+Network Design and Segmentation

Network Design and Segmentation

Design the network infrastructure in a way that allows it to be instantaneously severed or segmented to minimize and prevent contagion. Have provisions for temporarily isolating subnetworks and network components/devices. Ensure redundant capabilities are equipped with sufficient resources, capabilities, and functions (e.g., redundant network setup). Systems and networks must be segregated based on function criticality, classification, and overall risk profile. Maintain a separate network for asset administration. Provide a Layer 3 or 7 (L3/L7) visual representation of all networks and data flows. Conduct yearly performance reviews of the network architecture/design.

1. Pregled

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani predpisi

2. Ugotovljene zahteve

Zahteve

3. Povezani predpisi

Predpisi
EULAW Article 9 4

4.   As part of the ICT risk management framework referred to in Article 6(1), financial entities shall:

(a)

develop and document an information security policy defining rules to protect the availability, authenticity, integrity and confidentiality of data, information assets and ICT assets, including those of their customers, where applicable;

(b)

following a risk-based approach, establish a sound network and infrastructure management structure using appropriate techniques, methods and protocols that may include implementing automated mechanisms to isolate affected information assets in the event of cyber-attacks;

(c)

implement policies that limit the physical or logical access to information assets and ICT assets to what is required for legitimate and approved functions and activities only, and establish to that end a set of policies, procedures and controls that address access rights and ensure a sound administration thereof;

(d)

implement policies and protocols for strong authentication mechanisms, based on relevant standards and dedicated control systems, and protection measures of cryptographic keys whereby data is encrypted based on results of approved data classification and ICT risk assessment processes;

(e)

implement documented policies, procedures and controls for ICT change management, including changes to software, hardware, firmware components, systems or security parameters, that are based on a risk assessment approach and are an integral part of the financial entity’s overall change management process, in order to ensure that all changes to ICT systems are recorded, tested, assessed, approved, implemented and verified in a controlled manner;

(f)

have appropriate and comprehensive documented policies for patches and updates.

For the purposes of the first subparagraph, point (b), financial entities shall design the network connection infrastructure in a way that allows it to be instantaneously severed or segmented in order to minimise and prevent contagion, especially for interconnected financial processes.

For the purposes of the first subparagraph, point (e), the ICT change management process shall be approved by appropriate lines of management and shall have specific protocols in place.
EULAW Article 12 4

4.   Financial entities, other than microenterprises, shall maintain redundant ICT capacities equipped with resources, capabilities and functions that are adequate to ensure business needs. Microenterprises shall assess the need to maintain such redundant ICT capacities based on their risk profile.
EULAW Člen 13 Upravljanje varnosti omrežja

Člen 13

Upravljanje varnosti omrežja

Finančni subjekti v okviru zaščitnih ukrepov, ki zagotavljajo varnost omrežij pred vdori in zlorabo podatkov, razvijejo, dokumentirajo in izvajajo politike, postopke, protokole in orodja za upravljanje varnosti omrežja, vključno z vsem naslednjim:

(a) 

ločevanjem in segmentacijo sistemov in omrežij IKT ob upoštevanju:

(i) 

kritičnosti ali pomembnosti funkcije, ki jo podpirajo ti sistemi in omrežja IKT;

(ii) 

razvrstitve, določene v skladu s členom 8(1) Uredbe (EU) 2022/2554;

(iii) 

splošnega profila tveganja sredstev IKT, ki uporabljajo te sisteme in omrežja IKT;

(b) 

dokumentacijo vseh omrežnih povezav in podatkovnih tokov finančnega subjekta;

(c) 

uporabo ločenega in namenskega omrežja za upravljanje sredstev IKT;

(d) 

opredelitvijo in izvajanjem nadzora dostopa do omrežja, da se preprečijo in odkrijejo povezave katere koli nepooblaščene naprave ali sistema ali katere koli končne točke, ki ne izpolnjuje varnostnih zahtev finančnega subjekta, z omrežjem finančnega subjekta;

(e) 

šifriranjem omrežnih povezav, ki se potekajo prek korporativnih omrežij, javnih omrežij, domačih omrežij, omrežij tretjih strani in brezžičnih omrežij, za uporabljene komunikacijske protokole ob upoštevanju rezultatov odobrene razvrstitve podatkov, rezultatov ocene tveganja na področju IKT in šifriranja omrežnih povezav iz člena 6(2);

(f) 

zasnovo omrežij v skladu z zahtevami za varnost IKT, ki jih določi finančni subjekt, ob upoštevanju vodilnih praks za zagotavljanje zaupnosti, celovitosti in razpoložljivosti omrežja;

(g) 

zagotavljanjem omrežnega prometa med notranjimi omrežji ter internetom in drugimi zunanjimi povezavami;

(h) 

opredelitvijo vlog, odgovornosti in korakov za določitev, izvajanje, odobritev, spremembo in pregled pravil za požarni zid in filtrov povezav;

(i) 

izvajanjem pregledov arhitekture omrežja in varnostne zasnove omrežja enkrat letno, za mikropodjetja pa redno, da se prepoznajo morebitne ranljivosti;

(j) 

ukrepi za začasno osamitev podomrežij ter omrežnih komponent in naprav, kadar je potrebno;

(k) 

izvajanjem osnove varne konfiguracije vseh omrežnih komponent ter utrjevanjem varnosti omrežja in omrežnih naprav v skladu z morebitnimi navodili prodajalca, standardi, kot so opredeljeni v členu 2, točka 1, Uredbe (EU) št. 1025/2012, kadar je ustrezno, in vodilnimi praksami;

(l) 

postopki za omejitev, zaklepanje in prekinitev sistema in sej na daljavo po določenem obdobju neaktivnosti;

(m) 

za pogodbe o omrežnih storitvah:

(i) 

opredelitvijo in določitvijo ukrepov za varnost IKT in informacijsko varnost, ravni storitev in zahtev glede upravljanja vseh omrežnih storitev;

(ii) 

ali te storitve opravlja ponudnik storitev IKT znotraj skupine ali tretji ponudniki storitev IKT.

Za namene točke (h) finančni subjekti redno pregledujejo pravila za požarni zid in filtre povezav v skladu z razvrstitvijo, določeno v skladu s členom 8(1) Uredbe (EU) 2022/2554, in splošnim profilom tveganja zadevnih sistemov IKT. Za sisteme IKT, ki podpirajo kritične ali pomembne funkcije, finančni subjekti vsaj vsakih šest mesecev preverijo ustreznost obstoječih pravil za požarni zid in filtrov povezav.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.