II. FEJEZET Az IKT-kockázat hatásának minimalizálását célzó rendszerek, protokollok és eszközök további elemei

az információs vagyonelemekhez, az IKT-eszközökhöz és azok támogatott funkcióihoz, valamint a pénzügyi szervezet kritikus működési helyszíneihez való hozzáférési jogosultságok kezelése a szükséges ismeret elve, a szükséges használat elve és a legkisebb jogosultság elve alapján, beleértve a távoli és vészhelyzeti hozzáférést is;

felhasználói elszámoltathatóság, ami biztosítja, hogy a felhasználók azonosíthatók az IKT-rendszerekben végzett tevékenységek tekintetében;

a felhasználói és általános fiókokhoz, köztük az általános rendszergazdai fiókokhoz való hozzáférési jogosultságok megadására, módosítására vagy visszavonására vonatkozó fiókkezelési eljárások;

a 30. cikk (1) bekezdésében említett osztályozással és az IKT-eszközök általános kockázati profiljával arányos hitelesítési módszerek, amelyek vezető gyakorlatokon alapulnak;

a hozzáférési jogosultságok rendszeres felülvizsgálata és visszavonása, ha már nincs szükség rájuk.

valamennyi IKT-eszköz életciklusának nyomon követése és kezelése;

adott esetben annak nyomon követése, hogy az IKT-eszközöket a pénzügyi szervezetek harmadik fél IKT-szolgáltatói támogatják-e;

IKT-eszközeik kapacitásigényeinek azonosítása, és intézkedések meghozatala az IKT-rendszerek rendelkezésre állásának és hatékonyságának fenntartása és javítása, valamint az IKT-kapacitáshiányoknak azok bekövetkezése előtti megelőzése érdekében;

az IKT-eszközök automatizált sérülékenységfelmérése és -értékelése a 30. cikk (1) bekezdésében említett osztályozásukkal és az IKT-eszköz általános kockázati profiljával arányos módon, és javítások telepítése az azonosított sérülékenységek kezelésére;

az idejétmúlt, nem támogatott vagy elavult IKT-eszközökhöz kapcsolódó kockázatok kezelése;

a logikai és fizikai hozzáférés-ellenőrzéssel, IKT-műveletekkel – beleértve a rendszer- és hálózati forgalmi tevékenységeket – és az IKT-változásmenedzsmenttel kapcsolatos események naplózása;

a kritikus vagy fontos IKT-műveletekkel kapcsolatos rendellenes tevékenységekre és magatartásformákra vonatkozó információk nyomon követésére és elemzésére irányuló intézkedések meghatározása és végrehajtása;

a kiberfenyegetésekre vonatkozó releváns és naprakész információk nyomon követésére irányuló intézkedések végrehajtása;

a lehetséges információszivárgások, rosszindulatú kódok és egyéb biztonsági fenyegetések, valamint a szoftverek és hardverek közismert sérülékenységeinek azonosítására, és a megfelelő új biztonsági frissítések ellenőrzésére irányuló intézkedések végrehajtása.

a használatban lévő, továbbítás alatt álló és használaton kívüli adatok védelmét szolgáló intézkedések azonosítása és végrehajtása;

biztonsági intézkedések azonosítása és végrehajtása a pénzügyi szervezet adatait továbbító és tároló szoftverek, adattárolók, adathordozók, rendszerek és végponti eszközök tekintetében;

a pénzügyi szervezet hálózatához való jogosulatlan csatlakozások megelőzésére és észlelésére, valamint a pénzügyi szervezet belső hálózatai és az internet és más külső kapcsolatok közötti hálózati forgalom biztosítására irányuló intézkedések azonosítása és végrehajtása;

az adatok rendelkezésre állását, hitelességét, integritását és bizalmas jellegét a hálózati továbbítás során biztosító intézkedések azonosítása és végrehajtása;

a telephelyeken található vagy külső helyszínen tárolt olyan adatok biztonságos törlésének folyamata, amelyeket a pénzügyi szervezetnek már nem kell gyűjtenie vagy tárolnia;

a telephelyeken található vagy külső helyszínen tárolt, bizalmas információkat tartalmazó adattároló eszközök biztonságos ártalmatlanításának vagy leszerelésének folyamata;

olyan intézkedések azonosítása és végrehajtása, amelyek biztosítják, hogy a távmunka és a magánjellegű végponti eszközök használata ne befolyásolja hátrányosan a pénzügyi szervezet azon képességét, hogy kritikus tevékenységeit megfelelően, időben és biztonságosan végezze.

annak biztosítása, hogy az IKT-rendszerek beszerzése és fejlesztése előtt az érintett üzleti funkció egyértelműen meghatározza és jóváhagyja a funkcionális és nem funkcionális követelményeket, beleértve az információbiztonsági követelményeket is;

az IKT-rendszerek tesztelésének és jóváhagyásának biztosítása azok első használata előtt, valamint a változtatásoknak az éles környezetben történő bevezetése előtt;

olyan intézkedések azonosítása, amelyek csökkentik az IKT-rendszerek nem szándékos megváltoztatásának vagy szándékos manipulálásának kockázatát az éles környezetben történő fejlesztés és végrehajtás alatt.