|
+11 straipsnis 2. |
11 straipsnis 2.1 dalyje nurodyta duomenų ir sistemų apsaugos procedūra apima visus toliau nurodytus elementus, susijusius su duomenų ir IRT sistemų apsauga, pagal klasifikaciją pagal Reglamento (ES) 2022/2554 8 straipsnio 1 dalį:
a)
šio reglamento 21 straipsnyje nurodytus prieigos apribojimus, papildančius kiekvieno klasifikacijos lygio apsaugos reikalavimus;
b)
IRT turto saugios bazinės konfigūracijos, kuria kuo labiau sumažinama tam IRT turtui kylanti kibernetinė grėsmė, ir priemonių tų bazinių konfigūracijų veiksmingam diegimui reguliariai patikrinti nustatymą;
c)
apsaugos priemonių, kuriomis užtikrinama, kad IRT sistemose ir galiniuose įrenginiuose būtų diegiama tik leidžiama programinė įranga, nustatymą;
d)
apsaugos nuo kenkėjiškų kodų priemonių nustatymą;
e)
apsaugos priemonių, kuriomis užtikrinama, kad finansų sektoriaus subjekto duomenims persiųsti ir saugoti būtų naudojamos tik leidžiamos duomenų saugojimo laikmenos, sistemos ir galiniai įrenginiai, nustatymą;
f)
šiuos reikalavimus, kuriais užtikrinamas saugus nešiojamųjų galinių įrenginių ir privačių stacionarių galinių įrenginių naudojimas:
i)
reikalavimą taikyti valdymo sprendimą, kuriuo nuotoliniu būdu valdomi galiniai įrenginiai ir nuotoliniu būdu ištrinami finansų sektoriaus subjekto duomenys;
ii)
reikalavimą taikyti saugumo mechanizmus, kurių darbuotojai ar IRT paslaugas teikiančios trečiosios šalys negali neteisėtai pakeisti, pašalinti ar apeiti;
iii)
reikalavimą naudoti prijungiamus duomenų saugojimo įrenginius tik tuo atveju, kai liekamoji IRT rizika neviršija finansų sektoriaus subjekto priimtinos rizikos lygio, nurodyto 3 straipsnio pirmos pastraipos a punkte;
g)
finansų sektoriaus subjekto patalpose laikomų ar išorėje saugomų duomenų, kurių finansų sektoriaus subjektui nebereikia rinkti ar saugoti, saugaus ištrynimo procesą;
h)
finansų sektoriaus subjekto patalpose laikomų ar išorėje saugomų duomenų saugojimo įrenginių, kuriuose įrašyta konfidenciali informacija, saugaus sunaikinimo procesą;
i)
sistemų ir galinių įrenginių apsaugos nuo duomenų praradimo ir nutekinimo priemonių nustatymą ir įgyvendinimą;
j)
apsaugos priemonių, kuriomis užtikrinama, kad nuotolinis darbas ir privačių galinių įrenginių naudojimas nedarytų neigiamo poveikio finansų sektoriaus subjekto IRT saugumui, įgyvendinimą;
k)
reikalavimų išlaikyti IRT paslaugas teikiančios trečiosios šalies naudojamo IRT turto ar paslaugų skaitmeninės veiklos atsparumą, remiantis duomenų klasifikavimo ir IRT rizikos vertinimo rezultatais, nustatymą ir įgyvendinimą. Taikant b punktą, nustatant tame punkte nurodytą saugią bazinę konfigūraciją atsižvelgiama į pažangiausią praktiką ir tinkamus metodus, išdėstytus Reglamento (ES) Nr. 1025/2012 2 straipsnio 1 punkte apibrėžtuose standartuose. Taikant k punktą, finansų sektoriaus subjektai atsižvelgia į:
a)
pardavėjo rekomenduotų nuostačių taikymą elementams, kuriuos valdo finansų sektoriaus subjektas;
b)
aiškų informacijos saugumo užtikrinimo vaidmenų ir pareigų paskirstymą tarp finansų sektoriaus subjekto ir IRT paslaugas teikiančios trečiosios šalies pagal Reglamento (ES) 2022/2554 28 straipsnio 1 dalies a punkte nurodytą principą, pagal kurį visa atsakomybė tenka finansų sektoriaus subjektui, o ne IRT paslaugas teikiančiai trečiajai šaliai, ir jų paskirstymą to reglamento 28 straipsnio 2 dalyje nurodytiems finansų sektoriaus subjektams pagal finansų sektoriaus subjekto IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, naudojimo politiką;
c)
poreikį užtikrinti ir išlaikyti tinkamą finansų sektoriaus subjekto kompetenciją naudojamos paslaugos valdymo ir saugumo srityse;
d)
technines ir organizacines priemones, kuriomis kuo labiau sumažinama rizika, susijusi su infrastruktūra, kurią IRT paslaugas teikianti trečioji šalis naudoja savo IRT paslaugoms teikti, atsižvelgiant į pažangiausią praktiką ir Reglamento (ES) Nr. 1025/2012 2 straipsnio 1 punkte apibrėžtus standartus. 1. Apžvalga
1.1 Nuorodos1.2 Nustatyti reikalavimai1.3 Susiję standartai
2. Nustatyti reikalavimai
3. Susiję standartai
|