapcsolatok közötti hálózati forgalom biztosítása;

h) 

a tűzfalszabályok és kapcsolatszűrők meghatározásával, végrehajtásával, jóváhagyásával, módosításával és felülvizsgálatával kapcsolatos szerep- és felelősségi körök, illetve lépések azonosítása;

i) 

a hálózati architektúra és a hálózatbiztonság kialakítása felülvizsgálatának elvégzése évente egyszer, illetve mikrovállalkozások esetén rendszeres időközönként, a potenciális sérülékenységek azonosítása érdekében;

j) 

szükség esetén az alhálózatok, valamint a hálózati összetevők és eszközök ideiglenes elszigetelésére irányuló intézkedések;

k) 

valamennyi hálózati összetevő biztonságos konfigurációs alapértékeinek végrehajtása, valamint a hálózat és a hálózati eszközök megerősítése a beszállítói utasításokkal, adott esetben az 1025/2012/EU rendelet 2. cikkének 1. pontjában foglalt meghatározás szerinti szabványokkal és a vezető gyakorlatokkal összhangban;

l) 

a rendszer és a távoli munkamenetek meghatározott inaktivitási időszakot követő korlátozására, lezárására és megszakítására szolgáló eljárások;

m) 

a hálózati szolgáltatásokról szóló megállapodások esetében:

i. 

az IKT- és információbiztonsági intézkedések, a szolgáltatási szintek és az irányítási követelmények azonosítása és részletes meghatározása minden hálózati szolgáltatás tekintetében;

ii. 

annak feltüntetése, hogy a szolgáltatásokat csoporton belüli IKT-szolgáltató vagy harmadik fél IKT-szolgáltatók nyújtják-e.

A h) pont alkalmazásában a pénzügyi szervezetek az (EU) 2022/2554 rendelet 8. cikkének (1) bekezdésével összhangban megállapított osztályozásnak és az érintett IKT-rendszerek általános kockázati profiljának megfelelően rendszeresen elvégzik a tűzfalszabályok és a kapcsolatszűrők felülvizsgálatát. A kritikus vagy fontos funkciókat támogató IKT-rendszerek esetében a pénzügyi szervezetek legalább hathavonta ellenőrzik a meglévő tűzfalszabályok és kapcsolatszűrők megfelelőségét.