ROZDZIAŁ II Dalsze elementy systemów, protokołów i narzędzi minimalizujących wpływ ryzyka związanego z ICT

prawa dostępu do zasobów informacyjnych, zasobów ICT i wspieranych przez nie funkcji, a także do miejsc prowadzenia działalności podmiotu finansowego o znaczeniu krytycznym, zgodnie z zasadami wiedzy koniecznej, potrzeby koniecznej i minimalizacji uprawnień, w tym również w kontekście dostępu zdalnego i dostępu awaryjnego;

rozliczalność użytkowników, która zapewnia możliwość identyfikacji użytkowników w odniesieniu do działań prowadzonych w systemach ICT;

procedury zarządzania kontem umożliwiające udzielanie, zmianę lub cofanie praw dostępu do kont użytkownika i kont generycznych, uwzględniając generyczne konta administratora;

metody uwierzytelniania współmierne do klasyfikacji, o której mowa w art. 30 ust. 1, oraz do ogólnego profilu ryzyka zasobów ICT, opartych na wiodących praktykach;

prawa dostępu są okresowo weryfikowane i cofane, gdy nie są już potrzebne.

monitorują cykl życia wszystkich zasobów ICT i zarządzają nimi;

w stosownych przypadkach monitorują, czy zasoby ICT są wspierane przez zewnętrznych dostawców usług ICT podmiotów finansowych;

określają wymogi w zakresie pojemności ich zasobów ICT oraz środki służące utrzymaniu i poprawie dostępności i efektywności systemów ICT oraz zapobieganiu niedoborom pojemności w zakresie ICT przed ich wystąpieniem;

przeprowadzają zautomatyzowane skanowanie pod kątem podatności i oceny zasobów ICT współmierne do ich klasyfikacji, o której mowa w art. 30 ust. 1, oraz do ogólnego profilu ryzyka zasobów ICT, a także wprowadzają poprawki w celu wyeliminowania stwierdzonych podatności;

zarządzają ryzykiem związanym z przestarzałymi, niewspieranymi lub dotychczasowymi zasobami ICT;

rejestrują zdarzenia związane z kontrolą logicznego i fizycznego dostępu, operacjami ICT, w tym działaniami w zakresie ruchu w systemie i ruchu w sieci, oraz z zarządzaniem zmianą w systemach ICT;

określają i wdrażają środki służące do monitorowania i analizowania informacji na temat nietypowych działań i zachowań w odniesieniu do krytycznych lub istotnych operacji ICT;

wdrażają środki służące monitorowaniu istotnych i aktualnych informacji na temat cyberzagrożeń;

wdrażają środki mające na celu identyfikację ewentualnych wycieków informacji, kodu złośliwego i innych zagrożeń bezpieczeństwa oraz powszechnie znanych podatności obecnych w oprogramowaniu i sprzęcie komputerowym, a także sprawdzanie odpowiednich nowych aktualizacji zabezpieczeń.

określenie i wdrożenie środków ochrony danych wykorzystywanych, przesyłanych i przechowywanych;

określenie i wdrożenie środków bezpieczeństwa dotyczących korzystania z oprogramowania, nośników danych, systemów i urządzeń końcowych wykorzystywanych do przesyłania i przechowywania danych podmiotu finansowego;

określenie i wdrożenie środków mających na celu zapobieganie i wykrywanie nieuprawnionych połączeń z siecią podmiotu finansowego oraz zabezpieczenie ruchu między sieciami wewnętrznymi podmiotu finansowego a internetem i innymi połączeniami zewnętrznymi;

określenie i wdrożenie środków zapewniających dostępność, autentyczność, integralność i poufność danych podczas transmisji w sieci;

proces bezpiecznego usuwania danych znajdujących się w obiektach podmiotu finansowego lub przechowywanych na zewnątrz, których podmiot finansowy nie musi już gromadzić ani przechowywać;

proces bezpiecznego pozbywania się lub wycofywania z eksploatacji urządzeń do przechowywania danych w obiektach lub przechowywanych na zewnątrz urządzeń do przechowywania danych, które zawierają informacje poufne;

określenie i wdrożenie środków służących zapewnieniu, aby telepraca i korzystanie z prywatnych urządzeń końcowych nie miały negatywnego wpływu na zdolność podmiotu finansowego do prowadzenia działalności krytycznej w odpowiedni, terminowy i bezpieczny sposób.

zapewnia, aby przed pozyskaniem lub rozwijaniem systemów ICT wymogi funkcjonalne i niefunkcjonalne, w tym wymogi dotyczące bezpieczeństwa informacji, były jasno określone i zatwierdzone przez daną funkcję biznesową;

zapewnia testowanie i zatwierdzanie systemów ICT przed ich pierwszym użyciem i przed wprowadzeniem zmian w środowisku produkcyjnym;

obejmuje określenie środków mających na celu ograniczenie ryzyka niezamierzonych zmian lub zamierzonej manipulacji systemami ICT podczas opracowywania i wdrażania w środowisku produkcyjnym.