+Network Design and Segmentation

Network Design and Segmentation

Design the network infrastructure in a way that allows it to be instantaneously severed or segmented to minimize and prevent contagion. Have provisions for temporarily isolating subnetworks and network components/devices. Ensure redundant capabilities are equipped with sufficient resources, capabilities, and functions (e.g., redundant network setup). Systems and networks must be segregated based on function criticality, classification, and overall risk profile. Maintain a separate network for asset administration. Provide a Layer 3 or 7 (L3/L7) visual representation of all networks and data flows. Conduct yearly performance reviews of the network architecture/design.

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Regolamentazioni correlate

2. Requisiti identificati

Requisiti

3. Regolamentazioni correlate

Regolamentazioni
EULAW Articolo 9 4

4.   All’interno del quadro per la gestione dei rischi informatici di cui all’articolo 6, paragrafo 1, le entità finanziarie:

a)

elaborano e documentano una politica di sicurezza dell’informazione che definisce le norme per tutelare la disponibilità, l’autenticità, l’integrità e la riservatezza dei dati, dei patrimoni informativi e delle risorse TIC, compresi quelli dei loro clienti, se del caso;

b)

seguendo un approccio basato sul rischio, realizzano una solida struttura di gestione della rete e delle infrastrutture impiegando tecniche, metodi e protocolli adeguati, che possono includere l’applicazione di meccanismi automatizzati, per isolare i patrimoni informativi colpiti in caso di attacchi informatici;

c)

attuano politiche che limitano l’accesso fisico o logico ai patrimoni informativi e alle risorse TIC unicamente a quanto è necessario per funzioni e attività legittime e approvate, e stabiliscono a tale scopo una serie di politiche, procedure e controlli concernenti i diritti di accesso e garantiscono una solida amministrazione degli stessi;

d)

attuano politiche e protocolli riguardanti robusti meccanismi di autenticazione, basati su norme pertinenti e sistemi di controllo dedicati, e misure di protezione delle chiavi crittografiche di cifratura dei dati sulla scorta dei risultati di processi approvati per la classificazione dei dati e la valutazione dei rischi informatici;

e)

attuano politiche, procedure e controlli documentati per la gestione delle modifiche delle TIC, comprese le modifiche apportate a componenti software, hardware e firmware, sistemi o parametri di sicurezza, che adottano un approccio basato sulla valutazione del rischio e sono parte integrante del processo complessivo di gestione delle modifiche dell’entità finanziaria, in modo che tutte le modifiche apportate ai sistemi di TIC siano registrate, testate, valutate, approvate, attuate e verificate in maniera controllata;

f)

si dotano di politiche documentate, idonee ed esaustive in materia di correzioni ed aggiornamenti.

Ai fini della lettera b) del primo comma, le entità finanziarie progettano l’infrastruttura di connessione di rete in modo che sia possibile isolarla o segmentarla istantaneamente, al fine di ridurre al minimo e prevenire il contagio, soprattutto per i processi finanziari interconnessi.

Ai fini della lettera e) del primo comma, il processo di gestione delle modifiche delle TIC è approvato da linee di gestione adeguate e comprende protocolli specifici in essere.
EULAW Articolo 12 4

4.   Le entità finanziarie, diverse dalle microimprese, mantengono capacità di TIC ridondanti, dotate di risorse e funzioni sufficienti e adeguate a soddisfare le esigenze commerciali. Le microimprese valutano la necessità di mantenere tali capacità di TIC ridondanti sulla base del loro profilo di rischio.
EULAW Articolo 13 Gestione della sicurezza della rete

Articolo 13

Gestione della sicurezza della rete

Le entità finanziarie, nell’ambito delle salvaguardie che garantiscono la sicurezza delle reti contro le intrusioni e l’uso improprio dei dati, elaborano, documentano e attuano politiche, procedure, protocolli e strumenti per la gestione della sicurezza della rete che comprendano tutti gli aspetti seguenti:

a) 

la separazione e la segmentazione delle reti e dei sistemi di TIC tenendo in considerazione:

i) 

la criticità o l’importanza della funzione che le reti e i sistemi di TIC supportano;

ii) 

la classificazione effettuata conformemente all’articolo 8, paragrafo 1, del regolamento (UE) 2022/2554;

iii) 

il profilo di rischio complessivo delle risorse TIC che utilizzano tali reti e sistemi di TIC;

b) 

la documentazione di tutte le connessioni di rete e dei flussi di dati dell’entità finanziaria;

c) 

l’uso di una rete separata e dedicata per l’amministrazione delle risorse TIC;

d) 

l’identificazione e l’attuazione di controlli di accesso alla rete per prevenire e individuare le connessioni alla rete dell’entità finanziaria da parte di dispositivi o sistemi non autorizzati o di endpoint non conformi ai requisiti di sicurezza dell’entità finanziaria;

e) 

la cifratura delle connessioni di rete che passano su reti aziendali, reti pubbliche, reti domestiche, reti di terzi e reti wireless, per i protocolli di comunicazione utilizzati, tenendo conto dei risultati della classificazione dei dati approvata, dei risultati della valutazione dei rischi informatici e della cifratura delle connessioni di rete di cui all’articolo 6, paragrafo 2;

f) 

la configurazione delle reti in linea con i requisiti di sicurezza delle TIC stabiliti dall’entità finanziaria, tenendo conto delle pratiche più avanzate per garantire la riservatezza, l’integrità e la disponibilità della rete;

g) 

la protezione del traffico di rete tra le reti interne e Internet e altre connessioni esterne;

h) 

l’identificazione dei ruoli e delle responsabilità e delle fasi per la specifica, l’implementazione, l’approvazione, la modifica e il riesame delle regole del firewall e dei filtri di connessione;

i) 

l’esecuzione di riesami dell’architettura di rete e della configurazione della sicurezza di rete una volta all’anno, e periodicamente per le microimprese, al fine di identificare potenziali vulnerabilità;

j) 

le misure per isolare temporaneamente, ove necessario, sottoreti e componenti e dispositivi di rete;

k) 

l’implementazione di una configurazione di base sicura di tutti i componenti della rete e l’hardening della rete e dei dispositivi di rete in linea con le istruzioni del fornitore, le pratiche più avanzate e, se del caso, con le norme definite all’articolo 2, punto 1), del regolamento (UE) n. 1025/2012;

l) 

le procedure per limitare, bloccare e terminare le sessioni di sistema e remote dopo un determinato periodo di inattività;

m) 

per gli accordi sui servizi di rete:

i) 

l’identificazione e la specifica delle misure di sicurezza delle TIC e delle informazioni, dei livelli di servizio e dei requisiti di gestione di tutti i servizi di rete;

ii) 

se tali servizi sono forniti da un fornitore infragruppo di servizi TIC o da fornitori terzi di servizi TIC.

Ai fini della lettera h), le entità finanziarie effettuano periodicamente il riesame delle regole del firewall e dei filtri di connessione in base alla classificazione effettuata conformemente all’articolo 8, paragrafo 1, del regolamento (UE) 2022/2554 e al profilo di rischio complessivo dei sistemi di TIC coinvolti. Per i sistemi TIC che supportano funzioni essenziali o importanti, le entità finanziarie verificano l’adeguatezza delle regole del firewall e dei filtri di connessione esistenti almeno ogni sei mesi.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.