+Data Protection Practices

Data Protection Practices

Establish a secure configuration baseline for ICT assets, incorporating industry practices and techniques to minimize exposure to cyber threats. Deploy security measures to ensure CIA, prevent data loss and leakage, and protect against malicious codes. Protect data from risks arising from data management, including poor administration, processing risks, and human error. Ensure secure transfer of data and minimize the risk of data corruption or loss, unauthorized access, and technical flaws that may hinder business activity. Implement access restrictions based on data classification schemes. Regularly verify the effective deployment of these baselines.

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Regolamentazioni correlate

2. Requisiti identificati

Requisiti

3. Regolamentazioni correlate

Regolamentazioni
EULAW Articolo 9 2

2.   Le entità finanziarie definiscono, acquisiscono e attuano politiche, procedure, protocolli e strumenti per la sicurezza delle TIC miranti a garantire la resilienza, la continuità e la disponibilità dei sistemi di TIC, in particolare quelli a supporto di funzioni essenziali o importanti, nonché a mantenere standard elevati di disponibilità, autenticità, integrità e riservatezza dei dati conservati, in uso o in transito.
EULAW Articolo 9 3

3.   Al fine di conseguire gli obiettivi di cui al paragrafo 2 le entità finanziarie usano soluzioni e processi TIC appropriati conformemente all’articolo 4. Tali soluzioni e processi TIC:

a)

garantiscono la sicurezza dei mezzi di trasferimento dei dati;

b)

riducono al minimo i rischi di corruzione o perdita di dati, di accesso non autorizzato nonché di difetti tecnici che possono ostacolare l’attività commerciale;

c)

prevengono la mancanza di disponibilità, il deterioramento dell’autenticità o dell’integrità, le violazioni della riservatezza e la perdita di dati;

d)

assicurano la protezione dei dati contro i rischi derivanti dalla gestione dei dati, compresi la cattiva amministrazione, i rischi relativi al trattamento dei dati e l’errore umano.
EULAW Articolo 11 2.

La procedura per la sicurezza dei dati e dei sistemi di cui al paragrafo 1 contiene tutti gli elementi seguenti relativi alla sicurezza dei dati e dei sistemi di TIC, secondo la classificazione effettuata in conformità dell’articolo 8, paragrafo 1, del regolamento (UE) 2022/2554:

a) 

le restrizioni di accesso di cui all’articolo 21 del presente regolamento, a supporto dei requisiti di protezione per ciascun livello di classificazione;

b) 

l’identificazione di una configurazione di base sicura per le risorse TIC che riduca al minimo l’esposizione di tali risorse alle minacce informatiche e misure per verificare regolarmente che tali configurazioni di base siano effettivamente applicate;

c) 

l’identificazione di misure di sicurezza per garantire che nei sistemi di TIC e nei dispositivi endpoint siano installati solo software autorizzati;

d) 

l’identificazione di misure di sicurezza contro i codici malevoli;

e) 

l’identificazione di misure di sicurezza per garantire che solo i supporti di memorizzazione dei dati, i sistemi e i dispositivi endpoint autorizzati siano utilizzati per trasferire e memorizzare i dati dell’entità finanziaria;

f) 

gli obblighi seguenti per proteggere l’uso dei dispositivi endpoint portatili e dei dispositivi endpoint privati non portatili:

i) 

l’obbligo di utilizzare una soluzione di gestione per gestire da remoto i dispositivi endpoint e cancellare da remoto i dati dell’entità finanziaria;

ii) 

l’obbligo di utilizzare meccanismi di sicurezza che non possono essere modificati, rimossi o aggirati da membri del personale o da fornitori terzi di servizi TIC senza autorizzazione;

iii) 

l’obbligo di utilizzare dispositivi di archiviazione dati rimovibili solo quando il rischio informatico residuo rimane entro il livello di tolleranza per i rischi dell’entità finanziaria di cui all’articolo 3, primo comma, lettera a);

g) 

il processo per cancellare in modo sicuro i dati, presenti nei locali dell’entità finanziaria o conservati all’esterno, che l’entità finanziaria non ha più bisogno di raccogliere o conservare;

h) 

il processo per smaltire o dismettere in modo sicuro i dispositivi di archiviazione dati presenti nei locali dell’entità finanziaria o conservati all’esterno contenenti informazioni riservate;

i) 

l’identificazione e l’attuazione di misure di sicurezza per prevenire la perdita e la fuga di dati per i sistemi e per i dispositivi endpoint;

j) 

l’attuazione di misure di sicurezza per garantire che il telelavoro e l’uso di dispositivi endpoint privati non abbiano un impatto negativo sulla sicurezza delle TIC dell’entità finanziaria;

k) 

per le risorse o i servizi TIC gestiti da un fornitore terzo di servizi TIC, l’identificazione e l’attuazione di obblighi volti a mantenere la resilienza operativa digitale, conformemente ai risultati della classificazione dei dati e della valutazione dei rischi informatici.

Ai fini della lettera b), la configurazione di base sicura di cui alla stessa lettera tiene conto delle pratiche più avanzate e delle tecniche appropriate stabilite nelle norme definite all’articolo 2, punto 1), del regolamento (UE) n. 1025/2012.

Ai fini della lettera k), le entità finanziarie considerano quanto segue:

a) 

l’applicazione delle impostazioni raccomandate dal fornitore sugli elementi gestiti dall’entità finanziaria;

b) 

una chiara ripartizione dei ruoli e delle responsabilità in materia di sicurezza delle informazioni tra l’entità finanziaria e il fornitore terzo di servizi TIC, conformemente al principio della piena responsabilità dell’entità finanziaria nei confronti del suo fornitore terzo di servizi TIC di cui all’articolo 28, paragrafo 1, lettera a), del regolamento (UE) 2022/2554 e, per le entità finanziarie di cui all’articolo 28, paragrafo 2, del medesimo regolamento, conformemente alla politica dell’entità finanziaria per l’utilizzo dei servizi TIC a supporto di funzioni essenziali o importanti;

c) 

la necessità di garantire e mantenere adeguate competenze all’interno dell’entità finanziaria nella gestione e nella sicurezza del servizio utilizzato;

d) 

misure tecniche e organizzative per ridurre al minimo i rischi legati all’infrastruttura utilizzata dal fornitore terzo di servizi TIC per i suoi servizi TIC, tenendo conto delle pratiche più avanzate e delle norme definite all’articolo 2, punto 1), del regolamento (UE) n. 1025/2012.
EULAW Articolo 20 1.
Nell’ambito del controllo dei diritti di gestione degli accessi, le entità finanziarie elaborano, documentano e attuano politiche e procedure di gestione delle identità che garantiscano l’identificazione e l’autenticazione univoca delle persone fisiche e dei sistemi che accedono alle informazioni delle entità finanziarie per consentire l’assegnazione dei diritti di accesso utente in conformità dell’articolo 21.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.