POGLAVJE II DODATNI ELEMENTI SISTEMOV, PROTOKOLOV IN ORODIJ ZA ZMANJŠANJE UČINKA TVEGANJA NA PODROČJU IKT NA NAJNIŽJO MOŽNO RAVEN

pravice dostopa do informacijskih sredstev, sredstev IKT in njihovih podprtih funkcij ter do kritičnih lokacij delovanja finančnega subjekta se upravljajo na podlagi potrebe po seznanitvi, potrebe po uporabi in delovanja ob najmanjših privilegijih, vključno za oddaljeni dostop in dostop v sili;

sledljivost aktivnosti uporabniškega računa, ki zagotavlja, da je za dejanja, ki se izvajajo v sistemih IKT, mogoče prepoznati uporabnike;

postopke za upravljanje računov za podelitev, spremembo ali preklic pravic dostopa za uporabniške in generične račune, tudi za generične skrbniške račune:

metode avtentikacije, ki so sorazmerne z razvrstitvijo iz člena 30(1) in splošnim profilom tveganja sredstev IKT ter temeljijo na vodilnih praksah;

pravice dostopa se redno pregledujejo in odvzamejo, ko niso več potrebne.

spremljajo in upravljajo življenjski cikel vseh sredstev IKT;

spremljajo, ali sredstva IKT podpirajo tretji ponudniki storitev IKT finančnih subjektov, kadar je ustrezno;

opredelijo zahteve glede zmogljivostih svojih sredstev IKT in ukrepe za ohranjanje in izboljšanje razpoložljivosti in učinkovitosti sistemov IKT ter preprečevanje pomanjkanja zmogljivosti IKT, preden se pojavi;

izvajajo avtomatizirano pregledovanje in ocenjevanje ranljivosti sredstev IKT, in sicer sorazmerno z njihovo razvrstitvijo iz člena 30(1) in splošnim profilom tveganja sredstva IKT, ter uvedejo popravke za odpravo prepoznanih ranljivosti;

obvladujejo tveganja, povezana z zastarelimi, nepodprtimi ali obstoječimi sredstvi IKT;

beležijo dogodke, povezane z nadzorom logičnega in fizičnega dostopa, delovanjem IKT, v dnevnike, vključno z dejavnostmi v zvezi s sistemom in omrežnim prometom, ter upravljanjem sprememb na področju IKT;

opredelijo in izvajajo ukrepe za spremljanje in analizo informacij o neobičajnem ravnanju in vedenju za kritično ali pomembno delovanje IKT;

izvajajo ukrepe za spremljanje relevantnih in najnovejših informacij o kibernetskih grožnjah;

izvajajo ukrepe za identifikacijo morebitnih uhajanj informacij, zlonamernih kod in drugih varnostnih groženj ter javno znanih ranljivosti v programski in strojni opremi ter preverjajo, ali obstajajo ustrezne nove varnostne posodobitve.

opredelitev in izvajanje ukrepov za varstvo podatkov v uporabi, med prenosom in v mirovanju;

opredelitev in izvajanje varnostnih ukrepov glede uporabe programske opreme, naprav za shranjevanje podatkov, sistemov in končnih naprav, s katerimi se prenašajo in shranjujejo podatki finančnega subjekta;

opredelitev in izvajanje ukrepov za preprečevanje in odkrivanje nepooblaščenih povezav z omrežjem finančnega subjekta ter za zaščito omrežnega prometa med notranjimi omrežji finančnega subjekta ter internetom in drugimi zunanjimi povezavami;

opredelitev in izvajanje ukrepov, ki zagotavljajo razpoložljivost, avtentičnost, celovitost in zaupnost podatkov med prenosi v omrežju;

postopek za varno brisanje podatkov v prostorih ali tistih, ki se hranijo zunaj njih, ki jih finančnemu subjektu ni več treba zbirati ali hraniti;

postopek za varno odstranitev ali razgradnjo naprav za shranjevanje podatkov v prostorih ali naprav za shranjevanje podatkov, ki se hranijo zunaj njih, ki vsebujejo zaupne informacije;

opredelitev in izvajanje ukrepov za zagotovitev, da delo na daljavo in uporaba zasebnih končnih naprav ne vplivata negativno na zmožnost finančnega subjekta, da ustrezno, pravočasno in varno izvaja svoje kritične dejavnosti.

zagotovi, da zadevna poslovna funkcija pred kakršno koli pridobitvijo ali razvojem sistemov IKT jasno določi in odobri funkcionalne in nefunkcionalne zahteve, vključno z zahtevami glede informacijske varnosti;

zagotovi testiranje in odobritev sistemov IKT pred njihovo prvo uporabo in pred uvedbo sprememb v produkcijsko okolje;

opredeli ukrepe za zmanjšanje tveganja nenamerne spremembe ali namerne manipulacije sistemov IKT med razvojem in izvajanjem v produkcijskem okolju.