CAPO II Ulteriori elementi di sistemi, protocolli e strumenti per ridurre al minimo l’impatto dei rischi informatici

i diritti di accesso ai patrimoni informativi, alle risorse TIC e alle loro funzioni supportate, nonché alle sedi operative critiche dell’entità finanziaria sono gestiti in base ai principi della necessità di sapere, della necessità di usare e del privilegio minimo, anche per gli accessi remoti e di emergenza;

la responsabilità degli utenti, che garantisce che gli utenti possano essere identificati per le azioni eseguite nei sistemi di TIC;

le procedure di gestione degli account per concedere, modificare o revocare i diritti di accesso per gli account utente e generici, compresi gli account amministratore generici;

i metodi di autenticazione, commisurati alla classificazione di cui all’articolo 30, paragrafo 1, e al profilo di rischio complessivo delle risorse TIC e basati sulle pratiche più avanzate;

i diritti di accesso sono riesaminati periodicamente e revocati quando non sono più necessari.

monitorano e gestiscono il ciclo di vita di tutte le risorse TIC;

monitorano se le risorse TIC sono supportate da fornitori terzi di servizi TIC delle entità finanziarie, ove applicabile;

identificano i requisiti di capacità delle proprie risorse TIC e le misure per mantenere e migliorare la disponibilità e l’efficienza dei sistemi di TIC e prevenire le carenze di capacità TIC prima che si concretizzino;

eseguono scansioni e valutazioni automatizzate delle vulnerabilità delle risorse TIC commisurate alla loro classificazione di cui all’articolo 30, paragrafo 1, e al profilo di rischio complessivo della risorsa TIC, e applicano patch per risolvere le vulnerabilità identificate;

gestiscono i rischi relativi a risorse TIC obsolete, non supportate o legacy;

registrano nei log gli eventi relativi al controllo degli accessi logici e fisici, alle operazioni riguardanti le TIC, comprese le attività di sistema e di traffico di rete, e alla gestione delle modifiche delle TIC;

identificano e attuano misure per monitorare e analizzare le informazioni su attività e comportamenti anomali per le operazioni essenziali o importanti riguardanti le TIC;

attuano misure per monitorare le informazioni pertinenti e aggiornate sulle minacce informatiche;

attuano misure per identificare possibili fughe di informazioni, codici malevoli e altre minacce alla sicurezza, nonché vulnerabilità pubblicamente note in software e hardware e verificano la disponibilità di nuovi aggiornamenti di sicurezza corrispondenti.

l’identificazione e l’attuazione di misure di protezione dei dati in uso, in transito e a riposo;

l’identificazione e l’attuazione di misure di sicurezza relative all’uso di software, supporti di memorizzazione dei dati, sistemi e dispositivi endpoint utilizzati per trasferire e memorizzare dati dell’entità finanziaria;

l’identificazione e l’attuazione di misure per prevenire e individuare connessioni non autorizzate alla rete dell’entità finanziaria e per proteggere il traffico di rete tra le reti interne dell’entità finanziaria e Internet e altre connessioni esterne;

l’identificazione e l’attuazione di misure che garantiscano la disponibilità, l’autenticità, l’integrità e la riservatezza dei dati durante le trasmissioni di rete;

un processo per cancellare in modo sicuro i dati nei locali o memorizzati esternamente che l’entità finanziaria non ha più bisogno di raccogliere o conservare;

un processo per smaltire o dismettere in modo sicuro i dispositivi di archiviazione dati presenti nei locali o quelli conservati all’esterno contenenti informazioni riservate;

l’identificazione e l’attuazione di misure per garantire che il telelavoro e l’uso di dispositivi endpoint privati non abbiano un impatto negativo sulla capacità dell’entità finanziaria di svolgere le proprie attività critiche in modo adeguato, tempestivo e sicuro.

garantisce che, prima di qualsiasi acquisizione o sviluppo di sistemi di TIC, siano chiaramente specificati e approvati dalla funzione aziendale interessata i requisiti funzionali e non funzionali, compresi quelli relativi alla sicurezza delle informazioni;

garantisce che i sistemi di TIC siano testati e approvati prima del loro primo utilizzo e prima di introdurre modifiche nell’ambiente di produzione;

identifica le misure di attenuazione del rischio di alterazione non intenzionale o di manipolazione intenzionale dei sistemi di TIC durante lo sviluppo e l’implementazione nell’ambiente di produzione.