KAPITEL II Ytterligare delar av system, protokoll och verktyg för att minimera effekterna av IKT-risk

Åtkomsträttigheter till informationstillgångar, IKT-tillgångar och de funktioner som stöds av dem, samt till kritiska platser för den finansiella entitetens verksamhet, som ska hanteras enligt principerna om behovsenlig behörighet, behovsenlig användning och minsta möjliga behörighet, inklusive för fjärråtkomst och nödåtkomst.

Användaransvar, vilket säkerställer att användare kan identifieras när åtgärder utförs i IKT-systemen.

Förfaranden för kontohantering för att bevilja, ändra eller återkalla åtkomsträttigheter för användarkonton och generiska konton, även generiska administratörskonton.

Autentiseringsmetoder som står i proportion till den klassificering som avses i artikel 30.1 och till IKT-tillgångarnas allmänna riskprofil, och som bygger på ledande praxis.

Regelbunden översyn av åtkomsträttigheter och återkallande av dem när de inte längre behövs.

övervaka och hantera livscykeln för alla IKT-tillgångar,

övervaka huruvida IKT-tillgångarna stöds av finansiella entiteters tredjepartsleverantörer av IKT-tjänster, i tillämpliga fall,

identifiera kapacitetskrav för sina IKT-tillgångar och åtgärder för att upprätthålla och förbättra tillgängligheten och effektiviteten hos IKT-system och förhindra brist på IKT-kapacitet innan den uppstår,

utföra automatiserade sårbarhetsbedömningar och bedömningar av IKT-tillgångar i proportion till deras klassificering enligt artikel 30.1 och till IKT-tillgångens allmänna riskprofil, samt införa programfixar för att åtgärda identifierade sårbarheter,

hantera riskerna med föråldrade, ej stödda eller äldre IKT-tillgångar,

logga händelser relaterade till logisk och fysisk åtkomstkontroll, IKT-verksamhet, inklusive system- och nätverkstrafik, och hantering av IKT-förändringar,

identifiera och genomföra åtgärder för att övervaka och analysera information om onormal verksamhet och onormalt beteende för kritisk eller viktig IKT-verksamhet,

genomföra åtgärder för att övervaka relevant och uppdaterad information om cyberhot,

genomföra åtgärder för att identifiera möjliga informationsläckor, skadlig kod och andra säkerhetshot samt allmänt kända sårbarheter i programvara och hårdvara, och kontrollera om det finns motsvarande nya säkerhetsuppdateringar.

Identifiering och genomförande av åtgärder för att skydda uppgifter i bruk, under överföring och i vila.

Identifiering och genomförande av säkerhetsåtgärder avseende användning av programvara, datalagringsmedier, system och slutpunktsenheter som överför och lagrar den finansiella entitetens uppgifter.

Identifiering och genomförande av åtgärder för att förhindra och upptäcka obehöriga anslutningar till den finansiella entitetens nätverk, och för att säkra nätverkstrafiken mellan den finansiella entitetens interna nätverk och internet och andra externa anslutningar.

Identifiering och genomförande av åtgärder som säkerställer tillgänglighet, äkthet, integritet och konfidentialitet för uppgifter under överföring i nätverk.

En process för att på ett säkert sätt radera uppgifter som finns i lokalerna, eller som lagras externt, och som den finansiella entiteten inte längre behöver samla in eller lagra.

En process för att på ett säkert sätt bortskaffa eller obrukbargöra datalagringsenheter som finns i lokalerna, eller datalagringsenheter som lagras externt, vilka innehåller konfidentiell information.

Identifiering och genomförande av åtgärder för att säkerställa att distansarbete och användning av privata slutpunktsenheter inte negativt påverkar den finansiella entitetens förmåga att utföra sin kritiska verksamhet på ett adekvat, snabbt och säkert sätt.

säkerställa att de funktionella och icke-funktionella kraven, inbegripet kraven på informationssäkerhet, är tydligt specificerade och godkända av den berörda affärsfunktionen, innan något förvärv eller någon utveckling av IKT-system äger rum,

säkerställa testning och godkännande av IKT-system innan de används för första gången och innan ändringar av IKT-systemet införs i produktionsmiljön,

identifiera åtgärder för att minska risken för oavsiktlig ändring eller avsiktlig manipulering av IKT-systemen under utveckling och införande i produktionsmiljön.