CAPÍTULO II Outros elementos dos sistemas, protocolos e ferramentas para minimizar o impacto do risco associado às TIC

Os direitos de acesso a ativos de informação, ativos de TIC e respetivas funções apoiadas, bem como a locais críticos de funcionamento da entidade financeira, são geridos com base nos princípios da necessidade de conhecer, da necessidade de utilizar e do menor privilégio, nomeadamente para o acesso remoto e de emergência;

Responsabilização dos utilizadores, que garanta que os mesmos possam ser identificados no respeitante às ações realizadas nos sistemas de TIC;

Procedimentos de gestão de contas para conceder, alterar ou revogar direitos de acesso a contas de utilizador e a contas genéricas, incluindo contas de administrador genéricas;

Métodos de autenticação que sejam proporcionados à classificação a que se refere o artigo 30.o, n.o 1, e ao perfil de risco global dos ativos de TIC, e que se baseiem nas melhores práticas;

Os direitos de acesso são revistos periodicamente e revogados quando deixarem de ser necessários.

Acompanhar e gerir o ciclo de vida de todos os ativos de TIC;

Verificar se os ativos de TIC são apoiados por terceiros prestadores de serviços de TIC de entidades financeiras, se for caso disso;

Identificar as necessidades de capacidade dos seus ativos de TIC e as medidas para manter e melhorar a disponibilidade e a eficiência dos sistemas de TIC e evitar défices de capacidade das TIC antes da sua ocorrência;

Realizar análises automatizadas das vulnerabilidades e avaliações de ativos de TIC proporcionadas à sua classificação, tal como referido no artigo 30.o, n.o 1, e ao perfil de risco global do ativo de TIC, bem como aplicar correções para resolver as vulnerabilidades identificadas;

Gerir os riscos relacionados com ativos de TIC obsoletos, não apoiados ou legados;

Registar eventos relacionados com o controlo lógico e físico do acesso e com as operações de TIC, incluindo atividades de tráfego nos sistemas e redes e a gestão de alterações das TIC;

Identificar e aplicar medidas para monitorizar e analisar informações sobre atividades e comportamentos anómalos em operações críticas ou importantes no domínio das TIC;

Aplicar medidas para monitorizar informações pertinentes e atualizadas sobre as ciberameaças;

Aplicar medidas para identificar possíveis fugas de informação, códigos maliciosos e outras ameaças à segurança, bem como vulnerabilidades do conhecimento público em software e hardware, e verificar se existem novas atualizações de segurança correspondentes.

A identificação e aplicação de medidas de proteção dos dados em uso, em trânsito e inativos;

A identificação e aplicação de medidas de segurança relativas à utilização de software, a suportes de armazenamento de dados, bem como a sistemas e dispositivos terminais que transferem e armazenam dados da entidade financeira;

A identificação e implementação de medidas para prevenir e detetar ligações não autorizadas à rede da entidade financeira e para proteger o tráfego na rede entre as redes internas da entidade financeira e a Internet e outras ligações externas;

A identificação e aplicação de medidas que garantam a disponibilidade, autenticidade, integridade e confidencialidade dos dados durante as transmissões da rede;

Um processo de apagamento seguro de dados nas instalações ou armazenados externamente, que a entidade financeira já não tenha necessidade de recolher ou armazenar;

Um processo de eliminação ou desativação segura de dispositivos de armazenamento de dados nas instalações ou de dispositivos de armazenamento de dados armazenados externamente que contenham informações confidenciais;

A identificação e aplicação de medidas destinadas a assegurar que o teletrabalho e a utilização de dispositivos terminais privados não afetam negativamente a capacidade da entidade financeira para exercer as suas atividades críticas de forma adequada, atempada e segura.

Assegurar que, antes de qualquer aquisição ou desenvolvimento de sistemas de TIC, os requisitos funcionais e não funcionais, incluindo os requisitos de segurança das informações, sejam claramente especificados e aprovados pela função operacional em causa;

Assegurar a realização de testes e a aprovação dos sistemas de TIC antes da sua primeira utilização e antes da introdução de alterações no ambiente de produção;

Identificar medidas para atenuar o risco de alteração não intencional ou de manipulação intencional dos sistemas de TIC durante o desenvolvimento e a aplicação no ambiente de produção.