+Secure Data Deletion and Disposal

Secure Data Deletion and Disposal

Establish a process to securely delete data on and offpremises. Establish a process to securely dispose or decommission data storage devices on and offpremises that contain confidential information.

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Regulamentos relacionados

2. Requisitos identificados

Requisitos

3. Regulamentos relacionados

Regulamentos
EULAW Article 9 2

2.   Financial entities shall design, procure and implement ICT security policies, procedures, protocols and tools that aim to ensure the resilience, continuity and availability of ICT systems, in particular for those supporting critical or important functions, and to maintain high standards of availability, authenticity, integrity and confidentiality of data, whether at rest, in use or in transit.
EULAW Article 9 3

3.   In order to achieve the objectives referred to in paragraph 2, financial entities shall use ICT solutions and processes that are appropriate in accordance with Article 4. Those ICT solutions and processes shall:

(a)

ensure the security of the means of transfer of data;

(b)

minimise the risk of corruption or loss of data, unauthorised access and technical flaws that may hinder business activity;

(c)

prevent the lack of availability, the impairment of the authenticity and integrity, the breaches of confidentiality and the loss of data;

(d)

ensure that data is protected from risks arising from data management, including poor administration, processing-related risks and human error.
EULAW Artigo 11.o 2.

O procedimento de segurança dos dados e do sistema referido no n.o 1 deve conter todos os elementos indicados a seguir relacionados com a segurança dos dados e do sistema de TIC, de acordo com a classificação estabelecida em conformidade com o artigo 8.o, n.o 1, do Regulamento (UE) 2022/2554:

a) 

As restrições de acesso referidas no artigo 21.o do presente regulamento, que apoiem os requisitos de proteção para cada nível de classificação;

b) 

A identificação de uma base de referência de configuração segura para os ativos de TIC que minimize a exposição desses ativos de TIC a ciberameaças e medidas para verificar regularmente se essas bases de referência são efetivamente implantadas;

c) 

A identificação de medidas de segurança para garantir que apenas sejam instalados programas informáticos autorizados nos sistemas TIC e dispositivos terminais;

d) 

A identificação de medidas de segurança contra códigos maliciosos;

e) 

A identificação de medidas de segurança para assegurar que apenas se utilizam suportes externos, sistemas e dispositivos terminais de armazenamento de dados autorizados para transferir e conservar dados da entidade financeira;

f) 

Os seguintes requisitos para garantir a utilização de dispositivos terminais portáteis e de dispositivos terminais não portáteis privados:

i) 

o requisito de utilizar uma solução de gestão para gerir os dispositivos terminais à distância e limpar remotamente os dados da entidade financeira,

ii) 

o requisito de utilizar mecanismos de segurança que não possam ser modificados, removidos ou contornados por membros do pessoal ou terceiros prestadores de serviços de TIC de forma não autorizada,

iii) 

o requisito de utilizar dispositivos de armazenamento de dados amovíveis apenas se o risco residual associado às TIC permanecer dentro do nível de tolerância ao risco da entidade financeira referido no artigo 3.o, primeiro parágrafo, alínea a);

g) 

O processo de apagamento seguro de dados, presentes nas instalações da entidade financeira ou conservados externamente, que a entidade financeira já não precisa de recolher nem conservar;

h) 

O processo de eliminação ou desativação segura de dispositivos de armazenamento de dados presentes nas instalações da entidade financeira ou conservados externamente que contenham informações confidenciais;

i) 

A identificação e aplicação de medidas de segurança para evitar a perda e fuga de dados de sistemas e dispositivos terminais;

j) 

A aplicação de medidas de segurança para garantir que o teletrabalho e a utilização de dispositivos terminais privados não têm um impacto negativo na segurança das TIC da entidade financeira;

k) 

No caso dos ativos ou serviços de TIC operados por um terceiro prestador de serviços de TIC, a identificação e aplicação de requisitos para manter a resiliência operacional digital, de acordo com os resultados da classificação dos dados e da avaliação do risco associado às TIC.

Para efeitos da alínea b), a base de referência da configuração segura referida nessa alínea deve ter em conta as melhores práticas e as técnicas adequadas previstas nas normas definidas no artigo 2.o, ponto 1, do Regulamento (UE) n.o 1025/2012.

Para efeitos da alínea k), as entidades financeiras devem considerar o seguinte:

a) 

A implementação dos parâmetros recomendados pelo vendedor nos elementos operados pela entidade financeira;

b) 

Uma repartição clara das funções e responsabilidades em matéria de segurança da informação entre a entidade financeira e o terceiro prestador de serviços de TIC, em conformidade com o princípio da total responsabilidade da entidade financeira em relação ao terceiro prestador de serviços de TIC, referido no artigo 28.o, n.o 1, alínea a), do Regulamento (UE) 2022/2554, no caso das entidades financeiras referidas no artigo 28.o, n.o 2, do mesmo regulamento e de acordo com a política da entidade financeira em matéria de utilização de serviços de TIC que apoiem funções críticas ou importantes;

c) 

A necessidade de assegurar e manter competências adequadas no seio da entidade financeira na gestão e segurança do serviço utilizado;

d) 

Medidas técnicas e organizativas para minimizar os riscos relacionados com a infraestrutura utilizada pelo terceiro prestador de serviços de TIC para os seus serviços de TIC, tendo em conta as melhores práticas e as normas definidas no artigo 2.o, ponto 1, do Regulamento (UE) n.o 1025/2012.
EULAW Artigo 20.o 1.
No âmbito do seu controlo da gestão dos direitos de acesso, as entidades financeiras devem desenvolver, documentar e aplicar políticas e procedimentos de gestão da identidade que assegurem a identificação e autenticação únicas das pessoas singulares e dos sistemas que acedem às informações das entidades financeiras, a fim de permitir a atribuição de direitos de acesso aos utilizadores em conformidade com o artigo 21.o.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.