+Session Management

Session Management

Enforce procedures to limit, lock, and terminate system and remote sessions after a predefined period of inactivity.

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Regulamentos relacionados

2. Requisitos identificados

Requisitos

3. Regulamentos relacionados

Regulamentos
EULAW Article 9 4

4.   As part of the ICT risk management framework referred to in Article 6(1), financial entities shall:

(a)

develop and document an information security policy defining rules to protect the availability, authenticity, integrity and confidentiality of data, information assets and ICT assets, including those of their customers, where applicable;

(b)

following a risk-based approach, establish a sound network and infrastructure management structure using appropriate techniques, methods and protocols that may include implementing automated mechanisms to isolate affected information assets in the event of cyber-attacks;

(c)

implement policies that limit the physical or logical access to information assets and ICT assets to what is required for legitimate and approved functions and activities only, and establish to that end a set of policies, procedures and controls that address access rights and ensure a sound administration thereof;

(d)

implement policies and protocols for strong authentication mechanisms, based on relevant standards and dedicated control systems, and protection measures of cryptographic keys whereby data is encrypted based on results of approved data classification and ICT risk assessment processes;

(e)

implement documented policies, procedures and controls for ICT change management, including changes to software, hardware, firmware components, systems or security parameters, that are based on a risk assessment approach and are an integral part of the financial entity’s overall change management process, in order to ensure that all changes to ICT systems are recorded, tested, assessed, approved, implemented and verified in a controlled manner;

(f)

have appropriate and comprehensive documented policies for patches and updates.

For the purposes of the first subparagraph, point (b), financial entities shall design the network connection infrastructure in a way that allows it to be instantaneously severed or segmented in order to minimise and prevent contagion, especially for interconnected financial processes.

For the purposes of the first subparagraph, point (e), the ICT change management process shall be approved by appropriate lines of management and shall have specific protocols in place.
EULAW Article 12 4

4.   Financial entities, other than microenterprises, shall maintain redundant ICT capacities equipped with resources, capabilities and functions that are adequate to ensure business needs. Microenterprises shall assess the need to maintain such redundant ICT capacities based on their risk profile.
EULAW Artigo 13.o Gestão da segurança das redes

Artigo 13.o

Gestão da segurança das redes

No âmbito das salvaguardas que garantem a segurança das redes contra intrusões e a utilização abusiva de dados, as entidades financeiras devem desenvolver, documentar e aplicar políticas, procedimentos, protocolos e ferramentas em matéria de gestão da segurança das redes, incluindo todos os elementos seguintes:

a) 

A segregação e segmentação dos sistemas de TIC e redes, tendo em conta:

i) 

o caráter crítico ou a importância da função que esses sistemas de TIC e redes apoiam,

ii) 

a classificação estabelecida em conformidade com o artigo 8.o, n.o 1, do Regulamento (UE) 2022/2554,

iii) 

o perfil de risco global dos ativos de TIC que utilizam esses sistemas e redes de TIC;

b) 

A documentação de todas as ligações à rede e fluxos de dados da entidade financeira;

c) 

A utilização de uma rede separada e específica para a administração dos ativos de TIC;

d) 

A identificação e implementação de controlos de acesso à rede para prevenir e detetar ligações à rede da entidade financeira por qualquer dispositivo ou sistema não autorizado ou por qualquer terminal que não cumpra os requisitos de segurança da entidade financeira;

e) 

A encriptação das ligações à rede que passem por redes empresariais, redes públicas, redes domésticas, redes de terceiros e redes sem fios, para os protocolos de comunicação utilizados, tendo em conta os resultados da classificação de dados aprovada, os resultados da avaliação do risco associado às TIC e a encriptação das ligações à rede a que se refere o artigo 6.o, n.o 2;

f) 

A conceção das redes em consonância com os requisitos de segurança das TIC estabelecidos pela entidade financeira, tendo em conta as melhores práticas para garantir a confidencialidade, integridade e disponibilidade da rede;

g) 

A segurança do tráfego de rede entre as redes internas e a Internet e outras ligações externas;

h) 

A identificação das funções e responsabilidades e das etapas para a especificação, aplicação, aprovação, alteração e revisão das regras relativas às barreiras de segurança e aos filtros de ligação;

i) 

A realização de análises da arquitetura da rede e da conceção da segurança da rede uma vez por ano, e periodicamente para as microempresas, a fim de identificar potenciais vulnerabilidades;

j) 

As medidas para isolar temporariamente, se necessário, as sub-redes e os componentes e dispositivos de rede;

k) 

A implementação de uma base de referência para a configuração segura de todos os componentes da rede e o aumento da solidez da rede e dos dispositivos de rede em consonância com as instruções do vendedor, se for caso disso, respeitando as normas aplicáveis, tal como definidas no artigo 2.o, ponto 1, do Regulamento (UE) n.o 1025/2012, e as melhores práticas;

l) 

Os procedimentos para limitar, bloquear e encerrar o sistema e as sessões à distância após um determinado período de inatividade;

m) 

Para os acordos de serviços de rede:

i) 

a identificação e especificação das medidas de segurança da informação e das TIC, dos níveis de serviço e dos requisitos de gestão de todos os serviços de rede,

ii) 

se esses serviços são prestados por um prestador de serviços de TIC intragrupo ou por terceiros prestadores de serviços de TIC.

Para efeitos da alínea h), as entidades financeiras devem proceder regularmente à revisão das regras relativas às barreiras de segurança e aos filtros de ligação, de acordo com a classificação estabelecida em conformidade com o artigo 8.o, n.o 1, do Regulamento (UE) 2022/2554 e com o perfil de risco global dos sistemas de TIC envolvidos. No caso dos sistemas de TIC que suportem funções críticas ou importantes, as entidades financeiras devem verificar a adequação das regras existentes em matéria de barreiras de segurança e dos filtros de ligação, pelo menos, a cada seis meses.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.