+Vendor Recommended Security Settings

Vendor Recommended Security Settings

Consider the security measures and settings recommended by the third-party service provider delivering the ICT service. Implement technical and organisational measures to minimise the risks related to the infrastructure used and managed by the ICT third-party service provider.

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace predpisy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace predpisy

Predpisy
EULAW Článok 9 2

2.   Finančné subjekty navrhujú, obstarávajú a realizujú stratégie, politiky, postupy, protokoly a nástroje v oblasti bezpečnosti IKT, ktorých cieľom je zabezpečiť odolnosť, kontinuitu a dostupnosť IKT systémov, najmä tých, ktoré podporujú kritické alebo dôležité funkcie, a zachovať vysoké štandardy dostupnosti, pravosti, integrity a dôvernosti údajov, či už v pokoji, pri používaní alebo pri prenose.
EULAW Článok 9 3

3.   Na dosiahnutie cieľov uvedených v odseku 2 finančné subjekty používajú IKT riešenia a procesy, ktoré sú vhodné v súlade s článkom 4. Uvedené IKT riešenia a procesy:

a)

zaručujú bezpečnosť prostriedkov prenosu údajov;

b)

minimalizujú riziko poškodenia alebo straty údajov, neoprávneného prístupu a technických nedostatkov, ktoré môžu brániť podnikateľskej činnosti;

c)

predchádzajú nedostatočnej dostupnosti, narušeniu pravosti a integrity, porušeniam dôvernosti a strate údajov;

d)

zabezpečujú, že údaje sú chránené pred rizikami vyplývajúcimi z riadenia údajov vrátane nedostatočnej správy, rizikami súvisiacimi so spracúvaním a ľudskou chybou.
EULAW Článok 11 2.

Postup v oblasti bezpečnosti údajov a systému uvedený v odseku 1 obsahuje všetky tieto prvky týkajúce sa bezpečnosti údajov a IKT systému v súlade s klasifikáciou stanovenou v súlade s článkom 8 ods. 1 nariadenia (EÚ) 2022/2554:

a) 

obmedzenia prístupu uvedené v článku 21 tohto nariadenia, ktoré podporujú požiadavky na ochranu pre každý stupeň utajenia;

b) 

identifikácia bezpečnej základnej konfigurácie v prípade IKT aktív, ktorou sa minimalizuje vystavenie týchto IKT aktív kybernetickým hrozbám, a opatrenia na pravidelné overovanie toho, či sú tieto základné konfigurácie účinne zavedené;

c) 

identifikácia bezpečnostných opatrení s cieľom zaistiť, aby sa do systémov IKT a koncových zariadení inštaloval len autorizovaný softvér;

d) 

identifikácia bezpečnostných opatrení proti škodlivým kódom;

e) 

identifikácia bezpečnostných opatrení na zabezpečenie toho, aby sa na prenos a uchovávanie údajov finančného subjektu používali len autorizované médiá na uchovávanie údajov, systémy a koncové zariadenia;

f) 

tieto požiadavky na zabezpečenie používania prenosných koncových zariadení a súkromných neprenosných koncových zariadení:

i) 

požiadavka na používanie riešenia v oblasti riadenia, pokiaľ ide o diaľkové riadenie koncových zariadení a diaľkový výmaz údajov finančného subjektu;

ii) 

požiadavka na používanie bezpečnostných mechanizmov, ktoré nemôžu zamestnanci alebo externí poskytovatelia IKT služieb neautorizovaným spôsobom zmeniť, odstrániť alebo obísť;

iii) 

požiadavka na používanie odstrániteľných pamäťových zariadení na záznam údajov len vtedy, ak sa zvyškové IKT riziko pohybuje v rámci úrovne tolerancie rizika finančného subjektu uvedenej v článku 3 prvého pododseku 1 písm. a);

g) 

postup bezpečného vymazania údajov, ktoré sa nachádzajú v priestoroch finančného subjektu alebo sú uložené externe, ktoré finančný subjekt už nemusí zhromažďovať ani uchovávať;

h) 

postup bezpečnej likvidácie alebo vyradenia z prevádzky pamäťových zariadení na záznam údajov, ktoré sa nachádzajú v priestoroch finančného subjektu alebo sú uložené externe a ktoré obsahujú dôverné informácie;

i) 

identifikácia a vykonávanie bezpečnostných opatrení, aby sa zabránilo strate a úniku údajov v prípade systémov a koncových zariadení;

j) 

vykonávanie bezpečnostných opatrení s cieľom zabezpečiť, aby telepráca a používanie súkromných koncových zariadení nemali nepriaznivý vplyv na bezpečnosť IKT finančného subjektu;

k) 

v prípade IKT aktív alebo služieb prevádzkovaných externým poskytovateľom IKT služieb identifikácia a vykonávanie požiadaviek na zachovanie digitálnej prevádzkovej odolnosti v súlade s výsledkami klasifikácie údajov a posudzovania IKT rizika.

Na účely písmena b) sa v bezpečnej základnej konfigurácii spomínanej v uvedenom písmene zohľadňujú popredné postupy a vhodné techniky stanovené v normách vymedzených v článku 2 bode 1 nariadenia (EÚ) č. 1025/2012.

Na účely písmena k) finančné subjekty zohľadňujú tieto prvky:

a) 

vykonávanie nastavení odporúčaných predajcom, pokiaľ ide o prvky prevádzkované finančným subjektom;

b) 

jasné prideľovanie úloh a zodpovedností v oblasti informačnej bezpečnosti medzi finančným subjektom a externým poskytovateľom IKT služieb v súlade so zásadou plnej zodpovednosti finančného subjektu za jeho externého poskytovateľa IKT služieb, ako sa uvádza v článku 28 ods. 1 písm. a) nariadenia (EÚ) 2022/2554, a v prípade finančných subjektov uvedených v článku 28 ods. 2 uvedeného nariadenia v súlade s politikou finančného subjektu týkajúcou sa využívania IKT služieb podporujúcich kritické alebo dôležité funkcie;

c) 

potreba zabezpečiť a zachovávať primerané kompetencie v rámci finančného subjektu v oblasti riadenia a bezpečnosti využívanej služby;

d) 

technické a organizačné opatrenia na minimalizáciu rizík súvisiacich s infraštruktúrou, ktorú využíva externý poskytovateľ IKT služieb pre svoje IKT služby, s prihliadnutím na popredné postupy a normy vymedzené v článku 2 bode 1 nariadenia (EÚ) č. 1025/2012.
EULAW Článok 20 1.
Ako súčasť svojej kontroly práv na riadenie prístupu finančné subjekty vypracujú, zdokumentujú a vykonávajú politiky a postupy riadenia systému identifikačných dát, ktoré zabezpečujú jedinečnú identifikáciu a autentifikáciu fyzických osôb a systémov, ktoré majú prístup k informáciám finančných subjektov, s cieľom umožniť prideľovanie prístupových práv používateľov v súlade s článkom 21.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.