CAPITOLUL II Elemente suplimentare ale sistemelor, protocoalelor și instrumentelor menite să reducă la minimum impactul riscurilor TIC

drepturile de acces la activele informaționale, la activele TIC și la funcțiile sprijinite de acestea, precum și la locurile critice unde operează entitatea financiară sunt gestionate pe baza principiului necesității de a cunoaște, al necesității de a utiliza și al celor mai mici privilegii, inclusiv pentru accesul la distanță și accesul de urgență;

răspunderea utilizatorului, care asigură faptul că utilizatorii pot fi identificați atunci când efectuează acțiuni în sistemele TIC;

proceduri de gestionare a conturilor pentru acordarea, modificarea sau revocarea drepturilor de acces pentru conturile de utilizator și conturile generice, inclusiv pentru conturile de administrator generice;

metode de autentificare care sunt proporționale cu clasificarea menționată la articolul 30 alineatul (1) și cu profilul general de risc al activelor TIC și care se bazează pe cele mai avansate practici;

drepturile de acces sunt revizuite periodic și sunt retrase atunci când nu mai sunt necesare.

monitorizează și gestionează ciclul de viață al tuturor activelor TIC;

monitorizează dacă activele TIC sunt sprijinite de furnizori terți de servicii TIC ai entităților financiare, după caz;

identifică cerințele în materie de capacitate ale activelor TIC și măsurile de menținere și îmbunătățire a disponibilității și eficienței sistemelor TIC și de prevenire a deficitelor de capacitate TIC înainte ca acestea să se concretizeze;

efectuează scanarea automată a vulnerabilităților și evaluări ale activelor TIC, proporționale cu clasificarea acestora, astfel cum se menționează la articolul 30 alineatul (1), și cu profilul general de risc al activului TIC, și implementează corecții pentru a aborda vulnerabilitățile identificate;

gestionează riscurile legate de activele TIC care sunt învechite sau moștenite sau care nu mai beneficiază de asistență;

înregistrează în jurnale evenimentele legate de controlul accesului logic și fizic, operațiunile TIC, inclusiv activitățile de trafic de sistem și de rețea, precum și gestionarea modificărilor TIC;

identifică și pun în aplicare măsuri de monitorizare și analiză a informațiilor privind activitățile și comportamentele anormale pentru operațiunile TIC critice sau importante;

pun în aplicare măsuri de monitorizare a informațiilor relevante și actualizate cu privire la amenințările cibernetice;

pun în aplicare măsuri de identificare a posibilelor scurgeri de informații, a codurilor dăunătoare și a altor amenințări la adresa securității, precum și a vulnerabilităților cunoscute public ale software-ului și hardware-ului și verifică dacă există noi actualizări de securitate corespunzătoare.

identificarea și punerea în aplicare a măsurilor de protecție a datelor în uz, în tranzit și în repaus;

identificarea și punerea în aplicare a măsurilor de securitate privind utilizarea software-ului, a mediilor de stocare a datelor, a sistemelor și a dispozitivelor de punct final care asigură transferul și stocarea datelor entității financiare;

identificarea și punerea în aplicare a măsurilor de prevenire și detectare a conexiunilor neautorizate la rețeaua entității financiare, precum și de securizare a traficului de rețea între rețelele interne ale entității financiare și internet și alte conexiuni externe;

identificarea și punerea în aplicare a unor măsuri care asigură disponibilitatea, autenticitatea, integritatea și confidențialitatea datelor în timpul transmisiilor în rețea;

un proces care asigură ștergerea în condiții de siguranță a datelor, aflate în sediile entității financiare sau stocate extern, pe care entitatea financiară nu mai are nevoie să le colecteze sau să le stocheze;

un proces de eliminare sau scoatere din uz în condiții de siguranță a dispozitivelor de stocare a datelor aflate în sediile entității financiare sau a dispozitivelor de stocare a datelor stocate în exterior, care conțin informații confidențiale;

identificarea și punerea în aplicare a unor măsuri care asigură că telemunca și utilizarea dispozitivelor de punct final private nu au un impact negativ asupra capacității entității financiare de a-și desfășura activitățile critice în mod adecvat, în timp util și în condiții de siguranță.

asigură că, înainte de orice achiziție sau dezvoltare a sistemelor TIC, cerințele funcționale și nefuncționale, inclusiv cerințele de securitate a informațiilor, sunt specificate și aprobate în mod clar de către funcția operațională în cauză;

asigură testarea și aprobarea sistemelor TIC înainte de prima lor utilizare și înainte de introducerea de modificări în mediul de producție;

identifică măsuri de atenuare a riscului de modificare neintenționată sau de manipulare intenționată a sistemelor TIC în timpul dezvoltării și implementării în mediul de producție.