II SKYRIUS PAPILDOMI SISTEMŲ, PROTOKOLŲ IR PRIEMONIŲ IRT RIZIKAI MAŽINTI ELEMENTAI

prieigos prie finansų sektoriaus subjekto informacinio turto, IRT turto ir juo palaikomų funkcijų, taip pat prie ypatingos svarbos operacijų vietų teisės, įskaitant nuotolinę ir neatidėliotiną prieigą, yra administruojamos remiantis būtinybės žinoti, būtinybės naudoti ir minimaliosios prieigos teisės principais;

naudotojų atskaitingumą, kuriuo užtikrinama, kad būtų galima identifikuoti IRT sistemose veiksmus atlikusius naudotojus;

paskyrų administravimo procedūras, pagal kurias suteikiamos, keičiamos ar panaikinamos prieigos prie naudotojų ir beasmenių paskyrų, įskaitant beasmenes administratorių paskyras, teisės;

autentiškumo patvirtinimo metodus, kurie yra proporcingi klasifikacijai pagal 30 straipsnio 1 dalį bei bendram IRT turto rizikos profiliui ir pagrįsti pažangiausia praktika;

prieigos teisių periodišką peržiūrą ir panaikinimą, kai jos nebebūtinos.

stebi ir valdo viso IRT turto gyvavimo ciklą;

stebi, ar atitinkamais atvejais IRT turtą palaiko finansų sektoriaus subjektams IRT paslaugas teikiančios trečiosios šalys;

nustato savo IRT turto pajėgumo reikalavimus ir priemones, kuriomis išlaikomas ir gerinamas IRT sistemų prieinamumas bei veiksmingumas ir užkertamas kelias IRT pajėgumo trūkumams prieš jiems atsirandant;

atlieka automatinį IRT turto pažeidžiamumų skenavimą ir vertinimą, proporcingą klasifikacijai pagal šio reglamento 30 straipsnio 1 dalį ir bendram IRT turto rizikos profiliui, ir diegia pataisas, kuriomis šalinami identifikuoti pažeidžiamumai;

valdo riziką, susijusią su pasenusiu, nebepalaikomu ar senuoju IRT turtu;

registruoja įvykius, susijusius su loginės ir fizinės prieigos kontrole, IRT operacijomis, įskaitant sistemos ir tinklo srauto veiklą, ir IRT pakeitimų valdymu;

nustato ir įgyvendina priemones, kuriomis stebima ir analizuojama informacija apie neįprastą veiklą ir elgesį, susijusius su ypatingos svarbos arba svarbiomis IRT operacijomis;

įgyvendina priemones, kuriomis stebima aktuali ir naujausia informacija apie kibernetines grėsmes;

įgyvendina priemones, kuriomis nustatomas galimas informacijos nutekinimas, kenkėjiški kodai ir kitos grėsmės saugumui, taip pat viešai žinomi programinės ir aparatinės įrangos pažeidžiamumai, ir tikrinama, ar yra atitinkamų naujų saugumo naujinių.

duomenų apsaugos jų saugojimo, perdavimo ir naudojimo metu priemonių identifikavimą ir įgyvendinimą;

apsaugos priemonių, susijusių su finansų sektoriaus subjekto duomenims persiųsti ir saugoti naudojama programine įranga, duomenų saugojimo laikmenomis, sistemomis ir galiniais įrenginiais, identifikavimą ir įgyvendinimą;

priemonių, kuriomis užkertamas kelias neteisėtam jungimuisi prie finansų sektoriaus subjekto tinklo ir apsaugomas tinklo duomenų srautas tarp finansų sektoriaus subjekto vidaus tinklų ir interneto bei kitų išorės jungčių, identifikavimą ir įgyvendinimą;

priemonių, kuriomis užtikrinamas duomenų prieinamumas, autentiškumas, vientisumas ir konfidencialumas perdavimo tinkle metu, identifikavimą ir įgyvendinimą;

patalpose laikomų ar išorėje saugomų duomenų, kurių finansų sektoriaus subjektui nebereikia rinkti ar saugoti, saugaus ištrynimo procesą;

patalpose laikomų ar išorėje saugomų duomenų saugojimo įrenginių, kuriuose įrašyta konfidenciali informacija, saugaus sunaikinimo procesą;

priemonių, kuriomis užtikrinama, kad nuotolinis darbas ir privačių galinių įrenginių naudojimas nedarytų neigiamo poveikio finansų sektoriaus subjekto gebėjimui vykdyti savo ypatingos svarbos veiklą tinkamai, saugiai ir laiku, identifikavimą ir įgyvendinimą.

užtikrinama, kad prieš įsigyjant ar kuriant IRT sistemas, atitinkamą veiklos funkciją vykdantis darbuotojas aiškiai nustatytų ir patvirtintų funkcinius ir nefunkcinius reikalavimus, įskaitant informacijos saugumo reikalavimus;

užtikrinamas IRT sistemų testavimas ir patvirtinimas prieš pirmą kartą jas naudojant ir prieš diegiant pakeitimus produkcinėje aplinkoje;

nustatomos priemonės, kuriomis mažinama netyčinio IRT sistemų pakeitimo ar tyčinio manipuliavimo jomis rizika jų kūrimo ir įgyvendinimo produkcinėje aplinkoje metu.