NASLOV III CERTIFIKACIJSKI OKVIR ZA KIBERNETSKO VARNOST

zaščititi shranjene, prenesene ali kako drugače obdelane podatke pred naključno ali nepooblaščeno hrambo, obdelavo, dostopom ali razkritjem med celotnim življenjskim ciklom proizvoda IKT, storitve IKT ali postopka IKT;

zaščititi shranjene, prenesene ali kako drugače obdelane podatke pred naključnim ali nepooblaščenim uničenjem, izgubo ali spremembo ali slabo razpoložljivostjo med celotnim življenjskim ciklom proizvoda IKT, storitve IKT ali postopka IKT;

pooblaščene osebe, programi ali stroji imajo dostop zgolj do podatkov, storitev ali funkcij, na katere se nanašajo njihove pravice do dostopa;

opredeliti in evidentirati znane odvisnosti in šibke točke;

beležiti, do katerih podatkov, storitev ali funkcij se je dostopalo ali kateri podatki, funkcije ali storitve so se uporabljali oziroma kako drugače obdelovali ter kdaj in kdo je do njih dostopal oziroma jih je uporabljal ali obdeloval;

omogočiti preverjanje, do katerih podatkov, storitev ali funkcij se je dostopalo ali kateri podatki, storitve ali funkcije so se uporabljali oziroma kako drugače obdelovali ter kdaj in kdo je do njih dostopal oziroma jih je uporabljal ali obdeloval;

preveriti, da proizvodi IKT, storitve IKT in postopki IKT ne vsebujejo znanih šibkih točk;

v primeru fizičnega ali tehničnega incidenta pravočasno povrniti razpoložljivost in dostop do podatkov, storitev in funkcij;

proizvodi IKT, storitve IKT in postopki IKT so razviti v skladu z načelom privzete in vgrajene varnosti;

proizvodi IKT, storitve IKT in postopki IKT so opremljeni s posodobljeno programsko in strojno opremo, ki ne vsebuje javno znanih šibkih točk, in na voljo so mehanizmi, ki zagotavljajo varno posodabljanje.

da se upravljane varnostne storitve izvajajo z ustreznimi kompetencami, strokovnim znanjem in izkušnjami, vključno s tem, da ima osebje, odgovorno za izvajanje teh storitev, zadostno in ustrezno raven tehničnega znanja in kompetenc na določenem področju, zadostne in ustrezne izkušnje ter najvišjo stopnjo poklicne integritete;

da ima ponudnik vzpostavljene ustrezne notranje postopke za zagotovitev, da se upravljane varnostne storitve vedno izvajajo na zadostni in ustrezni ravni kakovosti;

da se zaščitijo podatki, do katerih se dostopa ali ki se shranjujejo, prenašajo ali kako drugače obdelujejo v zvezi z izvajanjem upravljanih varnostnih storitev pred naključnim ali nepooblaščenim dostopom, hrambo, razkritjem, uničenjem, drugo obdelavo ali izgubo ali spremembo ali slabo razpoložljivostjo;

da se v primeru fizičnega ali tehničnega incidenta zagotovi pravočasna povrnitev razpoložljivosti in dostopa do podatkov, storitev in funkcij;

da imajo pooblaščene osebe, programi ali stroji dostop zgolj do podatkov, storitev ali funkcij, na katere se nanašajo njihove pravice do dostopa;

da se evidentira in omogoči ocena, do katerih podatkov, storitev ali funkcij se je dostopalo ali kateri podatki, storitve ali funkcije so se uporabljali oziroma kako drugače obdelovali ter kdaj in kdo je do njih dostopal oziroma jih je uporabljal ali obdeloval;

da so proizvodi IKT, storitve IKT in postopki IKT, ki se uporabljajo pri zagotavljanju upravljanih varnostnih storitev, razviti v skladu z načelom privzete in vgrajene varnosti, ter, kadar je ustrezno, vključujejo najnovejše varnostne posodobitve in ne vsebujejo javno znanih šibkih točk.