TÍTULO III ENQUADRAMENTO PARA A CERTIFICAÇÃO DA CIBERSEGURANÇA

Proteger os dados armazenados, transmitidos ou sujeitos a qualquer outro tipo de tratamento contra o armazenamento, tratamento, acesso ou divulgação acidental ou não autorizado ao longo de todo o ciclo de vida do produto, serviço ou processo de TIC;

Proteger os dados armazenados, transmitidos ou sujeitos a qualquer outro tipo de tratamento contra a destruição, perda ou alteração acidental ou não autorizada ou a não disponibilização ao longo de todo o ciclo de vida do produto, serviço ou processo de TIC;

Garantir que as pessoas, os programas ou as máquinas autorizadas só possam aceder aos dados, serviços ou funções abrangidos pelos seus direitos de acesso;

Identificar e documentar as dependências e vulnerabilidades conhecidas;

Registar que dados, serviços ou funções foram consultados, utilizados ou sujeitos a qualquer outro tipo de tratamento, quando e por quem;

Garantir que seja possível verificar que dados, serviços ou funções foram consultados, utilizados ou sujeitos a qualquer outro tipo de tratamento, quando e por quem;

Verificar a ausência de vulnerabilidades conhecidas em produtos, serviços e processos de TIC;

Restabelecer a disponibilidade e o acesso aos dados, serviços e funções em tempo útil, no caso de um incidente físico ou técnico;

Garantir a segurança dos produtos, serviços e processos de TIC por defeito e desde a conceção;

Garantir que os produtos, serviços e processos de TIC sejam fornecidos ou prestados com programas e equipamentos informáticos atualizados que não contenham vulnerabilidades de conhecimento público, e que sejam dotados de mecanismos que permitam atualizações seguras.

Que os serviços de segurança geridos sejam prestados com as competências, conhecimentos especializados e experiência necessários, nomeadamente que o pessoal responsável pela prestação desses serviços possua um nível suficiente e adequado de conhecimentos técnicos e competências no domínio específico, experiência suficiente e adequada e a maior integridade profissional;

Que o prestador disponha de procedimentos internos adequados para garantir que os serviços de segurança geridos sejam sempre prestados com um nível de qualidade suficiente e adequado;

Que os dados consultados, armazenados, transmitidos ou sujeitos a qualquer outro tipo de tratamento no âmbito da prestação de serviços de segurança geridos sejam protegidos, impedindo o acesso, conservação, divulgação, destruição, outro tipo de tratamento, perda, alteração ou indisponibilidade acidentais ou não autorizados;

Que a disponibilidade e o acesso aos dados, serviços e funções sejam restabelecidos em tempo útil, em caso de incidente físico ou técnico;

Que as pessoas, os programas ou as máquinas autorizadas só possam aceder aos dados, serviços ou funções abrangidos pelos seus direitos de acesso;

Que é mantido e está disponível para avaliação um registo dos dados, serviços ou funções que foram consultados, utilizados ou sujeitos a qualquer outro tipo de tratamento, quando e por quem;

Que os produtos, serviços e processos de TIC utilizados na prestação dos serviços de segurança geridos sejam seguros desde a conceção e por defeito e, quando aplicável, incluam as atualizações de segurança mais recentes e não contenham vulnerabilidades conhecidas.