The financial entities referred to in Article 16(1) of Regulation (EU) 2022/2554 shall, as part of their systems, protocols, and tools, develop and implement safeguards that ensure the security of networks against intrusions and data misuse and that preserve the availability, authenticity, integrity, and confidentiality of data. In particular, financial entities shall, taking into account the classification referred to in Article 30(1) of this Regulation, establish all of the following:
(a) the identification and implementation of measures to protect data in use, in transit, and at rest;
(b) the identification and implementation of security measures regarding the use of software, data storage media, systems and endpoint devices that transfer and store data of the financial entity;
(c) the identification and implementation of measures to prevent and detect unauthorised connections to the financial entity’s network, and to secure the network traffic between the financial entity’s internal networks and the internet and other external connections;
(d) the identification and implementation of measures that ensure the availability, authenticity, integrity, and confidentiality of data during network transmissions;
(e) a process to securely delete data on premises, or that are stored externally, that the financial entity no longer needs to collect or store;
(f) a process to securely dispose of, or decommission, data storage devices on premises, or data storage devices that are stored externally, that contain confidential information;
(g) the identification and implementation of measures to ensure that teleworking and the use of private endpoint devices does not adversely impact the financial entity’s ability to carry out its critical activities in an adequate, timely, and secure manner.
Valitaan ja asennetaan haittaohjelmien havaitsemis- ja korjausohjelmat keskitetysti ja päivitetään ne säännöllisesti tietokoneiden ja tietovälineiden ennaltaehkäisevää tai säännöllistä tutkimista varten.
Ohjelmien tulisi tarkastaa ainakin seuraavat asiat:
Organisaatio suojaa julkisten tai yksityisten verkkojen kautta siirrettyjä tietoja kolmansien osapuolten lukemiselta tai manipuloinnilta:
Kyberrikolliset voivat hyödyntää konfigurointivirheitä tai teknisiä haavoittuvuuksia sovelluksissa, palomuureissa tai verkoissa päästäkseen käsiksi tietoihimme.
Organisaation on käytettävä defense-in-depth -tekniikoita verkkohyökkäyksiltä suojautumiseen, niiden havaitsemiseen sekä niihin vastaamiseen. Tekniikoiden pitäisi soveltua niin fyysisten, loogisten kuin hallinnollisten kontrollien valvontaan.
Kannettavat tietokoneet on suojattu full-disk -salauksella.
The organization should have measures to ensure that teleworking and use of private endpoint devices are secured enough to not cause an impact to the organizations critical activities.
The organization must have process to securely delete data that in longer needs either on premises or data that is stored externally.
There also must be a secure process to dispose and decommission data storage devices, on-premises or external, that contain confidential information.
Implementing data deletion policies and using certified data erasure tools can enhance data security and compliance.
Pääsynvalvonnan toteuttaminen palveluihin käyttäjien ja laitteiden tuntemuksen perusteella.
Esimerkiksi, jos käyttäjä kirjautuu sisään hallitsemattomalla laitteella (organisaatio luottaa käyttäjään, mutta ei hallitse laitetta), hän saa pääsyn harvempiin palveluihin kuin jos käyttäjä kirjautuisi sisään organisaation hallinnoimalla laitteella (organisaatio tuntee sekä käyttäjän että laitteen).
Organisaatiolla on oltava toimenpiteitä, joilla varmistetaan oikea tiedonsiirto ja osoitteet.
Sähköisessä tiedonvaihdossa on käytettävä siirrettävien tietojen luokitteluun soveltuvaa sisältö- tai siirtosalausta.
Organisaation on otettava käyttöön käytäntöjä ja menettelytapoja, jotta palveluista ulos tuleva tieto on kokonaista ja oikea-aikaista. Menettelytavoissa on otettava huomioon:
Siirrettävä data täytyy suojata käyttämällä kryptografisia menetelmiä. Siirrettävän datan luottamuksellisuuden ja eheyden suojaaminen koskee sisäisiä ja ulkoisia verkko sekä kaikkia järjestelmiä, jotka voivat siirtää tietoa. Näitä ovat esimerkiksi:
Siirrettävä data voidaan suojata fyysisin tai loogisin keinoin.
Sopivien laitteiden ja säilytystilojen järjestäminen etätyötä varten, jos henkilökohtaisten laitteiden käyttö organisaation valvonnan ulkopuolella ei ole sallittua.
Jos käytetään henkilökohtaisia laitteita, organisaation olisi käytettävä erillisiä profiileja (esim. Apple® Configuration Profile tai AndroidTM Work Profile), jotta työtiedot ja -sovellukset voidaan erottaa henkilökohtaisista tiedoista ja sovelluksista.
Päätelaitteiden tietoturvanhallintajärjestelmän avulla voidaan vaatia päätelaitteilta haluttuja kriteerejä, ennen kuin niille sallitaan yhteys verkon resursseihin. Päätelaitteet voivat olla kannettavia tietokoneita, älypuhelimia, tabletteja tai alakohtaista erikoislaitteistoa.
Kriteerejä verkkoresurssien käytölle voivat olla mm. hyväksytty käyttöjärjestelmä, VPN- ja antivirus-järjestelmät sekä näiden päivitysten ajantasaisuus.
Luottamuksellisen tiedon varastoimista siirrettävissä tietovälineissä pyritään välttämään. Kun siirrettäviä tietovälineitä käytetään luottamuksellisen tiedon siirtämiseen, käytetään asiallista suojausta (esim. koko levyn salausta pre-boot autentikoinnilla).
Työkäyttöön tarkoitetuiksi älypuhelimiksi ja tableteiksi valitaan laitteita, jotka tukevat full-device -salausta ja salaukset asetetaan päälle.
Tehdessään etätyötä työntekijän on noudatettava seuraavia asioita:
Organisaatio pitää kirjaa tietojärjestelmän liittymistä muihin tietojärjestelmiin sekä liittymissä käytettävistä tiedonsiirtotavoista.
Dokumentaatio liittymien suhteen on katselmoitava säännöllisesti sekä järjestelmiin tehtävien muutosten jälkeen.
DLP-järjestelmällä pyritään estämään sensitiivisten tietojen häviämistä tai vuotamista. Järjestelmän avulla voidaan estää ei-haluttuja toimia valvomalla, havaitsemalla ja estämällä sensitiivisen datan käsittely ilman haluttujen ehtojen täyttymistä. Estämistä voidaan tehdä käytön aikana (in-use, päätelaitteiden toimenpiteet), liikkeessä (in-transit, verkkoliikenne) tai tallennuspaikoissa (at-rest).
Digiturvamallissa kaikki vaatimuskehikkojen vaatimukset kohdistetaan universaaleihin tietoturvatehtäviin, jotta voitte muodostaa yksittäisen suunnitelman, joka täyttää ison kasan vaatimuksia.
.png)
Paranna osaamistasi viikoittaisten webinaarien, videokurssien, artikkeleiden ja blogien avulla.
