+Network Design and Segmentation

Network Design and Segmentation

Design the network infrastructure in a way that allows it to be instantaneously severed or segmented to minimize and prevent contagion. Have provisions for temporarily isolating subnetworks and network components/devices. Ensure redundant capabilities are equipped with sufficient resources, capabilities, and functions (e.g., redundant network setup). Systems and networks must be segregated based on function criticality, classification, and overall risk profile. Maintain a separate network for asset administration. Provide a Layer 3 or 7 (L3/L7) visual representation of all networks and data flows. Conduct yearly performance reviews of the network architecture/design.

1. Pārskats

1.1 Atsauces

1.2 Identificētās prasības

1.3 Saistītie tiesību akti

2. Identificētās prasības

Prasības

3. Saistītie tiesību akti

Tiesību akti
EULAW Article 9 4

4.   As part of the ICT risk management framework referred to in Article 6(1), financial entities shall:

(a)

develop and document an information security policy defining rules to protect the availability, authenticity, integrity and confidentiality of data, information assets and ICT assets, including those of their customers, where applicable;

(b)

following a risk-based approach, establish a sound network and infrastructure management structure using appropriate techniques, methods and protocols that may include implementing automated mechanisms to isolate affected information assets in the event of cyber-attacks;

(c)

implement policies that limit the physical or logical access to information assets and ICT assets to what is required for legitimate and approved functions and activities only, and establish to that end a set of policies, procedures and controls that address access rights and ensure a sound administration thereof;

(d)

implement policies and protocols for strong authentication mechanisms, based on relevant standards and dedicated control systems, and protection measures of cryptographic keys whereby data is encrypted based on results of approved data classification and ICT risk assessment processes;

(e)

implement documented policies, procedures and controls for ICT change management, including changes to software, hardware, firmware components, systems or security parameters, that are based on a risk assessment approach and are an integral part of the financial entity’s overall change management process, in order to ensure that all changes to ICT systems are recorded, tested, assessed, approved, implemented and verified in a controlled manner;

(f)

have appropriate and comprehensive documented policies for patches and updates.

For the purposes of the first subparagraph, point (b), financial entities shall design the network connection infrastructure in a way that allows it to be instantaneously severed or segmented in order to minimise and prevent contagion, especially for interconnected financial processes.

For the purposes of the first subparagraph, point (e), the ICT change management process shall be approved by appropriate lines of management and shall have specific protocols in place.
EULAW Article 12 4

4.   Financial entities, other than microenterprises, shall maintain redundant ICT capacities equipped with resources, capabilities and functions that are adequate to ensure business needs. Microenterprises shall assess the need to maintain such redundant ICT capacities based on their risk profile.
EULAW 13. pants Tīkla drošības pārvaldība

13. pants

Tīkla drošības pārvaldība

Finanšu vienības kā daļu no aizsardzības pasākumiem, kas nodrošina tīklu aizsardzību pret ielaušanos sistēmā un datu ļaunprātīgu izmantošanu, izstrādā, dokumentē un īsteno politiku, procedūras, protokolus un rīkus attiecībā uz tīkla drošības pārvaldību, kas ietver visu turpmāk minēto:

a) 

IKT sistēmu un tīklu nošķiršana un segmentācija, ņemot vērā:

i) 

šo IKT sistēmu un tīklu atbalstītās funkcijas kritiskumu vai svarīgumu;

ii) 

klasifikāciju, kas noteikta saskaņā ar Regulas (ES) 2022/2554 8. panta 1. punktu;

iii) 

IKT aktīvu, kas izmanto šīs IKT sistēmas un tīklus, vispārējo riska profilu;

b) 

visu finanšu vienības tīkla savienojumu un datu plūsmu dokumentācija;

c) 

atsevišķa un specializēta tīkla izmantošana IKT aktīvu pārvaldībai;

d) 

tīkla piekļuves kontroļu identifikācija un īstenošana, lai novērstu un atklātu jebkuras neatļautas ierīces vai sistēmas vai jebkura finanšu vienības drošības prasībām neatbilstoša gala punkta savienojumu ar finanšu vienības tīklu;

e) 

to tīkla savienojumu šifrēšana, kuri notiek pa uzņēmuma tīkliem, publiskajiem tīkliem, mājas tīkliem, trešo personu tīkliem un bezvadu tīkliem, attiecībā uz izmantotajiem komunikācijas protokoliem, ņemot vērā apstiprinātās datu klasifikācijas rezultātus, IKT riska novērtējuma rezultātus un 6. panta 2. punktā minēto tīkla savienojumu šifrēšanu;

f) 

tīklu izstrāde saskaņā ar finanšu vienības noteiktajām IKT drošības prasībām, ņemot vērā paraugpraksi, lai nodrošinātu tīkla konfidencialitāti, integritāti un pieejamību;

g) 

tīkla datplūsmas aizsardzība starp iekšējiem tīkliem un internetu un citiem ārējiem savienojumiem;

h) 

uzdevumu un atbildības, un veicamo pasākumu identifikācija, lai konkrēti noteiktu, īstenotu, apstiprinātu, mainītu un pārskatītu ugunsmūra noteikumus un savienojumu filtrus;

i) 

tīkla arhitektūras un tīkla drošības sistēmas pārskatīšana reizi gadā un – mikrouzņēmumiem – periodiski, lai apzinātu iespējamo ievainojamību;

j) 

pasākumi, lai vajadzības gadījumā īslaicīgi izolētu apakštīklus un tīkla komponentus un ierīces;

k) 

visu tīkla komponentu drošas bāzkonfigurācijas īstenošana un tīkla un tīkla ierīču stiprināšana atbilstīgi jebkuriem piegādātāju norādījumiem, attiecīgā gadījumā – piemērojamiem standartiem, kas noteikti Regulas (ES) Nr. 1025/2012 2. panta 1. punktā, un paraugpraksi;

l) 

procedūras, lai ierobežotu, nobloķētu un izbeigtu sistēmas sesijas un attālās sesijas pēc noteikta neaktivitātes perioda;

m) 

attiecībā uz tīkla pakalpojumu līgumiem:

i) 

IKT un informācijas drošības pasākumu, pakalpojumu līmeņu un visu tīkla pakalpojumu pārvaldības prasību identifikācija un specifikācija;

ii) 

vai šos pakalpojumus sniedz IKT pakalpojumu sniedzējs grupas iekšienē vai trešās personas, kas sniedz IKT pakalpojumus.

Šā punkta h) apakšpunkta nolūkos finanšu vienības veic ugunsmūra noteikumu un savienojumu filtru regulāru pārskatīšanu saskaņā ar klasifikāciju, kas noteikta saskaņā ar Regulas (ES) 2022/2554 8. panta 1. punktu, un iesaistīto IKT sistēmu vispārējo riska profilu. Attiecībā uz IKT sistēmām, kas atbalsta kritiski svarīgas vai svarīgas funkcijas, finanšu vienības pārbauda esošo ugunsmūra noteikumu un savienojumu filtru atbilstību vismaz reizi sešos mēnešos.