»Tillæg VIII

Krav vedrørende informationssikkerhedsstyring og styring af driftskontinuitet

Informationssikkerhedsstyring

Disse krav gælder for hver enkelt deltager, medmindre deltageren påviser, at et specifikt krav ikke gælder for den pågældende. I forbindelse med fastsættelsen af anvendelsesområdet for kravene i infrastrukturen identificerer deltageren de elementer, der udgør en del af betalingstransaktionskæden. Nærmere bestemt starter betalingstransaktionskæden ved et indgangspunkt, dvs. et system, der er involveret i oprettelsen af transaktioner (f.eks. arbejdsstationer, front-office og back-officeapplikationer, middleware), og slutter ved det system, der har ansvaret for at sende meddelelsen til SWIFT (f.eks. en SWIFT VPN-boks) eller internet (hvor sidstnævnte finder anvendelse på internetbaseret adgang).

Krav 1.1: Informationssikkerhedspolitik

Ledelsen fastsætter en klar politisk kurs i overensstemmelse med de forretningsmæssige målsætninger og viser støtte og engagement hvad angår informationssikkerhed gennem udstedelse, godkendelse og vedligeholdelse af en informationssikkerhedspolitik, der sigter efter at forvalte informationssikkerhed og cyberrobusthed i hele organisationen med hensyn til identifikation, vurdering og behandling af risici for informationssikkerhed og cyberrobusthed. Politikken bør som minimum indeholde følgende afsnit: Mål, anvendelsesområde (herunder områder som organisation, human resources, forvaltning af aktiver osv.), principper og ansvarsfordeling.

Krav 1.2: Intern organisation

Der etableres en ramme for informationssikkerhed med henblik på at gennemføre informationssikkerhedspolitikken i organisationen. Ledelsen koordinerer og reviderer etableringen af rammen for informationssikkerhed med henblik på at sikre gennemførelsen af informationssikkerhedspolitikken (jf. krav 1.1) i hele organisationen, herunder tildelingen af tilstrækkelige ressourcer og tildelingen af sikkerhedsansvar til dette formål.

Krav 1.3: Eksterne parter

Sikkerheden i organisationens informations- og informationsbehandlingsfaciliteter bør ikke reduceres ved indførelse af og/eller afhængighed af en eller flere eksterne parter eller produkter/tjenester, som de leverer. Eksterne parters adgang til organisationens informationsbehandlingsfaciliteter skal kontrolleres. Når eksterne parter eller produkter/tjenester leveret af eksterne parter nødvendiggør adgang til organisationens informationsbehandlingsfaciliteter, skal der foretages en risikovurdering for at fastslå de sikkerhedsmæssige konsekvenser og kontrolkravene. Kontrollen aftales og fastlægges i en aftale med hver enkelt relevant ekstern part.

Krav 1.4: Forvaltning af aktiver

Alle informationsaktiver, forretningsprocesser og underliggende informationssystemer, såsom operativsystemer, infrastrukturer, forretningsapplikationer, standardprodukter, tjenester og brugerudviklede applikationer inden for betalingstransaktionskædens anvendelsesområde, skal medregnes og have en udpeget ejer. Ansvaret for vedligeholdelsen og gennemførelsen af passende kontroller i forretningsprocesserne og de dertil knyttede IT-komponenter til at beskytte informationsaktiverne skal tildeles. Bemærkning: ejeren kan uddelegere gennemførelsen af specifikke kontroller efter behov, men er fortsat ansvarlig for korrekt beskyttelse af aktiverne.

Krav 1.5: Klassifikation af informationsaktiver

Informationsaktiver klassificeres efter deres kritiske betydning for deltagerens smidige levering af tjenesten. Behovet, prioriteterne og den grad af beskyttelse, der kræves i forbindelse med håndteringen af informationsaktivet i de relevante forretningsprocesser, skal angives i klassifikationen, og der skal også tages hensyn til de underliggende IT-komponenter. En klassifikationsordning for informationsaktiver, der er godkendt af ledelsen, anvendes til at definere en passende række beskyttelseskontroller i hele informationsaktivernes livscyklus (herunder fjernelse og destruering af informationsaktiver) og til at meddele behovet for særlige håndteringsforanstaltninger.

Krav 1.6: Sikkerhed i forbindelse med human resources

Sikkerhedsansvaret behandles forud for ansættelsen i passende jobbeskrivelser og i arbejds- og ansættelsesvilkårene. Alle kandidater til ansættelse, kontrahenter og tredjepartsbrugere skal screenes på passende vis, navnlig for følsomme job. Ansatte, kontrahenter og tredjepartsbrugere af informationsbehandlingsfaciliteter skal underskrive en aftale om deres sikkerhedsroller og -ansvar. Der skal sikres tilstrækkelig opmærksomhed blandt alle ansatte, kontrahenter og tredjepartsbrugere, og de skal tilbydes uddannelse i sikkerhedsprocedurer og korrekt brug af informationsbehandlingsfaciliteter for at minimere eventuelle sikkerhedsrisici. Der indføres en formel disciplinærprocedure for håndtering af brud på sikkerheden for de ansatte. Der skal være ansvar for at sikre forvaltning af en ansats, kontrahents eller tredjepartsbrugers udtrædelse eller overførsel inden for organisationen, og at alt udstyr tilbageleveres og alle adgangsrettigheder fjernes.

Krav 1.7: Fysisk og miljømæssig sikkerhed

Faciliteter til behandling af kritiske eller følsomme oplysninger skal være anbragt i sikre områder, og beskyttet af fastlagte sikkerhedsområder med passende sikkerhedsbarrierer og adgangskontrol. De skal være fysisk beskyttet mod uautoriseret adgang, beskadigelse og forstyrrelse. Der bør kun gives adgang til personer, der er omfattet af krav 1.6. Der fastlægges procedurer og standarder med henblik på at beskytte fysiske medier, der indeholder informationsaktiver, når de transporteres.

Udstyr skal beskyttes mod fysiske og miljømæssige trusler. Beskyttelse af udstyr (herunder udstyr, der anvendes uden for anlægget) og mod fjernelse af ejendom er nødvendig for at mindske risikoen for uautoriseret adgang til oplysninger og for at sikre, at det pågældende udstyr eller oplysninger ikke går tabt eller beskadiges. Der kan være behov for særlige foranstaltninger for at beskytte mod fysiske trusler og for at beskytte støttefaciliteter såsom elforsynings- og kabelinfrastruktur.

Krav 1.8: Driftsstyring

Der fastlægges ansvarsområder og procedurer for forvaltning og drift af informationsbehandlingsfaciliteter, der dækker alle de underliggende systemer i hele betalingstransaktionskæden.

For så vidt angår driftsprocedurer, herunder teknisk administration af IT-systemer, gennemføres funktionsadskillelse, hvor det er relevant, for at mindske risikoen for uagtsom eller bevidst systemmisbrug. Hvis funktionsadskillelsen ikke kan gennemføres på grund af dokumenterede objektive årsager, gennemføres der kompenserende kontroller efter en formel risikoanalyse. Der indføres kontrol for at forebygge og afsløre, hvis der indføres skadelige koder for systemerne i betalingstransaktionskæden. Der indføres også kontrolforanstaltninger (herunder brugerkendskab) for at forebygge, opdage og fjerne skadelige koder. Mobilkoder må kun anvendes fra betroede kilder (f.eks. underskrevne Microsoft-komponenter og Java Applets). Browserens konfiguration (f.eks. brug af udvidelser og plugins) skal kontrolleres nøje.

Ledelsen gennemfører politikker for sikkerhedskopier og genoprettelse, og de pågældende genoprettelsespolitikker skal omfatte en plan over genoprettelsesprocessen, som testes regelmæssigt og mindst en gang årligt.

Systemer, der er kritiske for betalingssikkerheden, overvåges, og hændelser, der er relevante for informationssikkerheden, registreres. Der anvendes operatørregistrering for at sikre, at problemer med informationssystemerne identificeres. Operatørregistreringerne gennemgås regelmæssigt ved stikprøver på grundlag af operationernes betydning. Der anvendes systemovervågning til at kontrollere effektiviteten af kontroller, der anses for at være af afgørende betydning for betalingssikkerheden, og til at verificere overensstemmelsen med en model for adgangspolitik.

Informationsudveksling mellem organisationer baseres på en formel udvekslingspolitik, der gennemføres i overensstemmelse med udvekslingsaftaler mellem de involverede parter, og den skal være i overensstemmelse med eventuel relevant lovgivning. Softwarekomponenter fra tredjeparter, der anvendes til udveksling af oplysninger med TARGET2 (som software modtaget fra en tjenestevirksomhed i scenarie 2 i afsnittet om anvendelsesområdet i dokumentationen for TARGET 2-selvcertificeringsordningen), anvendes i henhold til en formel aftale med tredjeparten.

Krav 1.9: Adgangskontrol

Adgang til informationsaktiver skal være begrundet i forretningsmæssige krav (»need-to-know« (1)) og i henhold til den etablerede ramme for virksomhedspolitikker (herunder informationssikkerhedspolitikken). Der skal fastlægges klare regler for adgangskontrol baseret på princippet om det mindst mulige privilegium (2) for nøje at afspejle behovene i de tilsvarende forretnings- og IT-processer. Logisk adgangskontrol (f.eks. til backupstyring) bør, hvor det er relevant, være i overensstemmelse med den fysiske adgangskontrol, med mindre der er indført passende kompenserende kontroller (f.eks. kryptering, anonymisering af personoplysninger).

Der skal være indført formelle og dokumenterede procedurer til kontrol af tildelingen af adgangsrettigheder til informationssystemer og -tjenester, der er omfattet af betalingstransaktionskæden. Procedurerne skal dække alle faser af brugeradgangens livscyklus fra den første registrering af nye brugere til den endelige afregistrering af brugere, der ikke længere har brug for adgang.

Der lægges, hvor det er relevant, særlig vægt på tildelingen af adgangsrettigheder af en så kritisk karakter, at misbrug af disse adgangsrettigheder kan få alvorlige negative følger for deltagerens operationer (f.eks.adgangsrettigheder der giver tilladelse til systemadministration, tilsidesættelse af systemkontrol, direkte adgang til forretningsdata).

Der skal indføres passende kontrol for at identificere, autentificere og bemyndige brugere på bestemte steder i organisationens netværk, f.eks. lokal- og fjernadgang til systemer i betalingstransaktionskæden. For at sikre ansvarlighed må personlige konti ikke deles.

For adgangskoder fastsættes og håndhæves regler ved hjælp af specifikke kontroller for at sikre, at passwords ikke let kan gættes, f.eks. regler om kompleksitet og begrænset gyldighed. Der skal oprettes en genoprettelses- og/eller nulstillingsprotokol for adgangskoder.

Der skal udvikles og gennemføres en politik for anvendelse af kryptografiske kontroller for at beskytte oplysningernes fortrolighed, ægthed og integritet. Der skal fastlægges en central forvaltningspolitik til støtte for anvendelsen af kryptografiske kontroller.

Der skal være en politik for at se fortrolige oplysninger på skærmen eller på tryk (f.eks. en klar skærm, en klar skrivebordspolitik) for at mindske risikoen for uautoriseret adgang.

Ved fjernarbejde skal risiciene ved at arbejde i et ubeskyttet miljø tages i betragtning, og der skal anvendes passende teknisk og organisatorisk kontrol.

Krav 1.10: Anskaffelse, udvikling og vedligeholdelse af informationssystemer

Sikkerhedskrav skal identificeres og aftales forud for udviklingen og/eller implementeringen af informationssystemer.

Der skal indbygges passende kontroller i applikationer, herunder brugerudviklede applikationer, for at sikre korrekt behandling. Kontrollerne omfatter validering af inputdata, intern behandling og outputdata. Der kan være behov for yderligere kontrol af systemer, der behandler eller påvirker følsomme, værdifulde eller kritiske oplysninger. Sådanne kontroller fastlægges på grundlag af sikkerhedskrav og risikovurdering i overensstemmelse med de fastlagte politikker (f.eks. informationssikkerhedspolitik, kryptografisk kontrolpolitik).

De operationelle krav til nye systemer skal fastlægges, dokumenteres og testes, inden de accepteres og anvendes. Hvad angår netsikkerhed bør der gennemføres passende kontrol, herunder segmentering og sikker forvaltning, baseret på datastrømmenes betydning og risikoniveauet i organisationens netværkzoner. Der skal være specifik kontrol for at beskytte følsomme oplysninger, der passerer gennem offentlige netværk.

Adgang til systemfiler og programkildekode skal kontrolleres, og IT-projekter og støtteaktiviteter skal gennemføres på en sikker måde. Der skal udvises forsigtighed for at undgå eksponering af følsomme data i testmiljøer. Projekt- og støttemiljøer kontrolleres nøje. Indførelse af ændringer i produktionen kontrolleres nøje. Der foretages en risikovurdering af de større ændringer, der skal indføres i produktion.

Regelmæssige testaktiviteter for produktionssystemernes sikkerhed skal også udføres i henhold til en forud fastlagt plan på grundlag af resultatet af en risikovurdering, og sikkerhedstestning skal som minimum omfatte sårbarhedsanalyser. Alle de mangler, der blev fremhævet under testaktiviteterne, skal vurderes, og der udarbejdes handlingsplaner til afhjælpning af eventuelle konstaterede mangler, som der rettidigt følges op på.

Krav 1.11: Informationssikkerhed i relationer til leverandører (3)

For at sikre beskyttelse af deltagerens interne informationssystemer, som er tilgængelige for leverandørerne, skal informationssikkerhedskrav til afbødning af de risici, der er forbundet med leverandørens adgang, dokumenteres og aftales formelt med leverandøren.

Krav 1.12: Håndtering af informationssikkerhedshændelser og forbedringer

Med henblik på at sikre en konsekvent og effektiv tilgang til håndteringen af informationssikkerhedshændelser, herunder kommunikation om sikkerhedshændelser og svagheder, skal roller, ansvarsområder og procedurer på virksomhedsniveau og teknisk niveau, fastlægges og afprøves for at sikre en hurtig, effektiv og velordnet og sikker inddrivelse efter informationssikkerhedshændelser, herunder scenarier i forbindelse med en cyberrelateret årsag (f.eks. svig, der forfølges af en udefrakommende angriber eller en insider). Ansatte, der er involveret i disse procedurer, skal være tilstrækkeligt uddannet.

Krav 1.13: Vurdering af teknisk overholdelse

En deltagers interne informationssystemer (f.eks. back office-systemer, interne netværk og eksterne netværksforbindelser) skal regelmæssigt vurderes hvad angår overholdelse af organisationens fastlagte politiske rammer (f.eks. informationssikkerhedspolitik, kryptografisk kontrolpolitik).

Krav 1.14: Virtualisering

Virtuelle maskiner til gæster skal overholde alle de sikkerhedskontroller, der er indstillet til fysisk hardware og systemer (f.eks. hærdning og logning). Kontrol vedrørende virtualiseringsplatforme skal omfatte: hærdning af virtualiseringsplatformen og værtsoperativsystemet, regelmæssige rettelser, streng adskillelse (f.eks. produktion og udvikling). Central forvaltning, logning og overvågning samt forvaltning af adgangsrettigheder, navnlig for højt privilegerede konti, gennemføres på grundlag af en risikovurdering. Virtuelle maskiner til gæster, der forvaltes af samme virtualiseringsplatform, skal have en lignende risikoprofil.

Krav 1.15: Cloud computing

Anvendelsen af offentlige og/eller hybride cloud-løsninger i betalingstransaktionskæden baseres på en formel risikovurdering, der tager hensyn til de tekniske kontroller og kontraktbestemmelserne vedrørende cloudløsningen.

Hvis der anvendes hybride cloud-løsninger, er det underforstået, at det overordnede systems kritiske niveau er det højeste af de tilsluttede systemer. Alle komponenter i hybridløsningerne på stedet skal holdes adskilt fra de andre systemer på stedet.

Styring af driftskontinuitet (gælder kun for kritiske deltagere)

Følgende krav (2.1-2.6) vedrører styring af driftskontinuitet. Hver enkelt TARGET2-deltager, der af Eurosystemet er klassificeret som afgørende for, at TARGET2-systemet kan fungere gnidningsløst, skal have en strategi for forretningskontinuitet, der omfatter følgende elementer.