+Data Protection Practices

Data Protection Practices

Establish a secure configuration baseline for ICT assets, incorporating industry practices and techniques to minimize exposure to cyber threats. Deploy security measures to ensure CIA, prevent data loss and leakage, and protect against malicious codes. Protect data from risks arising from data management, including poor administration, processing risks, and human error. Ensure secure transfer of data and minimize the risk of data corruption or loss, unauthorized access, and technical flaws that may hinder business activity. Implement access restrictions based on data classification schemes. Regularly verify the effective deployment of these baselines.

1. Apžvalga

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję teisės aktai

2. Nustatyti reikalavimai

Reikalavimai

3. Susiję teisės aktai

Teisės aktai
EULAW 9 straipsnis 2

2.   Finansų sektoriaus subjektai rengia, įsigyja ir įgyvendina IRT saugumo politiką, procedūras, protokolus ir priemones, kuriais siekiama užtikrinti IRT sistemų, visų pirma palaikančių ypatingos svarbos arba svarbias funkcijas, atsparumą, tęstinumą ir prieinamumą, taip pat išlaikyti aukštus saugomų, naudojamų ar perduodamų duomenų prieinamumo, autentiškumo, vientisumo ir konfidencialumo standartus.
EULAW 9 straipsnis 3

3.   Kad pasiektų 2 dalyje nurodytus tikslus, finansų sektoriaus subjektai naudoja IRT sprendimus ir procesus, kurie yra tinkami pagal 4 straipsnį. Tais IRT sprendimais ir procesais:

a)

užtikrinamas duomenų perdavimo priemonių saugumas;

b)

kuo labiau sumažinama duomenų sugadinimo ar praradimo, neteisėtos prieigos ir techninių trūkumų rizika, galinti trukdyti verslo veiklai;

c)

užkertamas kelias duomenų nepakankamam prieinamumui, autentiškumo ir vientisumo pakenkimui, jų konfidencialumo pažeidimams, ir praradimui;

d)

užtikrinama, kad duomenys būtų apsaugoti nuo tvarkant duomenis kylančios rizikos, be kita ko, dėl netinkamo administravimo, su duomenų apdorojimu susijusios rizikos ir žmogaus klaidos.
EULAW 11 straipsnis 2.

1 dalyje nurodyta duomenų ir sistemų apsaugos procedūra apima visus toliau nurodytus elementus, susijusius su duomenų ir IRT sistemų apsauga, pagal klasifikaciją pagal Reglamento (ES) 2022/2554 8 straipsnio 1 dalį:

a) 

šio reglamento 21 straipsnyje nurodytus prieigos apribojimus, papildančius kiekvieno klasifikacijos lygio apsaugos reikalavimus;

b) 

IRT turto saugios bazinės konfigūracijos, kuria kuo labiau sumažinama tam IRT turtui kylanti kibernetinė grėsmė, ir priemonių tų bazinių konfigūracijų veiksmingam diegimui reguliariai patikrinti nustatymą;

c) 

apsaugos priemonių, kuriomis užtikrinama, kad IRT sistemose ir galiniuose įrenginiuose būtų diegiama tik leidžiama programinė įranga, nustatymą;

d) 

apsaugos nuo kenkėjiškų kodų priemonių nustatymą;

e) 

apsaugos priemonių, kuriomis užtikrinama, kad finansų sektoriaus subjekto duomenims persiųsti ir saugoti būtų naudojamos tik leidžiamos duomenų saugojimo laikmenos, sistemos ir galiniai įrenginiai, nustatymą;

f) 

šiuos reikalavimus, kuriais užtikrinamas saugus nešiojamųjų galinių įrenginių ir privačių stacionarių galinių įrenginių naudojimas:

i) 

reikalavimą taikyti valdymo sprendimą, kuriuo nuotoliniu būdu valdomi galiniai įrenginiai ir nuotoliniu būdu ištrinami finansų sektoriaus subjekto duomenys;

ii) 

reikalavimą taikyti saugumo mechanizmus, kurių darbuotojai ar IRT paslaugas teikiančios trečiosios šalys negali neteisėtai pakeisti, pašalinti ar apeiti;

iii) 

reikalavimą naudoti prijungiamus duomenų saugojimo įrenginius tik tuo atveju, kai liekamoji IRT rizika neviršija finansų sektoriaus subjekto priimtinos rizikos lygio, nurodyto 3 straipsnio pirmos pastraipos a punkte;

g) 

finansų sektoriaus subjekto patalpose laikomų ar išorėje saugomų duomenų, kurių finansų sektoriaus subjektui nebereikia rinkti ar saugoti, saugaus ištrynimo procesą;

h) 

finansų sektoriaus subjekto patalpose laikomų ar išorėje saugomų duomenų saugojimo įrenginių, kuriuose įrašyta konfidenciali informacija, saugaus sunaikinimo procesą;

i) 

sistemų ir galinių įrenginių apsaugos nuo duomenų praradimo ir nutekinimo priemonių nustatymą ir įgyvendinimą;

j) 

apsaugos priemonių, kuriomis užtikrinama, kad nuotolinis darbas ir privačių galinių įrenginių naudojimas nedarytų neigiamo poveikio finansų sektoriaus subjekto IRT saugumui, įgyvendinimą;

k) 

reikalavimų išlaikyti IRT paslaugas teikiančios trečiosios šalies naudojamo IRT turto ar paslaugų skaitmeninės veiklos atsparumą, remiantis duomenų klasifikavimo ir IRT rizikos vertinimo rezultatais, nustatymą ir įgyvendinimą.

Taikant b punktą, nustatant tame punkte nurodytą saugią bazinę konfigūraciją atsižvelgiama į pažangiausią praktiką ir tinkamus metodus, išdėstytus Reglamento (ES) Nr. 1025/2012 2 straipsnio 1 punkte apibrėžtuose standartuose.

Taikant k punktą, finansų sektoriaus subjektai atsižvelgia į:

a) 

pardavėjo rekomenduotų nuostačių taikymą elementams, kuriuos valdo finansų sektoriaus subjektas;

b) 

aiškų informacijos saugumo užtikrinimo vaidmenų ir pareigų paskirstymą tarp finansų sektoriaus subjekto ir IRT paslaugas teikiančios trečiosios šalies pagal Reglamento (ES) 2022/2554 28 straipsnio 1 dalies a punkte nurodytą principą, pagal kurį visa atsakomybė tenka finansų sektoriaus subjektui, o ne IRT paslaugas teikiančiai trečiajai šaliai, ir jų paskirstymą to reglamento 28 straipsnio 2 dalyje nurodytiems finansų sektoriaus subjektams pagal finansų sektoriaus subjekto IRT paslaugų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, naudojimo politiką;

c) 

poreikį užtikrinti ir išlaikyti tinkamą finansų sektoriaus subjekto kompetenciją naudojamos paslaugos valdymo ir saugumo srityse;

d) 

technines ir organizacines priemones, kuriomis kuo labiau sumažinama rizika, susijusi su infrastruktūra, kurią IRT paslaugas teikianti trečioji šalis naudoja savo IRT paslaugoms teikti, atsižvelgiant į pažangiausią praktiką ir Reglamento (ES) Nr. 1025/2012 2 straipsnio 1 punkte apibrėžtus standartus.
EULAW 20 straipsnis 1.
Finansų sektoriaus subjektai parengia, dokumentuoja, įgyvendina ir į prieigos valdymo teisių kontrolę įtraukia tapatybės duomenų tvarkymo politiką ir procedūras, kuriomis užtikrinamas fizinių asmenų ir sistemų, turinčių prieigą prie finansų sektoriaus subjektų informacijos, unikalios tapatybės nustatymas ir autentiškumo patvirtinimas, leidžiantys priskirti naudotojo prieigos teises pagal 21 straipsnį.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.