HOOFDSTUK II Verdere elementen van systemen, protocollen en tools om de impact van ICT-risico zoveel mogelijk te beperken

toegangsrechten tot informatieassets, ICT-assets en de daardoor ondersteunde functies en tot kritieke operationele locaties van de financiële entiteit, worden beheerd op need-to-know-, need-to-use- en least-privilege-basis, ook voor remote access en emergency access;

verantwoordingsplicht van gebruikers, waardoor gebruikers kunnen worden geïdentificeerd voor de in de ICT-systemen uitgevoerde acties;

procedures voor accountbeheer om toegangsrechten voor gebruikers en generieke accounts, daaronder begrepen generieke administrator accounts, toe te kennen, te wijzigen of in te trekken;

authenticatiemethoden die in verhouding staan tot de in artikel 30, lid 1, bedoelde classificatie en tot het algemene risicoprofiel van ICT-assets, en die op maatgevende praktijken zijn gebaseerd;

toegangsrechten worden periodiek geëvalueerd en worden ingetrokken wanneer deze niet langer vereist zijn.

zij monitoren en beheersen de levenscyclus van alle ICT-assets;

zij monitoren of de ICT-assets worden ondersteund door derde aanbieders van ICT-diensten van financiële entiteiten (in voorkomend geval);

zij identificeren capaciteitsvereisten van hun ICT-assets en maatregelen om de beschikbaarheid en efficiëntie van ICT-systemen in stand te houden en te verbeteren, en voorkomen tekorten aan ICT-capaciteit voordat deze zich voordoen;

zij voeren geautomatiseerde kwetsbaarheidsscans en beoordelingen van ICT-assets uit die in verhouding staan tot de in artikel 30, lid 1, bedoelde classificatie daarvan en tot het algemene risicoprofiel van het ICT-asset, en rollen patches uit om geconstateerde kwetsbaarheden te verhelpen;

zij beheersen de risico’s verbonden aan verouderde, niet-ondersteunde of legacy ICT-assets;

zij loggen events met betrekking tot logische en fysieke toegangscontrole, ICT-operaties, met inbegrip van systeemactiviteiten en netwerkverkeer, en ICT-wijzigingsbeheer;

zij identificeren en implementeren maatregelen om informatie over afwijkende activiteiten en gedragingen te monitoren en te analyseren voor kritieke of belangrijke ICT-operaties:

zij implementeren maatregelen om relevante en actuele informatie over cyberdreigingen te monitoren;

zij implementeren maatregelen voor het identificeren van mogelijke informatielekken, malware en andere beveiligingsdreigingen, en publiek bekende kwetsbaarheden van software en hardware, en controleren op de beschikbaarheid van overeenkomstige nieuwe beveiligingsupdates.

de identificatie en implementatie van maatregelen om data in gebruik, in transit en in rust te beschermen;

de identificatie en implementatie van beveiligingsmaatregelen wat betreft het gebruik van software, media voor gegevensopslag, systemen en endpoint-apparaten die gegevens van de financiële entiteit overdragen en opslaan;

de identificatie en implementatie van maatregelen om ongeautoriseerde verbindingen met het netwerk van de financiële entiteit te voorkomen en te detecteren en om het netwerkverkeer te beveiligen tussen de interne netwerken van de financiële entiteit en het internet en andere externe verbindingen;

de identificatie en implementatie van maatregelen die de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens tijdens netwerktransmissies veiligstellen;

een proces om veilig gegevens te wissen die aanwezig zijn op bedrijfslocaties van de financiële entiteit of die extern zijn opgeslagen, en die financiële entiteit niet langer hoeft te verzamelen of op te slaan;

een proces om apparaten voor gegevensopslag die aanwezig zijn op bedrijfslocaties of die extern zijn opgeslagen en vertrouwelijke informatie bevatten, af te voeren of te ontmantelen;

de identificatie en implementatie van maatregelen die moeten voorkomen dat thuiswerk en het gebruik van privé endpoint-apparaten een negatieve impact hebben op de mogelijkheden van de financiële entiteit om haar kritieke activiteiten adequaat, tijdig en veilig uit te voeren.

borgt dat, voordat de aanschaf of ontwikkeling van ICT-systemen plaatsvindt, de functionele en niet-functionele vereisten, met inbegrip van de vereisten inzake informatiebeveiliging, duidelijk zijn gespecificeerd en goedgekeurd door de betrokken bedrijfsfunctie;

borgt dat ICT-systemen worden getest en goedgekeurd voordat zij voor het eerst worden gebruikt en voordat wijzigingen worden aangebracht in de productieomgeving;

identificeert maatregelen om het risico te mitigeren van onbedoelde wijziging of bedoelde manipulatie van de ICT-systemen tijdens ontwikkeling en uitrol van die ICT-systemen in de productieomgeving.