+Data Protection Practices

Data Protection Practices

Establish a secure configuration baseline for ICT assets, incorporating industry practices and techniques to minimize exposure to cyber threats. Deploy security measures to ensure CIA, prevent data loss and leakage, and protect against malicious codes. Protect data from risks arising from data management, including poor administration, processing risks, and human error. Ensure secure transfer of data and minimize the risk of data corruption or loss, unauthorized access, and technical flaws that may hinder business activity. Implement access restrictions based on data classification schemes. Regularly verify the effective deployment of these baselines.

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Regolamenti relatati

2. Rekwiżiti identifikati

Rekwiżiti

3. Regolamenti relatati

Regolamenti
EULAW Artikolu 9 2

2.   L-entitajiet finanzjarji għandhom ifasslu, jakkwistaw u jimplimentaw politiki, proċeduri, protokolli u għodod tas-sigurtà tal-ICT li għandhom l-għan li jiżguraw ir-reżiljenza, il-kontinwità u d-disponibbiltà tas-sistemi tal-ICT, b’mod partikolari għal dawk li jappoġġjaw funzjonijiet kritiċi jew importanti, u li jżommu standards għolja ta’ disponibbiltà, awtentiċità, integrità u kunfidenzjalità tad-data, kemm jekk tkun wieqfa, użata jew fi tranżitu.
EULAW Artikolu 9 3

3.   Sabiex jintlaħqu l-objettivi msemmija fil-paragrafu 2, l-entitajiet finanzjarji għandhom jużaw soluzzjonijiet u proċessi tal-ICT li huma xierqa f’konformità mal-Artikolu 4. Dawk is-soluzzjonijiet u l-proċessi tal-ICT għandhom:

(a)

jiżguraw is-sigurtà tal-mezzi tat-trasferiment tad-data;

(b)

jimminimizzaw ir-riskju ta’ korruzzjoni jew telf ta’ data, ta’ aċċess mhux awtorizzat u ta’ difetti tekniċi li jistgħu jfixklu l-attività tan-negozju;

(c)

jipprevjenu n-nuqqas ta’ disponibbiltà, it-tnaqqis fl-awtentiċità u fl-integrità, il-ksur ta’ kunfidenzjalità u t-telf ta’ data;

(d)

jiżguraw li d-data tkun protetta minn riskji li jirriżultaw mill-ġestjoni tad-data, fosthom l-amministrazzjoni ħażina, riskji relatati mal-ipproċessar u żbalji umani.
EULAW Artikolu 11 2.

Il-proċedura ta’ sigurtà tad-data u tas-sistema msemmija fil-paragrafu 1 għandu jkun fiha l-elementi kollha li ġejjin relatati mas-sigurtà tad-data u tas-sistema tal-ICT, f’konformità mal-klassifikazzjoni stabbilita f’konformità mal-Artikolu 8(1) tar-Regolament (UE) 2022/2554:

(a) 

ir-restrizzjonijiet fuq l-aċċess imsemmija fl-Artikolu 21 ta’ dan ir-Regolament, li jappoġġaw ir-rekwiżiti ta’ protezzjoni għal kull livell ta’ klassifikazzjoni;

(b) 

l-identifikazzjoni ta’ linja bażi ta’ konfigurazzjoni sigura għall-assi tal-ICT li jimminimizzaw l-esponiment ta’ dawk l-assi tal-ICT għat-theddid ċibernetiku u l-miżuri biex jiġi vverifikat regolarment li dawk il-linji bażi jintużaw b’mod effettiv;

(c) 

l-identifikazzjoni ta’ miżuri ta’ sigurtà biex jiġi żgurat li jiġi installat biss software awtorizzat fis-sistemi tal-ICT u fl-apparati tal-punt tat-tmiem;

(d) 

l-identifikazzjoni ta’ miżuri ta’ sigurtà kontra kodiċijiet malizzjużi;

(e) 

l-identifikazzjoni ta’ miżuri ta’ sigurtà biex jiġi żgurat li jintużaw biss mezzi għall-ħżin tad-data, sistemi u apparati ta’ punt tat-tmiem awtorizzati għat-trasferiment u l-ħżin tad-data tal-entità finanzjarja;

(f) 

ir-rekwiżiti li ġejjin biex jiġi żgurat l-użu ta’ apparati ta’ punt tat-tmiem portabbli u ta’ apparati ta’ punt tat-tmiem privati mhux portabbli:

(i) 

ir-rekwiżit li tintuża soluzzjoni ta’ ġestjoni għall-ġestjoni mill-bogħod tal-apparati tal-punt tat-tmiem u biex id-data tal-entità finanzjarja titħassar mill-bogħod;

(ii) 

ir-rekwiżit li jintużaw mekkaniżmi ta’ sigurtà li ma jistgħux jiġu mmodifikati, jitneħħew jew jiġu evitati mill-membri tal-persunal jew mill-fornituri terzi ta’ servizzi tal-ICT b’mod mhux awtorizzat;

(iii) 

ir-rekwiżit li jintużaw apparati għall-ħżin tad-data li jistgħu jitneħħew biss meta r-riskju residwali tal-ICT jibqa’ fil-livell ta’ tolleranza tar-riskju tal-entità finanzjarja msemmi fl-Artikolu 3, l-ewwel subparagrafu, il-punt (a);

(g) 

il-proċess biex titħassar b’mod sigur id-data, preżenti fil-bini tal-entità finanzjarja jew maħżuna esternament, li l-entità finanzjarja ma għadhiex teħtieġ li tiġbor jew taħżen;

(h) 

il-proċess għar-rimi jew id-dekummissjonar b’mod sigur ta’ apparati għall-ħżin tad-data preżenti fil-bini tal-entità finanzjarja jew maħżuna esternament li jkun fihom informazzjoni kunfidenzjali;

(i) 

l-identifikazzjoni u l-implimentazzjoni ta’ miżuri ta’ sigurtà għall-prevenzjoni tat-telf u l-iżvelar tad-data u għas-sistemi u għall-apparati tal-punt tat-tmiem;

(j) 

l-implimentazzjoni ta’ miżuri ta’ sigurtà biex jiġi żgurat li t-telexogħol u l-użu ta’ apparati ta’ punt tat-tmiem privati ma jkollhomx impatt negattiv fuq is-sigurtà tal-ICT tal-entità finanzjarja;

(k) 

għall-assi jew għas-servizzi tal-ICT operati minn fornitur terz ta’ servizzi tal-ICT, l-identifikazzjoni u l-implimentazzjoni ta’ rekwiżiti biex tinżamm ir-reżiljenza operazzjonali diġitali, f’konformità mar-riżultati tal-klassifikazzjoni tad-data u tal-valutazzjoni tar-riskju tal-ICT.

Għall-finijiet tal-punt (b), il-linja bażi ta’ konfigurazzjoni sigura msemmija f’dak il-punt għandha tqis il-prattiki ewlenin u t-tekniki xierqa stabbiliti fl-istandards iddefiniti fl-Artikolu 2, il-punt (1) tar-Regolament (UE) Nru 1025/2012.

Għall-finijiet tal-punt (k), l-entitajiet finanzjarji għandhom iqisu dan li ġej:

(a) 

l-implimentazzjoni tas-settings rakkomandati mill-bejjiegħ dwar l-elementi operati mill-entità finanzjarja;

(b) 

allokazzjoni ċara tar-rwoli u tar-responsabbiltajiet tas-sigurtà tal-informazzjoni bejn l-entità finanzjarja u l-fornitur terz ta’ servizzi tal-ICT, f’konformità mal-prinċipju tar-responsabbiltà sħiħa tal-entità finanzjarja fuq il-fornitur terz ta’ servizzi tal-ICT tagħha msemmi fl-Artikolu 28(1), il-punt (a), tar-Regolament (UE) 2022/2554, u għall-entitajiet finanzjarji msemmija fl-Artikolu 28(2) ta’ dak ir-Regolament, u f’konformità mal-politika tal-entità finanzjarja dwar l-użu ta’ servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti;

(c) 

il-ħtieġa li jiġu żgurati u miżmuma kompetenzi adegwati fl-entità finanzjarja fil-ġestjoni u s-sigurtà tas-servizz użat;

(d) 

miżuri tekniċi u organizzazzjonali biex jimminimizzaw ir-riskji relatati mal-infrastruttura użata mill-fornitur terz ta’ servizzi tal-ICT għas-servizzi tal-ICT tiegħu, filwaqt li jitqiesu l-prattiki ewlenin u l-istandards kif iddefiniti fl-Artikolu 2, il-punt (1) tar-Regolament (UE) Nru 1025/2012.
EULAW Artikolu 20 1.
Bħala parti mill-kontroll tagħhom tad-drittijiet ta’ ġestjoni tal-aċċess, l-entitajiet finanzjarji għandhom jiżviluppaw, jiddokumentaw u jimplimentaw politiki u proċeduri ta’ ġestjoni tal-identità li jiżguraw l-identifikazzjoni u l-awtentikazzjoni uniċi tal-persuni fiżiċi u tas-sistemi li jaċċessaw l-informazzjoni tal-entitajiet finanzjarji biex jippermettu l-assenjament tad-drittijiet ta’ aċċess tal-utenti f’konformità mal-Artikolu 21.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.