+Secure Data Deletion and Disposal

Secure Data Deletion and Disposal

Establish a process to securely delete data on and offpremises. Establish a process to securely dispose or decommission data storage devices on and offpremises that contain confidential information.

1. Pārskats

1.1 Atsauces

1.2 Identificētās prasības

1.3 Saistītie tiesību akti

2. Identificētās prasības

Prasības

3. Saistītie tiesību akti

Tiesību akti
EULAW Article 9 2

2.   Financial entities shall design, procure and implement ICT security policies, procedures, protocols and tools that aim to ensure the resilience, continuity and availability of ICT systems, in particular for those supporting critical or important functions, and to maintain high standards of availability, authenticity, integrity and confidentiality of data, whether at rest, in use or in transit.
EULAW Article 9 3

3.   In order to achieve the objectives referred to in paragraph 2, financial entities shall use ICT solutions and processes that are appropriate in accordance with Article 4. Those ICT solutions and processes shall:

(a)

ensure the security of the means of transfer of data;

(b)

minimise the risk of corruption or loss of data, unauthorised access and technical flaws that may hinder business activity;

(c)

prevent the lack of availability, the impairment of the authenticity and integrity, the breaches of confidentiality and the loss of data;

(d)

ensure that data is protected from risks arising from data management, including poor administration, processing-related risks and human error.
EULAW 11. pants 2.

Šā panta 1. punktā minētā datu un sistēmu drošības procedūra ietver visus turpmāk uzskaitītos elementus, kas saistīti ar datu un IKT sistēmu drošību, atbilstoši klasifikācijai, kas noteikta saskaņā ar Regulas (ES) 2022/2554 8. panta 1. punktu:

a) 

šīs regulas 21. pantā minētie piekļuves ierobežojumi, kas atbalsta aizsardzības prasības katram klasifikācijas līmenim;

b) 

drošas bāzkonfigurācijas identifikācija IKT aktīviem, kas mazina šo IKT aktīvu pakļaušanu kiberdraudiem, un pasākumi, lai regulāri pārbaudītu, vai šī bāzkonfigurācija tiek efektīvi izmantota;

c) 

drošības pasākumu identifikācija, lai nodrošinātu, ka IKT sistēmās un galapunkta ierīcēs tiek instalēta tikai atļauta programmatūra;

d) 

drošības pasākumu identifikācija aizsardzībai pret ļaunprātīgiem kodiem;

e) 

drošības pasākumu identifikācija, lai nodrošinātu, ka finanšu vienības datu pārsūtīšanai un glabāšanai tiek izmantoti tikai atļauti datu nesēji, sistēmas un galapunkta ierīces;

f) 

šādas prasības, lai aizsargātu pārnēsājamu galapunkta ierīču un privātu nepārnēsājamu galapunkta ierīču izmantošanu:

i) 

prasība izmantot pārvaldības risinājumu, lai attālināti pārvaldītu galapunkta ierīces un attālināti dzēstu finanšu vienības datus;

ii) 

prasība izmantot drošības mehānismus, ko neatļautā veidā nevar pārveidot, atcelt vai apiet darbinieki vai trešās personas, kuras sniedz IKT pakalpojumus;

iii) 

prasība izmantot noņemamus datu nesējus tikai tad, ja atlikušais IKT risks joprojām ir finanšu vienības riska tolerances līmenī, kas minēts 3. panta pirmās daļas a) punktā;

g) 

process to datu drošai dzēšanai, kas tiek turēti finanšu vienības telpās vai tiek glabāti ārēji un ko finanšu vienībai vairs nav nepieciešams vākt vai glabāt;

h) 

process to datu glabāšanas ierīču drošai utilizācijai vai izņemšanai no ekspluatācijas, kas atrodas finanšu vienības telpās vai tiek glabātas ārēji un kas satur konfidenciālu informāciju;

i) 

drošības pasākumu identifikācija un īstenošana, lai novērstu datu zaudēšanu vai noplūdi attiecībā uz sistēmām un galapunkta ierīcēm;

j) 

drošības pasākumu īstenošana, lai nodrošinātu, ka tāldarbs un privātu galapunkta ierīču izmantošana nelabvēlīgi neietekmē finanšu vienības IKT drošību;

k) 

attiecībā uz IKT aktīviem vai pakalpojumiem, ko pārvalda trešā persona, kura sniedz IKT pakalpojumus, – prasību identifikācija un īstenošana, lai uzturētu digitālās darbības noturību, saskaņā ar datu klasifikācijas un IKT riska novērtējuma rezultātiem.

Šā punkta b) apakšpunkta nolūkos minētajā apakšpunktā norādītajā drošajā konfigurācijā ņem vērā paraugpraksi un atbilstošas metodes, kas noteiktas standartos, kuri definēti Regulas (ES) Nr. 1025/2012 2. panta 1. punktā.

Šā punkta k) apakšpunkta nolūkos finanšu vienības ņem vērā:

a) 

piegādātāju ieteikto iestatījumu īstenošanu attiecībā uz elementiem, ko pārvalda finanšu vienība;

b) 

ar informācijas drošību saistīto uzdevumu un atbildības skaidru sadali starp finanšu vienību un trešo personu, kas sniedz IKT pakalpojumus, saskaņā ar principu, kas nosaka, ka finanšu vienībai ir pilna atbildība par trešo personu, kas tai sniedz IKT pakalpojumus un kas minēta Regulas (ES) 2022/2554 28. panta 1. punkta a) apakšpuktā, un par finanšu vienībām, kas minētas norādītās regulas 28. panta 2. punktā, un saskaņā ar finanšu vienības politiku attiecībā uz to IKT pakalpojumu izmantošanu, kas atbalsta kritiskas vai svarīgas funkcijas;

c) 

vajadzību nodrošināt un uzturēt finanšu vienībā atbilstošas kompetences izmantotā pakalpojuma pārvaldībā un drošībā;

d) 

tehniskos un organizatoriskos pasākumus, lai mazinātu riskus, kas saistīti ar infrastruktūru, kuru trešā persona, kas sniedz IKT pakalpojumus, izmanto saviem IKT pakalpojumiem, ņemot vērā paraugpraksi un standartus, kas noteikti Regulas (ES) Nr. 1025/2012 2. panta 1. punktā.
EULAW 20. pants 1.
Lai varētu piešķirt lietotāja piekļuves tiesības saskaņā ar 21. pantu, kā daļu no savas piekļuves pārvaldības tiesību kontroles finanšu vienības izstrādā, dokumentē un īsteno identitātes pārvaldības politiku un procedūras, kas nodrošina to fizisko personu un sistēmu unikālu identificēšanu un autentificēšanu, kuras piekļūst finanšu vienību informācijai.