+Network Design and Segmentation

Network Design and Segmentation

Design the network infrastructure in a way that allows it to be instantaneously severed or segmented to minimize and prevent contagion. Have provisions for temporarily isolating subnetworks and network components/devices. Ensure redundant capabilities are equipped with sufficient resources, capabilities, and functions (e.g., redundant network setup). Systems and networks must be segregated based on function criticality, classification, and overall risk profile. Maintain a separate network for asset administration. Provide a Layer 3 or 7 (L3/L7) visual representation of all networks and data flows. Conduct yearly performance reviews of the network architecture/design.

1. Prezentare generală

1.1 Referințe

1.2 Cerințe identificate

1.3 Reglementări asociate

2. Cerințe identificate

Cerințe

3. Reglementări asociate

Reglementări
EULAW Articolul 9 (4)

Ca parte a cadrului de gestionare a riscurilor TIC menționat la articolul 6 alineatul (1), entitățile financiare:

(a) 

elaborează și documentează o politică de securitate a informațiilor care definește norme de protecție a disponibilității, autenticității, integrității și confidențialității datelor, a activelor informaționale și a activelor TIC, inclusiv a celor ale clienților lor, după caz;

(b) 

stabilesc, urmând o abordare bazată pe riscuri, o structură de gestionare solidă a rețelei și a infrastructurii care utilizează tehnici, metode și protocoale adecvate ce pot include punerea în aplicare a unor mecanisme automatizate pentru a izola activele informaționale afectate în cazul unor atacuri cibernetice;

(c) 

pun în aplicare politici care limitează accesul fizic sau logic la activele informaționale și activele TIC la ceea ce este necesar exclusiv pentru funcții și activități legitime și aprobate și stabilesc în acest scop un set de politici, proceduri și controale care să vizeze drepturile de acces și o bună administrare a acestora;

(d) 

pun în aplicare politici și protocoale pentru mecanisme solide de autentificare, bazate pe standarde relevante și sisteme de control specifice, precum și măsuri de protecție a cheilor criptografice, prin care datele sunt criptate în funcție de rezultatele proceselor aprobate de clasificare a datelor și de evaluare a riscurilor TIC;

(e) 

pun în aplicare politici, proceduri și controale documentate pentru gestionarea modificărilor la nivelul TIC, inclusiv modificări la nivelul componentelor software, hardware, firmware, parametrii sistemelor sau de securitate, care sunt fondate pe o abordare bazată pe evaluarea riscurilor și fac parte integrantă din procesul general de gestionare a modificărilor din cadrul entității financiare, pentru a se asigura că toate modificările aduse sistemelor TIC sunt înregistrate, testate, evaluate, aprobate, puse în aplicare și verificate în mod controlat;

(f) 

dispun de politici documentate adecvate și cuprinzătoare pentru corecții și actualizări.

În scopul aplicării literei (b) de la primul paragraf, entitățile financiare concep infrastructura de conectare a rețelei într-un mod care permite întreruperea sau segmentarea instantanee a acesteia, pentru a reduce la minimum și a preveni contagiunea, în special în cazul proceselor financiare interconectate.

În scopul aplicării literei (e) de la primul paragraf, procesul de gestionare a modificărilor la nivelul TIC este aprobat de liniile de management corespunzătoare și dispune de protocoale specifice.
EULAW Articolul 12 (4)
Entitățile financiare, altele decât microîntreprinderile, mențin capacități TIC redundante dotate cu resurse, capacități și funcții care sunt adecvate pentru a acoperi nevoile operaționale. Microîntreprinderile evaluează necesitatea menținerii unor astfel de capacități TIC redundante pe baza profilului lor de risc.
EULAW Articolul 13 Gestionarea securității rețelelor

Articolul 13

Gestionarea securității rețelelor

Ca parte a garanțiilor care asigură securitatea rețelelor împotriva intruziunilor și a utilizării abuzive a datelor, entitățile financiare elaborează, documentează și pun în aplicare politici, proceduri, protocoale și instrumente privind gestionarea securității rețelelor, inclusiv toate elementele următoare:

(a) 

segregarea și segmentarea sistemelor și rețelelor TIC, ținând seama de:

(i) 

caracterul critic sau importanța funcției pe care o sprijină sistemele și rețelele TIC respective;

(ii) 

clasificarea stabilită în conformitate cu articolul 8 alineatul (1) din Regulamentul (UE) 2022/2554;

(iii) 

profilul general de risc al activelor TIC care utilizează sistemele și rețelele TIC respective;

(b) 

documentarea tuturor conexiunilor la rețea și fluxurilor de date ale entității financiare;

(c) 

utilizarea unei rețele separate și specializate pentru gestionarea activelor TIC;

(d) 

identificarea și punerea în aplicare a controalelor accesului la rețea pentru a preveni și a detecta conexiunile la rețeaua entității financiare prin orice dispozitiv sau sistem neautorizat sau orice punct final care nu îndeplinește cerințele de securitate ale entității financiare;

(e) 

criptarea conexiunilor la rețea care trec prin rețele corporative, rețele publice, rețele naționale, rețele terțe și rețele fără fir, pentru protocoalele de comunicare utilizate, ținând seama de rezultatele clasificării aprobate a datelor, de rezultatele evaluării riscurilor TIC și de criptarea conexiunilor de rețea menționate la articolul 6 alineatul (2);

(f) 

proiectarea rețelelor în conformitate cu cerințele de securitate TIC stabilite de entitatea financiară, ținând seama de cele mai avansate practici pentru a asigura confidențialitatea, integritatea și disponibilitatea rețelei;

(g) 

securizarea traficului de rețea între rețelele interne și internet și alte conexiuni externe;

(h) 

identificarea rolurilor și responsabilităților și a etapelor pentru specificarea, punerea în aplicare, aprobarea, modificarea și revizuirea regulilor firewall și a filtrelor de conexiuni;

(i) 

efectuarea de revizuiri ale arhitecturii rețelei și ale modului în care este concepută securitatea rețelei o dată pe an și periodic pentru microîntreprinderi, pentru a se identifica potențialele vulnerabilități;

(j) 

măsurile de izolare temporară, dacă este necesar, a subrețelelor și a componentelor și dispozitivelor de rețea;

(k) 

implementarea unei configurații de referință securizate pentru toate componentele rețelei și întărirea rețelei și a dispozitivelor de rețea, în conformitate cu eventualele instrucțiuni ale furnizorului, după caz, precum și cu standardele definite la articolul 2 punctul 1 din Regulamentul (UE) nr. 1025/2012 și cu cele mai avansate practici;

(l) 

procedurile de limitare, blocare și închidere a sistemului și a sesiunilor la distanță după o anumită perioadă de inactivitate;

(m) 

pentru acordurile de servicii de rețea:

(i) 

identificarea și specificarea măsurilor TIC și de securitate a informațiilor, a nivelurilor serviciilor și a cerințelor de gestionare a tuturor serviciilor de rețea;

(ii) 

dacă aceste servicii sunt furnizate de un furnizor de servicii TIC intragrup sau de furnizori terți de servicii TIC.

În sensul literei (h), entitățile financiare efectuează revizuirea regulilor firewall și a filtrelor de conexiuni în mod regulat, în conformitate cu clasificarea stabilită conform articolului 8 alineatul (1) din Regulamentul (UE) 2022/2554 și cu profilul general de risc al sistemelor TIC implicate. Pentru sistemele TIC care sprijină funcții critice sau importante, entitățile financiare verifică adecvarea regulilor firewall existente și a filtrelor de conectare cel puțin o dată la 6 luni.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.