+Endpoint Devices

Endpoint Devices

Enforce usage requirements for portable and nonportable endpoint devices. Ensure that only authorized data storage media, systems, and endpoint devices are used to transfer and store data. Implement security measures to ensure that teleworking and the use of private endpoint devices do not adversely impact the overall security of the entity. This includes having a centralized management solution to remotely manage and wipe endpoint devices, security mechanisms that cannot be modified, removed, or bypassed, and the use of removable data storage devices only when the residual ICT risk remains within predefined risk tolerance levels. Enforce security measures to allow only authorized software installation on systems and endpoint devices.

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Regolamenti relatati

2. Rekwiżiti identifikati

Rekwiżiti

3. Regolamenti relatati

Regolamenti
EULAW Artikolu 9 2

2.   L-entitajiet finanzjarji għandhom ifasslu, jakkwistaw u jimplimentaw politiki, proċeduri, protokolli u għodod tas-sigurtà tal-ICT li għandhom l-għan li jiżguraw ir-reżiljenza, il-kontinwità u d-disponibbiltà tas-sistemi tal-ICT, b’mod partikolari għal dawk li jappoġġjaw funzjonijiet kritiċi jew importanti, u li jżommu standards għolja ta’ disponibbiltà, awtentiċità, integrità u kunfidenzjalità tad-data, kemm jekk tkun wieqfa, użata jew fi tranżitu.
EULAW Artikolu 9 3

3.   Sabiex jintlaħqu l-objettivi msemmija fil-paragrafu 2, l-entitajiet finanzjarji għandhom jużaw soluzzjonijiet u proċessi tal-ICT li huma xierqa f’konformità mal-Artikolu 4. Dawk is-soluzzjonijiet u l-proċessi tal-ICT għandhom:

(a)

jiżguraw is-sigurtà tal-mezzi tat-trasferiment tad-data;

(b)

jimminimizzaw ir-riskju ta’ korruzzjoni jew telf ta’ data, ta’ aċċess mhux awtorizzat u ta’ difetti tekniċi li jistgħu jfixklu l-attività tan-negozju;

(c)

jipprevjenu n-nuqqas ta’ disponibbiltà, it-tnaqqis fl-awtentiċità u fl-integrità, il-ksur ta’ kunfidenzjalità u t-telf ta’ data;

(d)

jiżguraw li d-data tkun protetta minn riskji li jirriżultaw mill-ġestjoni tad-data, fosthom l-amministrazzjoni ħażina, riskji relatati mal-ipproċessar u żbalji umani.
EULAW Artikolu 11 2.

Il-proċedura ta’ sigurtà tad-data u tas-sistema msemmija fil-paragrafu 1 għandu jkun fiha l-elementi kollha li ġejjin relatati mas-sigurtà tad-data u tas-sistema tal-ICT, f’konformità mal-klassifikazzjoni stabbilita f’konformità mal-Artikolu 8(1) tar-Regolament (UE) 2022/2554:

(a) 

ir-restrizzjonijiet fuq l-aċċess imsemmija fl-Artikolu 21 ta’ dan ir-Regolament, li jappoġġaw ir-rekwiżiti ta’ protezzjoni għal kull livell ta’ klassifikazzjoni;

(b) 

l-identifikazzjoni ta’ linja bażi ta’ konfigurazzjoni sigura għall-assi tal-ICT li jimminimizzaw l-esponiment ta’ dawk l-assi tal-ICT għat-theddid ċibernetiku u l-miżuri biex jiġi vverifikat regolarment li dawk il-linji bażi jintużaw b’mod effettiv;

(c) 

l-identifikazzjoni ta’ miżuri ta’ sigurtà biex jiġi żgurat li jiġi installat biss software awtorizzat fis-sistemi tal-ICT u fl-apparati tal-punt tat-tmiem;

(d) 

l-identifikazzjoni ta’ miżuri ta’ sigurtà kontra kodiċijiet malizzjużi;

(e) 

l-identifikazzjoni ta’ miżuri ta’ sigurtà biex jiġi żgurat li jintużaw biss mezzi għall-ħżin tad-data, sistemi u apparati ta’ punt tat-tmiem awtorizzati għat-trasferiment u l-ħżin tad-data tal-entità finanzjarja;

(f) 

ir-rekwiżiti li ġejjin biex jiġi żgurat l-użu ta’ apparati ta’ punt tat-tmiem portabbli u ta’ apparati ta’ punt tat-tmiem privati mhux portabbli:

(i) 

ir-rekwiżit li tintuża soluzzjoni ta’ ġestjoni għall-ġestjoni mill-bogħod tal-apparati tal-punt tat-tmiem u biex id-data tal-entità finanzjarja titħassar mill-bogħod;

(ii) 

ir-rekwiżit li jintużaw mekkaniżmi ta’ sigurtà li ma jistgħux jiġu mmodifikati, jitneħħew jew jiġu evitati mill-membri tal-persunal jew mill-fornituri terzi ta’ servizzi tal-ICT b’mod mhux awtorizzat;

(iii) 

ir-rekwiżit li jintużaw apparati għall-ħżin tad-data li jistgħu jitneħħew biss meta r-riskju residwali tal-ICT jibqa’ fil-livell ta’ tolleranza tar-riskju tal-entità finanzjarja msemmi fl-Artikolu 3, l-ewwel subparagrafu, il-punt (a);

(g) 

il-proċess biex titħassar b’mod sigur id-data, preżenti fil-bini tal-entità finanzjarja jew maħżuna esternament, li l-entità finanzjarja ma għadhiex teħtieġ li tiġbor jew taħżen;

(h) 

il-proċess għar-rimi jew id-dekummissjonar b’mod sigur ta’ apparati għall-ħżin tad-data preżenti fil-bini tal-entità finanzjarja jew maħżuna esternament li jkun fihom informazzjoni kunfidenzjali;

(i) 

l-identifikazzjoni u l-implimentazzjoni ta’ miżuri ta’ sigurtà għall-prevenzjoni tat-telf u l-iżvelar tad-data u għas-sistemi u għall-apparati tal-punt tat-tmiem;

(j) 

l-implimentazzjoni ta’ miżuri ta’ sigurtà biex jiġi żgurat li t-telexogħol u l-użu ta’ apparati ta’ punt tat-tmiem privati ma jkollhomx impatt negattiv fuq is-sigurtà tal-ICT tal-entità finanzjarja;

(k) 

għall-assi jew għas-servizzi tal-ICT operati minn fornitur terz ta’ servizzi tal-ICT, l-identifikazzjoni u l-implimentazzjoni ta’ rekwiżiti biex tinżamm ir-reżiljenza operazzjonali diġitali, f’konformità mar-riżultati tal-klassifikazzjoni tad-data u tal-valutazzjoni tar-riskju tal-ICT.

Għall-finijiet tal-punt (b), il-linja bażi ta’ konfigurazzjoni sigura msemmija f’dak il-punt għandha tqis il-prattiki ewlenin u t-tekniki xierqa stabbiliti fl-istandards iddefiniti fl-Artikolu 2, il-punt (1) tar-Regolament (UE) Nru 1025/2012.

Għall-finijiet tal-punt (k), l-entitajiet finanzjarji għandhom iqisu dan li ġej:

(a) 

l-implimentazzjoni tas-settings rakkomandati mill-bejjiegħ dwar l-elementi operati mill-entità finanzjarja;

(b) 

allokazzjoni ċara tar-rwoli u tar-responsabbiltajiet tas-sigurtà tal-informazzjoni bejn l-entità finanzjarja u l-fornitur terz ta’ servizzi tal-ICT, f’konformità mal-prinċipju tar-responsabbiltà sħiħa tal-entità finanzjarja fuq il-fornitur terz ta’ servizzi tal-ICT tagħha msemmi fl-Artikolu 28(1), il-punt (a), tar-Regolament (UE) 2022/2554, u għall-entitajiet finanzjarji msemmija fl-Artikolu 28(2) ta’ dak ir-Regolament, u f’konformità mal-politika tal-entità finanzjarja dwar l-użu ta’ servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti;

(c) 

il-ħtieġa li jiġu żgurati u miżmuma kompetenzi adegwati fl-entità finanzjarja fil-ġestjoni u s-sigurtà tas-servizz użat;

(d) 

miżuri tekniċi u organizzazzjonali biex jimminimizzaw ir-riskji relatati mal-infrastruttura użata mill-fornitur terz ta’ servizzi tal-ICT għas-servizzi tal-ICT tiegħu, filwaqt li jitqiesu l-prattiki ewlenin u l-istandards kif iddefiniti fl-Artikolu 2, il-punt (1) tar-Regolament (UE) Nru 1025/2012.
EULAW Artikolu 20 1.
Bħala parti mill-kontroll tagħhom tad-drittijiet ta’ ġestjoni tal-aċċess, l-entitajiet finanzjarji għandhom jiżviluppaw, jiddokumentaw u jimplimentaw politiki u proċeduri ta’ ġestjoni tal-identità li jiżguraw l-identifikazzjoni u l-awtentikazzjoni uniċi tal-persuni fiżiċi u tas-sistemi li jaċċessaw l-informazzjoni tal-entitajiet finanzjarji biex jippermettu l-assenjament tad-drittijiet ta’ aċċess tal-utenti f’konformità mal-Artikolu 21.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.