KAPITOLA II Ďalšie prvky systémov, protokolov a nástrojov na minimalizáciu vplyvu IKT rizika

prístupové práva k informačným aktívam, IKT aktívam a funkciám podporovaným IKT aktívami, ako aj ku kritickým miestam prevádzky finančného subjektu sa riadia na základe potreby poznať (need-to-know), zásady potreby používať (need-to-use) a zásady minimálneho privilégia (least privilege principle), a to aj v prípade vzdialeného a núdzového prístupu;

zodpovednosť používateľa, ktorá zabezpečuje, aby používatelia mohli byť identifikovaní, pokiaľ ide o činnosti, ktoré v IKT systémoch vykonávajú;

postupy riadenia účtov na účely udeľovania, zmeny alebo odoberania prístupových práv k používateľským a generickým účtom vrátane generických správcovských účtov;

metódy autentifikácie, ktoré zodpovedajú klasifikácii uvedenej v článku 30 ods. 1 a celkovému rizikovému profilu IKT aktív a ktoré sú založené na popredných postupoch;

pravidelné preskúmanie prístupových práv a ich odobratie, keď už nie sú potrebné.

monitorujú a riadia životný cyklus všetkých IKT aktív;

monitorujú, či sú IKT aktíva podporované externými poskytovateľmi IKT služieb finančných subjektov, ak je to relevantné;

identifikujú kapacitné požiadavky na svoje IKT aktíva a opatrenia na udržiavanie a zlepšovanie dostupnosti a efektívnosti IKT systémov a predchádzanie nedostatku IKT kapacít pred ich vznikom;

vykonávajú automatizované skenovanie a posudzovanie zraniteľnosti IKT aktív, ktoré zodpovedá ich klasifikácii uvedenej v článku 30 ods. 1, a celkovému rizikovému profilu IKT aktíva, a zavádzajú bezpečnostné záplaty na riešenie identifikovaných zraniteľných miest;

riadia riziká týkajúce sa zastaraných, nepodporovaných alebo pôvodných IKT aktív;

zaznamenávajú udalosti súvisiace s kontrolou logického a fyzického prístupu, operáciami IKT vrátane činností v oblasti systémovej a sieťovej prevádzky a riadením zmien IKT;

identifikujú a vykonávajú opatrenia s cieľom monitorovať a analyzovať informácie o anomálnych činnostiach a správaní v prípade kritických alebo dôležitých operácií IKT;

vykonávajú opatrenia na monitorovanie relevantných a aktuálnych informácií o kybernetických hrozbách;

vykonávajú opatrenia na identifikáciu možných únikov informácií, škodlivého kódu a iných bezpečnostných hrozieb a verejne známych zraniteľných miest softvéru a hardvéru, ako aj kontrolujú zodpovedajúce nové bezpečnostné aktualizácie.

identifikácia a vykonávanie opatrení na ochranu údajov pri používaní, pri prenose a v pokoji;

identifikácia a vykonávanie bezpečnostných opatrení týkajúcich sa používania softvéru, médií na uchovávanie údajov, systémov a koncových zariadení, ktoré prenášajú a uchovávajú údaje finančného subjektu;

identifikácia a vykonávanie opatrení na predchádzanie a odhaľovanie neoprávnených pripojení k sieti finančného subjektu a na zabezpečenie sieťovej prevádzky medzi internými sieťami finančného subjektu a internetom a inými externými pripojeniami;

identifikácia a vykonávanie opatrení, ktorými sa zabezpečí dostupnosť, pravosť, integrita a dôvernosť údajov počas prenosov v sieti;

postup bezpečného vymazania údajov, ktoré sa nachádzajú v priestoroch finančného subjektu alebo sú uložené externe, ktoré finančný subjekt už nemusí zhromažďovať ani uchovávať;

postup bezpečnej likvidácie alebo vyradenia z prevádzky pamäťových zariadení na záznam údajov, ktoré sa nachádzajú v priestoroch finančného subjektu, alebo pamäťových zariadení na záznam údajov, ktoré sú uložené externe a ktoré obsahujú dôverné informácie;

identifikácia a vykonávanie opatrení na zabezpečenie toho, aby telepráca a používanie súkromných koncových zariadení nemali nepriaznivý vplyv na schopnosť finančného subjektu vykonávať svoje kritické činnosti primerane, včasne a bezpečne.

zabezpečí, aby pred každým nadobudnutím alebo vývojom IKT systémov dotknutá obchodná funkcia jasne špecifikovala a schválila funkčné a nefunkčné požiadavky vrátane požiadaviek na bezpečnosť informácií;

zabezpečí testovanie a schvaľovanie IKT systémov pred ich prvým použitím a pred zavedením zmien do ich produkčného prostredia;

identifikujú opatrenia na zmiernenie rizika neúmyselnej zmeny IKT systémov alebo úmyselnej manipulácie s IKT systémami počas ich vývoja a vykonávania v produkčnom prostredí.