|
+Artigo 11.o 2. |
Artigo 11.o 2.O procedimento de segurança dos dados e do sistema referido no n.o 1 deve conter todos os elementos indicados a seguir relacionados com a segurança dos dados e do sistema de TIC, de acordo com a classificação estabelecida em conformidade com o artigo 8.o, n.o 1, do Regulamento (UE) 2022/2554:
a)
As restrições de acesso referidas no artigo 21.o do presente regulamento, que apoiem os requisitos de proteção para cada nível de classificação;
b)
A identificação de uma base de referência de configuração segura para os ativos de TIC que minimize a exposição desses ativos de TIC a ciberameaças e medidas para verificar regularmente se essas bases de referência são efetivamente implantadas;
c)
A identificação de medidas de segurança para garantir que apenas sejam instalados programas informáticos autorizados nos sistemas TIC e dispositivos terminais;
d)
A identificação de medidas de segurança contra códigos maliciosos;
e)
A identificação de medidas de segurança para assegurar que apenas se utilizam suportes externos, sistemas e dispositivos terminais de armazenamento de dados autorizados para transferir e conservar dados da entidade financeira;
f)
Os seguintes requisitos para garantir a utilização de dispositivos terminais portáteis e de dispositivos terminais não portáteis privados:
i)
o requisito de utilizar uma solução de gestão para gerir os dispositivos terminais à distância e limpar remotamente os dados da entidade financeira,
ii)
o requisito de utilizar mecanismos de segurança que não possam ser modificados, removidos ou contornados por membros do pessoal ou terceiros prestadores de serviços de TIC de forma não autorizada,
iii)
o requisito de utilizar dispositivos de armazenamento de dados amovíveis apenas se o risco residual associado às TIC permanecer dentro do nível de tolerância ao risco da entidade financeira referido no artigo 3.o, primeiro parágrafo, alínea a);
g)
O processo de apagamento seguro de dados, presentes nas instalações da entidade financeira ou conservados externamente, que a entidade financeira já não precisa de recolher nem conservar;
h)
O processo de eliminação ou desativação segura de dispositivos de armazenamento de dados presentes nas instalações da entidade financeira ou conservados externamente que contenham informações confidenciais;
i)
A identificação e aplicação de medidas de segurança para evitar a perda e fuga de dados de sistemas e dispositivos terminais;
j)
A aplicação de medidas de segurança para garantir que o teletrabalho e a utilização de dispositivos terminais privados não têm um impacto negativo na segurança das TIC da entidade financeira;
k)
No caso dos ativos ou serviços de TIC operados por um terceiro prestador de serviços de TIC, a identificação e aplicação de requisitos para manter a resiliência operacional digital, de acordo com os resultados da classificação dos dados e da avaliação do risco associado às TIC. Para efeitos da alínea b), a base de referência da configuração segura referida nessa alínea deve ter em conta as melhores práticas e as técnicas adequadas previstas nas normas definidas no artigo 2.o, ponto 1, do Regulamento (UE) n.o 1025/2012. Para efeitos da alínea k), as entidades financeiras devem considerar o seguinte:
a)
A implementação dos parâmetros recomendados pelo vendedor nos elementos operados pela entidade financeira;
b)
Uma repartição clara das funções e responsabilidades em matéria de segurança da informação entre a entidade financeira e o terceiro prestador de serviços de TIC, em conformidade com o princípio da total responsabilidade da entidade financeira em relação ao terceiro prestador de serviços de TIC, referido no artigo 28.o, n.o 1, alínea a), do Regulamento (UE) 2022/2554, no caso das entidades financeiras referidas no artigo 28.o, n.o 2, do mesmo regulamento e de acordo com a política da entidade financeira em matéria de utilização de serviços de TIC que apoiem funções críticas ou importantes;
c)
A necessidade de assegurar e manter competências adequadas no seio da entidade financeira na gestão e segurança do serviço utilizado;
d)
Medidas técnicas e organizativas para minimizar os riscos relacionados com a infraestrutura utilizada pelo terceiro prestador de serviços de TIC para os seus serviços de TIC, tendo em conta as melhores práticas e as normas definidas no artigo 2.o, ponto 1, do Regulamento (UE) n.o 1025/2012. 1. Visão geral
1.1 Referências1.2 Requisitos identificados1.3 Normas relacionadas
2. Requisitos identificados
3. Normas relacionadas
|