TILLÆG VII

KRAV VEDRØRENDE INFORMATIONSSIKKERHEDSSTYRING OG STYRING AF DRIFTSKONTINUITET

INDEHAVERE AF MCA, INDEHAVERE AF T2S DCA OG INDEHAVERE AF TIPS DCA

Disse krav til håndtering af informationssikkerhed gælder ikke for indehavere af MCA, indehavere af T2S DCA og indehavere af TIPS DCA.

INDEHAVERE AF RTGS DCA OG AS

De krav, der fremgår af sektion 1 i dette tillæg VII (håndtering af informationssikkerhed) er gældende for alle indehavere af RTGS DCA og AS, bortset fra når en indehaver af en RTGS DCA eller en AS kan godtgøre, at et specifikt krav ikke er relevant. I forbindelse med fastsættelsen af anvendelsesområdet for kravene i infrastrukturen identificerer deltageren de elementer, der udgør en del af betalingstransaktionskæden. Konkret begynder betalingstransaktionskæden ved et indgangspunkt (PoE), dvs. et system involveret i oprettelse af transaktioner (f.eks. arbejdsstationer, front office- og back office-programmer, middleware), og slutter ved det system, der er ansvarligt for at sende beskeden til NSP'en.

De krav, der fremgår af sektion 2 i dette tillæg VII (driftskontinuitet), er gældende for indehavere af RTGS DCA og AS udpeget af Eurosystemet som vigtige i forhold til problemfri funktion af TARGET-systemet på baggrund af kriterier, der løbende opdateres og offentliggøres på Den Europæiske Centralbanks websted.

1. Informationssikkerhedsstyring

Krav 1.1: Informationssikkerhedspolitik

Ledelsen fastsætter en klar politisk kurs i overensstemmelse med de forretningsmæssige målsætninger og viser støtte og engagement hvad angår informationssikkerhed igennem udstedelse, godkendelse og vedligeholdelse af en informationssikkerhedspolitik, der sigter efter at forvalte informationssikkerhed og cyberrobusthed i hele organisationen med hensyn til identifikation, vurdering og behandling af risici for informationssikkerhed og cyberrobusthed. Politikken bør som minimum indeholde følgende afsnit: Mål, anvendelsesområde (herunder områder som organisation, human resources, forvaltning af aktiver osv.), principper og ansvarsfordeling.

Krav 1.2: Interne regler

Der etableres en ramme for informationssikkerhed med henblik på at gennemføre informationssikkerhedspolitikken i organisationen. Ledelsen koordinerer og reviderer etableringen af rammen for informationssikkerhed med henblik på at sikre gennemførelsen af informationssikkerhedspolitikken (jf. krav 1.1) i hele organisationen, herunder tildelingen af tilstrækkelige ressourcer og tildelingen af sikkerhedsansvar til dette formål.

Krav 1.3: Eksterne parter

Sikkerheden i organisationens informations- og informationsbehandlingsfaciliteter bør ikke reduceres ved indførelse af og/eller afhængighed af en eller flere eksterne parter eller produkter/tjenester, som de leverer. Eksterne parters adgang til organisationens informationsbehandlingsfaciliteter skal kontrolleres. Når eksterne parter eller produkter/tjenester leveret af eksterne parter nødvendiggør adgang til organisationens informationsbehandlingsfaciliteter, skal der foretages en risikovurdering for at fastslå de sikkerhedsmæssige konsekvenser og kontrolkravene. Kontrollen aftales og fastlægges i en aftale med hver enkelt relevant ekstern part.

Krav 1.4: Forvaltning af aktiver

Alle informationsaktiver, forretningsprocesser og underliggende informationssystemer, såsom operativsystemer, infrastrukturer, forretningsapplikationer, standardprodukter, tjenester og brugerudviklede applikationer inden for betalingstransaktionskædens anvendelsesområde, skal medregnes og have en udpeget ejer. Ansvaret for vedligeholdelsen og gennemførelsen af passende kontroller i forretningsprocesserne og de dertil knyttede IT-komponenter til at beskytte informationsaktiverne skal tildeles. Bemærkning: ejeren kan uddelegere gennemførelsen af specifikke kontroller efter behov, men er fortsat ansvarlig for korrekt beskyttelse af aktiverne.

Krav 1.5: Klassifikation af informationsaktiver

Informationsaktiver klassificeres efter deres kritiske betydning for deltagerens smidige levering af tjenesten. Behovet, prioriteterne og den grad af beskyttelse, der kræves i forbindelse med håndteringen af informationsaktivet i de relevante forretningsprocesser, skal angives i klassifikationen, og der skal også tages hensyn til de underliggende IT-komponenter. En klassifikationsordning for informationsaktiver, der er godkendt af ledelsen, anvendes til at definere en passende række beskyttelseskontroller i hele informationsaktivernes livscyklus (herunder fjernelse og destruering af informationsaktiver) og til at meddele behovet for særlige håndteringsforanstaltninger.

Krav 1.6: personalesikkerhed

Sikkerhedsansvaret behandles forud for ansættelsen i passende jobbeskrivelser og i arbejds- og ansættelsesvilkårene. Alle kandidater til ansættelse, kontrahenter og tredjepartsbrugere skal screenes på passende vis, navnlig for følsomme job. Ansatte, kontrahenter og tredjepartsbrugere af informationsbehandlingsfaciliteter skal underskrive en aftale om deres sikkerhedsroller og -ansvar. Der skal sikres tilstrækkelig opmærksomhed blandt alle ansatte, kontrahenter og tredjepartsbrugere, og de skal tilbydes uddannelse i sikkerhedsprocedurer og korrekt brug af informationsbehandlingsfaciliteter for at minimere eventuelle sikkerhedsrisici. Der indføres en formel disciplinærprocedure for håndtering af brud på sikkerheden for de ansatte. Der skal være ansvar for at sikre forvaltning af en ansats, kontrahents eller tredjepartsbrugers udtrædelse eller overførsel inden for organisationen, og at alt udstyr tilbageleveres og alle adgangsrettigheder fjernes.

Krav 1.7: Fysisk og miljømæssig sikkerhed

Faciliteter til behandling af kritiske eller følsomme oplysninger skal være anbragt i sikre områder, og beskyttet af fastlagte sikkerhedsområder med passende sikkerhedsbarrierer og adgangskontrol. De skal være fysisk beskyttet mod uautoriseret adgang, beskadigelse og forstyrrelse. Der bør kun gives adgang til personer, der er omfattet af krav 1.6. Der fastlægges procedurer og standarder med henblik på at beskytte fysiske medier, der indeholder informationsaktiver, når de transporteres.

Udstyr skal beskyttes mod fysiske og miljømæssige trusler. Beskyttelse af udstyr (herunder udstyr, der anvendes uden for anlægget) og mod fjernelse af ejendom er nødvendig for at mindske risikoen for uautoriseret adgang til oplysninger og for at sikre, at det pågældende udstyr eller oplysninger ikke går tabt eller beskadiges. Der kan være behov for særlige foranstaltninger for at beskytte mod fysiske trusler og for at beskytte støttefaciliteter såsom elforsynings- og kabelinfrastruktur.

Krav 1.8: Operativ ledelse

Der fastlægges ansvarsområder og procedurer for forvaltning og drift af informationsbehandlingsfaciliteter, der dækker alle de underliggende systemer i hele betalingstransaktionskæden.

For så vidt angår driftsprocedurer, herunder teknisk administration af IT-systemer, gennemføres funktionsadskillelse, hvor det er relevant, for at mindske risikoen for uagtsom eller bevidst systemmisbrug. Hvis funktionsadskillelsen ikke kan gennemføres på grund af dokumenterede objektive årsager, gennemføres der kompenserende kontroller efter en formel risikoanalyse. Der indføres kontrol for at forebygge og afsløre, hvis der indføres skadelige koder for systemerne i betalingstransaktionskæden. Der indføres også kontrolforanstaltninger (herunder brugerkendskab) for at forebygge, opdage og fjerne skadelige koder. Mobilkoder må kun anvendes fra betroede kilder (f.eks. underskrevne Microsoft-komponenter og Java Applets). Browserens konfiguration (f.eks. brug af udvidelser og plugins) skal kontrolleres nøje.

Ledelsen gennemfører politikker for sikkerhedskopier og genoprettelse, og de pågældende genoprettelsespolitikker skal omfatte en plan over genoprettelsesprocessen, som testes regelmæssigt og mindst en gang årligt.

Systemer, der er kritiske for betalingssikkerheden, overvåges, og hændelser, der er relevante for informationssikkerheden, registreres. Der anvendes operatørregistrering for at sikre, at problemer med informationssystemerne identificeres. Operatørregistreringerne gennemgås regelmæssigt ved stikprøver på grundlag af operationernes betydning. Der anvendes systemovervågning til at kontrollere effektiviteten af kontroller, der anses for at være af afgørende betydning for betalingssikkerheden, og til at verificere overensstemmelsen med en model for adgangspolitik.

Informationsudveksling mellem organisationer baseres på en formel udvekslingspolitik, der gennemføres i overensstemmelse med udvekslingsaftaler mellem de involverede parter, og den skal være i overensstemmelse med eventuel relevant lovgivning. Tredjeparters softwarekomponenter, der implementeres i forbindelse med udveksling af information med TARGET (f.eks. software modtaget fra et servicebureau) skal bruges i overensstemmelse med en formel aftale med tredjeparten.

Krav 1.9: Adgangskontrol

Adgang til informationsaktiver skal være begrundet i forretningsmæssige krav (need-to-know (1)) og i henhold til den etablerede ramme for virksomhedspolitikker (herunder informationssikkerhedspolitikken). Der skal fastlægges klare regler for adgangskontrol baseret på princippet om det mindst mulige privilegium (2) for nøje at afspejle behovene i de tilsvarende forretnings- og it-processer. Logisk adgangskontrol (f.eks. til backupstyring) bør, hvor det er relevant, være i overensstemmelse med den fysiske adgangskontrol, medmindre der er indført passende kompenserende kontroller (f.eks. kryptering, anonymisering af personoplysninger).

Der skal være indført formelle og dokumenterede procedurer til kontrol af tildelingen af adgangsrettigheder til informationssystemer og -tjenester, der er omfattet af betalingstransaktionskæden. Procedurerne skal dække alle faser af brugeradgangens livscyklus fra den første registrering af nye brugere til den endelige afregistrering af brugere, der ikke længere har brug for adgang.

Der lægges, hvor det er relevant, særlig vægt på tildelingen af adgangsrettigheder af en så kritisk karakter, at misbrug af disse adgangsrettigheder kan få alvorlige negative følger for deltagerens operationer (f.eks. adgangsrettigheder der giver tilladelse til systemadministration, tilsidesættelse af systemkontrol, direkte adgang til forretningsdata).

Der skal indføres passende kontrol for at identificere, autentificere og bemyndige brugere på bestemte steder i organisationens netværk, f.eks. lokal- og fjernadgang til systemer i betalingstransaktionskæden. For at sikre ansvarlighed må personlige konti ikke deles.

For adgangskoder fastsættes og håndhæves regler ved hjælp af specifikke kontroller for at sikre, at passwords ikke let kan gættes, f.eks. regler om kompleksitet og begrænset gyldighed. Der skal oprettes en genoprettelses- og/eller nulstillingsprotokol for adgangskoder.

Der skal udvikles og gennemføres en politik for anvendelse af kryptografiske kontroller for at beskytte oplysningernes fortrolighed, ægthed og integritet. Der skal fastlægges en central forvaltningspolitik til støtte for anvendelsen af kryptografiske kontroller.

Der skal være en politik for at se fortrolige oplysninger på skærmen eller på tryk (f.eks. en klar skærm, en klar skrivebordspolitik) for at mindske risikoen for uautoriseret adgang.

Ved fjernarbejde skal risiciene ved at arbejde i et ubeskyttet miljø tages i betragtning, og der skal anvendes passende teknisk og organisatorisk kontrol.

Krav 1.10: Indkøb, udvikling og vedligeholdelse af it-systemer

Sikkerhedskrav skal identificeres og aftales forud for udviklingen og/eller implementeringen af informationssystemer.

Der skal indbygges passende kontroller i applikationer, herunder brugerudviklede applikationer, for at sikre korrekt behandling. Kontrollerne omfatter validering af inputdata, intern behandling og outputdata. Der kan være behov for yderligere kontrol af systemer, der behandler eller påvirker følsomme, værdifulde eller kritiske oplysninger. Sådanne kontroller fastlægges på grundlag af sikkerhedskrav og risikovurdering i overensstemmelse med de fastlagte politikker (f.eks. informationssikkerhedspolitik, kryptografisk kontrolpolitik).

De operationelle krav til nye systemer skal fastlægges, dokumenteres og testes, inden de accepteres og anvendes. Hvad angår netsikkerhed bør der gennemføres passende kontrol, herunder segmentering og sikker forvaltning, baseret på datastrømmenes betydning og risikoniveauet i organisationens netværkszoner. Der skal være specifik kontrol for at beskytte følsomme oplysninger, der passerer igennem offentlige netværk.

Adgang til systemfiler og programkildekode skal kontrolleres, og IT-projekter og støtteaktiviteter skal gennemføres på en sikker måde. Der skal udvises forsigtighed for at undgå eksponering af følsomme data i testmiljøer. Projekt- og støttemiljøer kontrolleres nøje. Indførelse af ændringer i produktionen kontrolleres nøje. Der foretages en risikovurdering af de større ændringer, der skal indføres i produktion.

Regelmæssige testaktiviteter for produktionssystemernes sikkerhed skal også udføres i henhold til en forud fastlagt plan på grundlag af resultatet af en risikovurdering, og sikkerhedstestning skal som minimum omfatte sårbarhedsanalyser. Alle de mangler, der blev fremhævet under testaktiviteterne, skal vurderes, og der udarbejdes handlingsplaner til afhjælpning af eventuelle konstaterede mangler, som der rettidigt følges op på.

Krav 1.11: Informationssikkerhed inden for (3) leverandørrelationer

For at sikre beskyttelse af deltagerens interne informationssystemer, som er tilgængelige for leverandørerne, skal informationssikkerhedskrav til afbødning af de risici, der er forbundet med leverandørens adgang, dokumenteres og aftales formelt med leverandøren.

Krav 1.12: Administration af informationssikkerhedshændelser og -forbedringer

Med henblik på at sikre en konsekvent og effektiv tilgang til håndteringen af informationssikkerhedshændelser, herunder kommunikation om sikkerhedshændelser og svagheder, skal roller, ansvarsområder og procedurer på virksomhedsniveau og teknisk niveau, fastlægges og afprøves for at sikre en hurtig, effektiv og velordnet og sikker inddrivelse efter informationssikkerhedshændelser, herunder scenarier i forbindelse med en cyberrelateret årsag (f.eks. svig, der forfølges af en udefrakommende angriber eller en insider). Ansatte, der er involveret i disse procedurer, skal være tilstrækkeligt uddannet.

Krav 1.13: Gennemgang af teknisk overensstemmelse

En deltagers interne informationssystemer (f.eks. back office-systemer, interne netværk og eksterne netværksforbindelser) skal regelmæssigt vurderes hvad angår overholdelse af organisationens fastlagte politiske rammer (f.eks. informationssikkerhedspolitik, kryptografisk kontrolpolitik).

Krav 1.14: Virtualisering

Virtuelle maskiner til gæster skal overholde alle de sikkerhedskontroller, der er indstillet til fysisk hardware og systemer (f.eks. hærdning og logning). Kontrol vedrørende virtualiseringsplatforme skal omfatte: hærdning af virtualiseringsplatformen og værtsoperativsystemet, regelmæssige rettelser, streng adskillelse (f.eks. produktion og udvikling). Central forvaltning, logning og overvågning samt forvaltning af adgangsrettigheder, navnlig for højt privilegerede konti, gennemføres på grundlag af en risikovurdering. Virtuelle maskiner til gæster, der forvaltes af samme virtualiseringsplatform, skal have en lignende risikoprofil.

Krav 1.15: Cloud computing

Anvendelsen af offentlige og/eller hybride cloud-løsninger i betalingstransaktionskæden baseres på en formel risikovurdering, der tager hensyn til de tekniske kontroller og kontraktbestemmelserne vedrørende cloudløsningen.

Hvis der anvendes hybride cloud-løsninger, er det underforstået, at det overordnede systems kritiske niveau er det højeste af de tilsluttede systemer. Alle komponenter i hybridløsningerne på stedet skal holdes adskilt fra de andre systemer på stedet.

2. Beredskabsstyring

Følgende krav er relateret til beredskabsstyring. Hver enkelt TARGET-deltager, der er udpeget af Eurosystemet som afgørende for, at TARGET-systemet fungerer gnidningsløst, skal råde over en forretningskontinuitetsstrategi, som overholder følgende krav.

Krav 2.1:

Der skal udvikles forretningskontinuitetsplaner og være procedurer for vedligeholdelse til stede.

Krav 2.2:

Der skal være et alternativt driftssted tilgængeligt.

Krav 2.3:

Risikoprofilen for det alternative sted skal være forskellig fra den for det primære sted med henblik på at undgå, at begge steder påvirkes af den samme hændelse på samme tid. Det alternative anlægsområde bør f.eks. være på et andet elnet og et andet centralt telekommunikationskredsløb end det primære forretningsområde.

Krav 2.4:

I tilfælde af en større driftsforstyrrelse, der gør det primære driftssted utilgængeligt og/eller kritisk personale utilgængeligt, skal den kritiske deltager være i stand til at genoptage den normale drift fra det alternative driftssted, hvor det skal være muligt at afslutte bankdagen ordentligt og åbne den eller de følgende forretningsdage.

Krav 2.5:

Der skal være indført procedurer for at sikre, at behandlingen af transaktioner genoptages fra det alternative driftssted inden for en rimelig frist efter den første afbrydelse af tjenesterne og står i et rimeligt forhold til den kritiske karakter af den virksomhed, der blev afbrudt.

Krav 2.6:

Evnen til at håndtere driftsforstyrrelser skal afprøves mindst én gang om året, og kritisk personale skal være passende uddannet. Den maksimale periode mellem testene må ikke overstige et år.

(1) »Need-to-know«-princippet henviser til identifikationen af de oplysninger, som en person skal have adgang til for at kunne udføre sine opgaver.

(2) Princippet om det mindst mulige privilegium henviser til at skræddersy en persons adgangsprofil til et it-system med henblik på at matche den tilsvarende forretningsrolle.

(3) En leverandør i forbindelse med denne øvelse bør forstås som enhver tredjepart (og dennes ansatte), som er kontraktansat (under aftale) af instituttet om at levere en tjenesteydelse, og i henhold til serviceaftalen gives tredjeparten (og dennes ansatte) adgang, enten på afstand eller på stedet, til oplysninger og/eller informationssystemer og/eller informationsbehandlingsfaciliteter i instituttet, der er omfattet af eller er forbundet med det anvendelsesområde, der er omfattet af udøvelsen af TARGET2-selvcertificeringen.