|
+Artikolu 11 2. |
Artikolu 11 2.Il-proċedura ta’ sigurtà tad-data u tas-sistema msemmija fil-paragrafu 1 għandu jkun fiha l-elementi kollha li ġejjin relatati mas-sigurtà tad-data u tas-sistema tal-ICT, f’konformità mal-klassifikazzjoni stabbilita f’konformità mal-Artikolu 8(1) tar-Regolament (UE) 2022/2554:
(a)
ir-restrizzjonijiet fuq l-aċċess imsemmija fl-Artikolu 21 ta’ dan ir-Regolament, li jappoġġaw ir-rekwiżiti ta’ protezzjoni għal kull livell ta’ klassifikazzjoni;
(b)
l-identifikazzjoni ta’ linja bażi ta’ konfigurazzjoni sigura għall-assi tal-ICT li jimminimizzaw l-esponiment ta’ dawk l-assi tal-ICT għat-theddid ċibernetiku u l-miżuri biex jiġi vverifikat regolarment li dawk il-linji bażi jintużaw b’mod effettiv;
(c)
l-identifikazzjoni ta’ miżuri ta’ sigurtà biex jiġi żgurat li jiġi installat biss software awtorizzat fis-sistemi tal-ICT u fl-apparati tal-punt tat-tmiem;
(d)
l-identifikazzjoni ta’ miżuri ta’ sigurtà kontra kodiċijiet malizzjużi;
(e)
l-identifikazzjoni ta’ miżuri ta’ sigurtà biex jiġi żgurat li jintużaw biss mezzi għall-ħżin tad-data, sistemi u apparati ta’ punt tat-tmiem awtorizzati għat-trasferiment u l-ħżin tad-data tal-entità finanzjarja;
(f)
ir-rekwiżiti li ġejjin biex jiġi żgurat l-użu ta’ apparati ta’ punt tat-tmiem portabbli u ta’ apparati ta’ punt tat-tmiem privati mhux portabbli:
(i)
ir-rekwiżit li tintuża soluzzjoni ta’ ġestjoni għall-ġestjoni mill-bogħod tal-apparati tal-punt tat-tmiem u biex id-data tal-entità finanzjarja titħassar mill-bogħod;
(ii)
ir-rekwiżit li jintużaw mekkaniżmi ta’ sigurtà li ma jistgħux jiġu mmodifikati, jitneħħew jew jiġu evitati mill-membri tal-persunal jew mill-fornituri terzi ta’ servizzi tal-ICT b’mod mhux awtorizzat;
(iii)
ir-rekwiżit li jintużaw apparati għall-ħżin tad-data li jistgħu jitneħħew biss meta r-riskju residwali tal-ICT jibqa’ fil-livell ta’ tolleranza tar-riskju tal-entità finanzjarja msemmi fl-Artikolu 3, l-ewwel subparagrafu, il-punt (a);
(g)
il-proċess biex titħassar b’mod sigur id-data, preżenti fil-bini tal-entità finanzjarja jew maħżuna esternament, li l-entità finanzjarja ma għadhiex teħtieġ li tiġbor jew taħżen;
(h)
il-proċess għar-rimi jew id-dekummissjonar b’mod sigur ta’ apparati għall-ħżin tad-data preżenti fil-bini tal-entità finanzjarja jew maħżuna esternament li jkun fihom informazzjoni kunfidenzjali;
(i)
l-identifikazzjoni u l-implimentazzjoni ta’ miżuri ta’ sigurtà għall-prevenzjoni tat-telf u l-iżvelar tad-data u għas-sistemi u għall-apparati tal-punt tat-tmiem;
(j)
l-implimentazzjoni ta’ miżuri ta’ sigurtà biex jiġi żgurat li t-telexogħol u l-użu ta’ apparati ta’ punt tat-tmiem privati ma jkollhomx impatt negattiv fuq is-sigurtà tal-ICT tal-entità finanzjarja;
(k)
għall-assi jew għas-servizzi tal-ICT operati minn fornitur terz ta’ servizzi tal-ICT, l-identifikazzjoni u l-implimentazzjoni ta’ rekwiżiti biex tinżamm ir-reżiljenza operazzjonali diġitali, f’konformità mar-riżultati tal-klassifikazzjoni tad-data u tal-valutazzjoni tar-riskju tal-ICT. Għall-finijiet tal-punt (b), il-linja bażi ta’ konfigurazzjoni sigura msemmija f’dak il-punt għandha tqis il-prattiki ewlenin u t-tekniki xierqa stabbiliti fl-istandards iddefiniti fl-Artikolu 2, il-punt (1) tar-Regolament (UE) Nru 1025/2012. Għall-finijiet tal-punt (k), l-entitajiet finanzjarji għandhom iqisu dan li ġej:
(a)
l-implimentazzjoni tas-settings rakkomandati mill-bejjiegħ dwar l-elementi operati mill-entità finanzjarja;
(b)
allokazzjoni ċara tar-rwoli u tar-responsabbiltajiet tas-sigurtà tal-informazzjoni bejn l-entità finanzjarja u l-fornitur terz ta’ servizzi tal-ICT, f’konformità mal-prinċipju tar-responsabbiltà sħiħa tal-entità finanzjarja fuq il-fornitur terz ta’ servizzi tal-ICT tagħha msemmi fl-Artikolu 28(1), il-punt (a), tar-Regolament (UE) 2022/2554, u għall-entitajiet finanzjarji msemmija fl-Artikolu 28(2) ta’ dak ir-Regolament, u f’konformità mal-politika tal-entità finanzjarja dwar l-użu ta’ servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti;
(c)
il-ħtieġa li jiġu żgurati u miżmuma kompetenzi adegwati fl-entità finanzjarja fil-ġestjoni u s-sigurtà tas-servizz użat;
(d)
miżuri tekniċi u organizzazzjonali biex jimminimizzaw ir-riskji relatati mal-infrastruttura użata mill-fornitur terz ta’ servizzi tal-ICT għas-servizzi tal-ICT tiegħu, filwaqt li jitqiesu l-prattiki ewlenin u l-istandards kif iddefiniti fl-Artikolu 2, il-punt (1) tar-Regolament (UE) Nru 1025/2012. 1. Ħarsa ġenerali
1.1 Referenzi1.2 Rekwiżiti identifikati1.3 Standards relatati
2. Rekwiżiti identifikati
3. Standards relatati
|