II NODAĻA IKT riska ietekmes mazināšanas sistēmu, protokolu un rīku papildu elementi

tiesības attiecībā uz piekļuvi informācijas aktīviem, IKT aktīviem un to atbalstītajām funkcijām, un finanšu vienības darbības kritiskajām vietām tiek pārvaldītas saskaņā ar principiem “vajadzība zināt”, “vajadzība izmantot” un mazāko tiesību principu, arī attiecībā uz attālu un ārkārtas piekļuvi;

lietotāju pārskatatbildība, kas nodrošina, ka lietotājus var identificēt attiecībā uz IKT sistēmās veiktajām darbībām;

kontu pārvaldības procedūras, lai piešķirtu, mainītu vai atsauktu piekļuves tiesības lietotāju un vispārējiem kontiem, tajā skaitā vispārējiem administratoru kontiem;

autentifikācijas metodes, kas ir samērīgas ar 30. panta 1. punktā minēto klasifikāciju un IKT aktīvu vispārējo riska profilu un ir balstītas uz paraugpraksi;

piekļuves tiesības tiek periodiski pārskatītas un atsauktas, kad tās vairs nav vajadzīgas.

uzrauga un pārvalda visu IKT aktīvu aprites ciklu;

attiecīgā gadījumā uzrauga, vai IKT aktīvus atbalsta finanšu vienību trešās personas, kas sniedz IKT pakalpojumus;

identificē savu IKT aktīvu jaudas prasības un pasākumus, lai saglabātu un uzlabotu IKT sistēmu pieejamību un efektivitāti un novērstu IKT jaudas trūkumu, pirms tas rodas;

veic automatizētu ievainojamības izvērtēšanu un IKT aktīvu novērtējumus atbilstīgi to klasifikācijai, kas minēta 30. panta 1. punktā, un IKT aktīva vispārējam riska profilam un izmanto ielāpus, lai risinātu identificēto ievainojamību;

pārvalda riskus, kas saistīti ar novecojušiem, neatbalstītiem vai mantotiem IKT aktīviem;

reģistrē notikumus, kas saistīti ar loģiskās un fiziskās piekļuves kontroli, IKT darbībām, tajā skaitā sistēmu un tīklu datplūsmas darbībām, un IKT izmaiņu pārvaldību;

identificē un īsteno pasākumus, lai uzraudzītu un analizētu informāciju par anomālām darbībām un uzvedību attiecībā uz kritiski svarīgām vai svarīgām IKT darbībām;

īsteno pasākumus, lai uzraudzītu būtisko un aktuālo informāciju par kiberdraudiem;

īsteno pasākumus, lai apzinātu iespējamas informācijas noplūdes, ļaunprātīgus kodus un citus drošības apdraudējumus, un publiski zināmu ievainojamību attiecībā uz programmatūru un aparatūru, un pārbauda, vai nav atbilstošu jaunu drošības atjauninājumu.

pasākumu identifikāciju un īstenošanu, lai aizsargātu datus, kad tie tiek izmantoti, tiek nosūtīti vai tiek glabāti;

drošības pasākumu identifikāciju un īstenošanu attiecībā uz tādas programmatūras, datu nesēju, sistēmu un galapunkta ierīču izmantošanu, kuras nosūta un glabā finanšu vienības datus;

pasākumu identifikāciju un īstenošanu, lai novērstu un atklātu neatļautu pieslēgšanos finanšu vienības tīklam un aizsargātu tīkla datplūsmu starp finanšu vienības iekšējiem tīkliem un internetu un citiem ārējiem pieslēgumiem;

pasākumu identifikāciju un īstenošanu, lai nodrošinātu datu pieejamību, autentiskumu, integritāti un konfidencialitāti, kad notiek nosūtīšana tīklā;

procesu to datu drošai dzēšanai, kas tiek turēti telpās vai tiek glabāti ārēji un ko finanšu vienībai vairs nav nepieciešams vākt vai glabāt;

procesu, lai droši utilizētu vai izņemtu no ekspluatācijas telpās esošās datu glabāšanas ierīces vai datu glabāšanas ierīces, kas tiek glabātas ārēji un kas satur konfidenciālu informāciju;

pasākumu identifikāciju un īstenošanu, lai nodrošinātu, ka tāldarbs un privātu galapunkta ierīču izmantošana nelabvēlīgi neietekmē finanšu vienības spēju veikt tās kritiski svarīgās darbības pienācīgā, savlaicīgā un drošā veidā.

nodrošina, ka pirms jebkuras IKT sistēmu iegādes vai izstrādes attiecīgā uzņēmējdarbības funkcija skaidri nosaka un apstiprina funkcionālās un nefunkcionālās prasības, tajā skaitā informācijas drošības prasības;

nodrošina IKT sistēmu testēšanu un apstiprināšanu pirms to pirmreizējās izmantošanas un pirms izmaiņu ieviešanas ražošanas vidē;

nosaka pasākumus, lai mazinātu IKT sistēmu nejaušas pārveides vai tīšu manipulāciju ar tām risku, kad notiek izstrāde un ieviešana ražošanas vidē.