+Network Security

Network Security

Implement controls to prevent and detect unauthorized network connections. Establish and maintain a secure configuration baseline for all network components, following vendor instructions, industry standards, and best practices. Ensure Confidentiality, Integrity, and Availability (CIA) of data during network transmission. Prevent and detect data leakage, and secure data transfer with external parties. Implement measures to secure network traffic between internal networks and the internet/external connections. Apply encryption for all communication protocols over corporate, public, domestic, thirdparty, and wireless networks, based on data classification and risk assessments. 

Regularly review roles and responsibilities for defining, implementing, approving, changing, and reviewing firewall rules and connection filters.

Financial entities shall perform the review of firewall rules and connections filters on a regular basis according to the classification and overall risk profile of ICT systems involved. For the ICT systems supporting critical or important functions, the financial entities shall verify the adequacy of the existing firewall rules and connection filters at least every six months.

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde regelingen

2. Geïdentificeerde eisen

Eisen

3. Gerelateerde regelingen

Regelingen
EULAW Article 9 4

4.   As part of the ICT risk management framework referred to in Article 6(1), financial entities shall:

(a)

develop and document an information security policy defining rules to protect the availability, authenticity, integrity and confidentiality of data, information assets and ICT assets, including those of their customers, where applicable;

(b)

following a risk-based approach, establish a sound network and infrastructure management structure using appropriate techniques, methods and protocols that may include implementing automated mechanisms to isolate affected information assets in the event of cyber-attacks;

(c)

implement policies that limit the physical or logical access to information assets and ICT assets to what is required for legitimate and approved functions and activities only, and establish to that end a set of policies, procedures and controls that address access rights and ensure a sound administration thereof;

(d)

implement policies and protocols for strong authentication mechanisms, based on relevant standards and dedicated control systems, and protection measures of cryptographic keys whereby data is encrypted based on results of approved data classification and ICT risk assessment processes;

(e)

implement documented policies, procedures and controls for ICT change management, including changes to software, hardware, firmware components, systems or security parameters, that are based on a risk assessment approach and are an integral part of the financial entity’s overall change management process, in order to ensure that all changes to ICT systems are recorded, tested, assessed, approved, implemented and verified in a controlled manner;

(f)

have appropriate and comprehensive documented policies for patches and updates.

For the purposes of the first subparagraph, point (b), financial entities shall design the network connection infrastructure in a way that allows it to be instantaneously severed or segmented in order to minimise and prevent contagion, especially for interconnected financial processes.

For the purposes of the first subparagraph, point (e), the ICT change management process shall be approved by appropriate lines of management and shall have specific protocols in place.
EULAW Article 12 4

4.   Financial entities, other than microenterprises, shall maintain redundant ICT capacities equipped with resources, capabilities and functions that are adequate to ensure business needs. Microenterprises shall assess the need to maintain such redundant ICT capacities based on their risk profile.
EULAW Artikel 13 Beheer van netwerkbeveiliging

Artikel 13

Beheer van netwerkbeveiliging

Als onderdeel van de beschermingsmaatregelen die netwerken tegen inbraken en misbruik van gegevens moeten beveiligen, ontwikkelen, documenteren en implementeren financiële entiteiten beleidslijnen, procedures, protocollen en tools voor het beheer van netwerkbeveiliging, die alle volgende elementen bevatten:

a) 

de scheiding en segmentatie van ICT-systemen en -netwerken, rekening houdende met:

i) 

het kritieke karakter of belang van de functie die door deze ICT-systemen en -netwerken wordt ondersteund;

ii) 

de overeenkomstig artikel 8, lid 1, van Verordening (EU) 2022/2554 vastgestelde classificatie;

iii) 

het algemene risicoprofiel van ICT-assets die van die ICT-systemen en -netwerken gebruikmaken;

b) 

de documentatie van alle netwerkverbindingen en gegevensstromen van de financiële entiteit;

c) 

het gebruik van een apart en specifiek netwerk voor het beheer van die ICT-assets;

d) 

de identificatie en implementatie van controles op netwerktoegang voor het voorkomen en detecteren van verbindingen met het netwerk door een ongeautoriseerd apparaat of systeem, of van endpoints die niet voldoen aan de beveiligingseisen van de financiële entiteit;

e) 

de encryptie van netwerkverbindingen die over bedrijfsnetwerken, publieke netwerken, thuisnetwerken, netwerken van derde partijen en draadloze netwerken lopen, voor gebruikte communicatieprotocollen, rekening houdende met de uitkomsten van de goedgekeurde dataclassificatie, de uitkomsten van de ICT-risicobeoordeling en de encryptie van netwerkverbindingen als bedoeld in artikel 6, lid 2;

f) 

de opzet van netwerken in lijn met de ICT-beveiligingseisen die door de financiële entiteit zijn vastgesteld, rekening houdende met maatgevende praktijken om de vertrouwelijkheid, integriteit en beschikbaarheid van het netwerk te borgen;

g) 

de beveiliging van netwerkverkeer tussen de interne netwerken en de internet- en andere externe verbindingen;

h) 

het in kaart brengen van de rollen, verantwoordelijkheden en stappen voor de specificatie, implementatie, goedkeuring, wijziging en evaluatie van firewallregels en verbindingsfilters;

i) 

het uitvoeren van evaluaties van de netwerkarchitectuur en van de inrichting van de netwerkbeveiliging eenmaal per jaar, en op periodieke basis voor micro-ondernemingen, om potentiële kwetsbaarheden in beeld te brengen;

j) 

de maatregelen om, waar nodig, subnetwerken en netwerkcomponenten en apparaten tijdelijk te isoleren;

k) 

de implementatie van een veilige configuratiebaseline van alle netwerkcomponenten en van de hardening van het netwerk en netwerkapparaten in lijn met eventuele instructies van de verkoper en, in voorkomend geval, toepasselijke normen zoals gedefinieerd in artikel 2, punt 1), van Verordening (EU) nr. 1025/2012, en maatgevende praktijken;

l) 

de procedures om systeemsessies en externe sessies na een gespecificeerde periode van inactiviteit te beperken, te vergrendelen en te beëindigen;

m) 

voor overeenkomsten inzake netwerkdiensten:

i) 

de identificatie en specificatie van ICT- en informatiebeveiligingsmaatregelen, service levels en beheersvereisten voor alle netwerkdiensten;

ii) 

de vraag of die diensten worden verricht door een intragroepsaanbieder van ICT-diensten of door derde aanbieders van ICT-diensten.

Voor de toepassing van punt h) voeren financiële entiteiten de evaluatie van firewallregels en verbindingsfilters op regelmatige basis uit in overeenstemming met de overeenkomstig artikel 8, lid 1, van Verordening (EU) 2022/2554 vastgestelde classificatie en het algemene risicoprofiel van de betrokken ICT-systemen. Voor ICT-systemen die kritieke of belangrijke functies ondersteunen, gaan financiële entiteiten ten minste om de zes maanden na of de bestaande firewallregels en verbindingsfilters afdoende zijn.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.