(a)

jiżviluppaw u jiddokumentaw politika tas-sigurtà tal-informazzjoni li tiddefinixxi r-regoli għall-protezzjoni tad-disponibbiltà, l-awtentiċità, l-integrità u l-kunfidenzjalità tad-data, l-assi tal-informazzjoni u l-assi tal-ICT, inkluż dawk tal-klijenti tagħhom, fejn applikabbli;

(b)

waqt li jsegwu approċċ ibbażat fuq ir-riskju, jistabbilixxu struttura għaqlija għall-ġestjoni tan-netwerk u tal-infrastruttura bl-użu ta’ tekniki, metodi u protokolli xierqa li jistgħu jinkludu l-implimentazzjoni ta’ mekkaniżmi awtomatizzati biex jiżolaw l-assi tal-informazzjoni fil-każ li jintlaqtu minn ċiberattakki;

(c)

jimplimentaw politiki li jillimitaw l-aċċess fiżiku jew loġiku għall-assi tal-informazzjoni u għall-assi tal-ICT għal dak li huwa meħtieġ għall-funzjonijiet u l-attivitajiet leġittimi u approvati biss, u għal dak il-għan jistabbilixxu sett ta’ politiki, proċeduri u kontrolli li jindirizzaw id-drittijiet tal-aċċess u jiżguraw l-amministrazzjoni għaqlija tagħhom;

(d)

jimplimentaw politiki u protokolli għal mekkaniżmi ta’ awtentikazzjoni b’saħħithom, ibbażati fuq standards rilevanti u sistemi ta’ kontroll dedikati, u miżuri ta’ protezzjoni ta’ ċwievet kriptografiċi li bihom id-data tiġi kriptata abbażi tar-riżultati ta’ proċessi approvati ta’ klassifikazzjoni tad-data u ta’ valutazzjoni tar-riskju tal-ICT;

(e)

jimplimentaw politiki, proċeduri u kontrolli dokumentati għall-ġestjoni tal-bidliet fl-ICT, inkluż bidliet fis-software, fil-hardware, fil-komponenti tal-firmware, parametri ta’ sistemi jew sigurtà, li jkunu bbażati fuq approċċ ta’ valutazzjoni tar-riskju u li huma parti integrali mill-proċess globali ta’ ġestjoni tat-tibdil tal-entità finanzjarja, sabiex jiżguraw li l-bidliet kollha fis-sistemi tal-ICT jiġu rreġistrati, ittestjati, ivvalutati, approvati, implimentati u vverifikati b’mod ikkontrollat;

(f)

ikollhom politiki dokumentati xierqa u komprensivi għal software korrettiv u ta’ aġġornament.

(a)

jistabbilixxu u jżommu qafas għall-ġestjoni tar-riskju tal-ICT li jkun sod u ddokumentat li jiddeskrivi fid-dettall il-mekkaniżmi u l-miżuri mmirati lejn ġestjoni rapida, effiċjenti u komprensiva tar-riskju tal-ICT, inkluż għall-protezzjoni ta’ komponenti u infrastrutturi fiżiċi rilevanti;

(b)

jimmonitorjaw b’mod kontinwu s-sigurtà u l-funzjonament tas-sistemi kollha tal-ICT;

(c)

jimminimizzaw l-impatt tar-riskju tal-ICT billi jużaw sistemi, protokolli u għodod tal-ICT li jkunu sodi, reżiljenti u aġġornati u li jkunu xierqa biex jappoġġjaw it-twettiq tal-attivitajiet tagħhom u l-forniment tas-servizzi u jipproteġu b’mod adegwat id-disponibbiltà, l-awtentiċità, l-integrità u l-kunfidenzjalità tad-data fin-netwerk u fis-sistemi tal-informazzjoni;

(d)

jippermettu li s-sorsi ta’ riskju tal-ICT u anomaliji fin-netwerk u fis-sistemi tal-informazzjoni jiġu identifikati u individwati fil-pront u li l-inċidenti relatati mal-ICT jiġu mmaniġġati malajr;

(e)

jidentifikaw dipendenzi ewlenin fuq fornituri terzi ta’ servizzi tal-ICT;

(f)

jiżguraw il-kontinwità ta’ funzjonijiet kritiċi jew importanti, permezz ta’ pjanijiet ta’ kontinwità tal-operat u miżuri ta’ rispons u ta’ rkupru, li jinkludu, mill-inqas, miżuri ta’ backup u restawr;

(g)

jittestjaw, fuq bażi regolari, il-pjanijiet u l-miżuri msemmija fil-punt (f), kif ukoll l-effettività tal-kontrolli implimentati f’konformità mal-punti (a) u (c);

(h)

jimplimentaw, kif xieraq, konklużjonijiet operazzjonali rilevanti li jirriżultaw mit-testijiet imsemmija fil-punt (g) u mill-analiżi ta’ wara l-inċident fil-proċess ta’ valutazzjoni tar-riskju tal-ICT u jiżviluppaw, skont il-ħtiġijiet u l-profil tar-riskju tal-ICT, programmi ta’ sensibilizzazzjoni dwar is-sigurtà tal-ICT u taħriġ dwar ir-reżiljenza operazzjonali diġitali għall-persunal u għall-maniġment.