+Network Security
|
Network Security
Implement controls to prevent and detect unauthorized network connections. Establish and maintain a secure configuration baseline for all network components, following vendor instructions, industry standards, and best practices. Ensure Confidentiality, Integrity, and Availability (CIA) of data during network transmission. Prevent and detect data leakage, and secure data transfer with external parties. Implement measures to secure network traffic between internal networks and the internet/external connections. Apply encryption for all communication protocols over corporate, public, domestic, thirdparty, and wireless networks, based on data classification and risk assessments.
Regularly review roles and responsibilities for defining, implementing, approving, changing, and reviewing firewall rules and connection filters.
Financial entities shall perform the review of firewall rules and connections filters on a regular basis according to the classification and overall risk profile of ICT systems involved. For the ICT systems supporting critical or important functions, the financial entities shall verify the adequacy of the existing firewall rules and connection filters at least every six months.
1. Panoramica
1.1 Riferimenti
1.2 Requisiti identificati
1.3 Regolamentazioni correlate
2. Requisiti identificati
Requisiti
| Fonte |
Requisito |
3. Regolamentazioni correlate
Regolamentazioni
| Fonte |
Regolamentazione |
|
EULAW
|
Articolo 9 4
4. All’interno del quadro per la gestione dei rischi informatici di cui all’articolo 6, paragrafo 1, le entità finanziarie:
|
a)
|
elaborano e documentano una politica di sicurezza dell’informazione che definisce le norme per tutelare la disponibilità, l’autenticità, l’integrità e la riservatezza dei dati, dei patrimoni informativi e delle risorse TIC, compresi quelli dei loro clienti, se del caso;
|
|
b)
|
seguendo un approccio basato sul rischio, realizzano una solida struttura di gestione della rete e delle infrastrutture impiegando tecniche, metodi e protocolli adeguati, che possono includere l’applicazione di meccanismi automatizzati, per isolare i patrimoni informativi colpiti in caso di attacchi informatici;
|
|
c)
|
attuano politiche che limitano l’accesso fisico o logico ai patrimoni informativi e alle risorse TIC unicamente a quanto è necessario per funzioni e attività legittime e approvate, e stabiliscono a tale scopo una serie di politiche, procedure e controlli concernenti i diritti di accesso e garantiscono una solida amministrazione degli stessi;
|
|
d)
|
attuano politiche e protocolli riguardanti robusti meccanismi di autenticazione, basati su norme pertinenti e sistemi di controllo dedicati, e misure di protezione delle chiavi crittografiche di cifratura dei dati sulla scorta dei risultati di processi approvati per la classificazione dei dati e la valutazione dei rischi informatici;
|
|
e)
|
attuano politiche, procedure e controlli documentati per la gestione delle modifiche delle TIC, comprese le modifiche apportate a componenti software, hardware e firmware, sistemi o parametri di sicurezza, che adottano un approccio basato sulla valutazione del rischio e sono parte integrante del processo complessivo di gestione delle modifiche dell’entità finanziaria, in modo che tutte le modifiche apportate ai sistemi di TIC siano registrate, testate, valutate, approvate, attuate e verificate in maniera controllata;
|
|
f)
|
si dotano di politiche documentate, idonee ed esaustive in materia di correzioni ed aggiornamenti.
|
Ai fini della lettera b) del primo comma, le entità finanziarie progettano l’infrastruttura di connessione di rete in modo che sia possibile isolarla o segmentarla istantaneamente, al fine di ridurre al minimo e prevenire il contagio, soprattutto per i processi finanziari interconnessi.
Ai fini della lettera e) del primo comma, il processo di gestione delle modifiche delle TIC è approvato da linee di gestione adeguate e comprende protocolli specifici in essere.
|
|
EULAW
|
Articolo 12 4
4. Le entità finanziarie, diverse dalle microimprese, mantengono capacità di TIC ridondanti, dotate di risorse e funzioni sufficienti e adeguate a soddisfare le esigenze commerciali. Le microimprese valutano la necessità di mantenere tali capacità di TIC ridondanti sulla base del loro profilo di rischio.
|
|
EULAW
|
Articolo 13 Gestione della sicurezza della rete
Articolo 13
Gestione della sicurezza della rete
Le entità finanziarie, nell’ambito delle salvaguardie che garantiscono la sicurezza delle reti contro le intrusioni e l’uso improprio dei dati, elaborano, documentano e attuano politiche, procedure, protocolli e strumenti per la gestione della sicurezza della rete che comprendano tutti gli aspetti seguenti:
a)
la separazione e la segmentazione delle reti e dei sistemi di TIC tenendo in considerazione:
i)
la criticità o l’importanza della funzione che le reti e i sistemi di TIC supportano;
ii)
la classificazione effettuata conformemente all’articolo 8, paragrafo 1, del regolamento (UE) 2022/2554;
iii)
il profilo di rischio complessivo delle risorse TIC che utilizzano tali reti e sistemi di TIC;
b)
la documentazione di tutte le connessioni di rete e dei flussi di dati dell’entità finanziaria;
c)
l’uso di una rete separata e dedicata per l’amministrazione delle risorse TIC;
d)
l’identificazione e l’attuazione di controlli di accesso alla rete per prevenire e individuare le connessioni alla rete dell’entità finanziaria da parte di dispositivi o sistemi non autorizzati o di endpoint non conformi ai requisiti di sicurezza dell’entità finanziaria;
e)
la cifratura delle connessioni di rete che passano su reti aziendali, reti pubbliche, reti domestiche, reti di terzi e reti wireless, per i protocolli di comunicazione utilizzati, tenendo conto dei risultati della classificazione dei dati approvata, dei risultati della valutazione dei rischi informatici e della cifratura delle connessioni di rete di cui all’articolo 6, paragrafo 2;
f)
la configurazione delle reti in linea con i requisiti di sicurezza delle TIC stabiliti dall’entità finanziaria, tenendo conto delle pratiche più avanzate per garantire la riservatezza, l’integrità e la disponibilità della rete;
g)
la protezione del traffico di rete tra le reti interne e Internet e altre connessioni esterne;
h)
l’identificazione dei ruoli e delle responsabilità e delle fasi per la specifica, l’implementazione, l’approvazione, la modifica e il riesame delle regole del firewall e dei filtri di connessione;
i)
l’esecuzione di riesami dell’architettura di rete e della configurazione della sicurezza di rete una volta all’anno, e periodicamente per le microimprese, al fine di identificare potenziali vulnerabilità;
j)
le misure per isolare temporaneamente, ove necessario, sottoreti e componenti e dispositivi di rete;
k)
l’implementazione di una configurazione di base sicura di tutti i componenti della rete e l’hardening della rete e dei dispositivi di rete in linea con le istruzioni del fornitore, le pratiche più avanzate e, se del caso, con le norme definite all’articolo 2, punto 1), del regolamento (UE) n. 1025/2012;
l)
le procedure per limitare, bloccare e terminare le sessioni di sistema e remote dopo un determinato periodo di inattività;
m)
per gli accordi sui servizi di rete:
i)
l’identificazione e la specifica delle misure di sicurezza delle TIC e delle informazioni, dei livelli di servizio e dei requisiti di gestione di tutti i servizi di rete;
ii)
se tali servizi sono forniti da un fornitore infragruppo di servizi TIC o da fornitori terzi di servizi TIC.
Ai fini della lettera h), le entità finanziarie effettuano periodicamente il riesame delle regole del firewall e dei filtri di connessione in base alla classificazione effettuata conformemente all’articolo 8, paragrafo 1, del regolamento (UE) 2022/2554 e al profilo di rischio complessivo dei sistemi di TIC coinvolti. Per i sistemi TIC che supportano funzioni essenziali o importanti, le entità finanziarie verificano l’adeguatezza delle regole del firewall e dei filtri di connessione esistenti almeno ogni sei mesi.
|
- NOREA -
EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.
DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.
|