Valdkond Kontrollpunktid (1) Regulatiivsed suunised Tõendusjuhised

Organisatsiooniline ja füüsiline julgeolek A.6 Infoturbe korraldus — A.6.1 Sisemine korraldus — A.6.2 Kaasaskantavad seadmed ja kaugtöö A.7 Personali turvalisus — A7.1 Enne tööle asumist — A7.2 Töösuhte kestel — A7.3 Töösuhte lõpetamisel ja muutmisel A.11 Füüsiline ja keskkonnaalane turvalisus — A.11.1 Turvaalad — A.11.2 Seadmed A.6 ja A.11: Hoidla füüsiline asuukoht peab olema ELi territooriumil. Andmeid ei tohi hoida kolmandas riigis ega edastada kolmandale riigile. (Direktiivi 2014/40/EL artikli 15 lõige 8) Hoidla kaitseks tuleb kehtestada turvamenetlused ja luua süsteemid, millega tagatakse, et hoidlale pääsevad juurde üksnes liikmesriikide pädevad asutused, komisjon ja välisaudiitorid. A.7: Hoidla teenuste osutaja ja tema alltöövõtja(d) peavad olema sõltumatud ja täitma oma ülesandeid erapooletult. Kohaldatakse õiguslikku sõltumatust, rahalist sõltumatust ja huvide konflikti puudumist käsitlevaid nõudeid. (Rakendusmääruse (EL) 2018/574 artikkel 35) Organisatsiooni kehtiv struktuuriskeem, võtmetöötajate allkirjastatud ametijuhendid, asjaomaste ametiülesannetega seoses läbitud koolitused. Ametisse nimetamiste loetelu (infoturbe juht, andmekaitseametnik jne) ning turvarollidega seotud kohustuste ja ülesannete kirjeldus. Tõendid töötajate koolitusel osalemise kohta (nt vastuvõetud kutse, koolituse kuupäev ja kava, teadmusseminaril osalejate allkirjastatud nimekiri jne). Personali turvalisusega seotud tegutsemispõhimõtted/menetlused vaadatakse korrapäraselt läbi ja neid ajakohastatakse (andmed menetluse läbimise kohta). Füüsiliste turvameetmete ja töökeskkonna kontrolli põhinõuete (nagu ukse ja kapilukud, valvesignalisatsioon, tuletõrjealarm, tulekustutid, videovalvesüsteemid jne) rakendamine. Nimekiri töötajatest, kellel on juurdepääsuluba ja nõutavad volitused. Füüsiliste turvameetmete ja töökeskkonna kontrolli dokumenteeritud põhimõtted, sealhulgas asjaomaste rajatiste ja süsteemide kirjeldus. Haldusotstarbel kasutatavate riistvararessursside üksikasjalik inventariloetelu.

Toimingute turvalisus A.12 Toimingute turvalisus — A.12.1 Korralduslikud meetmed ja kohustused — A.12.3 Varundus — A.12.4 Logimine ja jälgimine — A.12.5 Operatiivtarkvara kontrollimine — A.12.6 Tehniliste nõrkuste haldamine A.12.3: Kõigil hoidla osadel ja teenustel peab olema piisav varundamissüsteem. (Rakendusmääruse (EL) 2018/574 artikli 25 lõike 1 punkt i) A.12.4: Hoidlas tuleb säilitada täielik auditijälg kõigi talletatud andmeid käsitlevate toimingute ja neid tegevate kasutajate, sh toimingute laadi ja kasutajate juurdepääsu ajaloo kohta. (Rakendusmääruse (EL) 2018/574 artikli 25 lõike 1 punkt m) Juhised sündmuste ja logiandmetega seotud tõendite kohta: — sisse ja väljalogimiskatsed (nii õnnestunud kui ka ebaõnnestunud katsed) — andmebaasi serveri taaskäivitamine — süsteemihalduri õigustega kasutajate antud käsud — katsed rikkuda terviklust (kui muudetud või sisestatud andmed ei vasta viitepiirangule, kordumatule piirangule või kontrollipiirangule) — toimingute valimine, sisestamine, värskendamine ja kustutamine — salvestatud protseduurid — ebaõnnestunud katsed pääseda juurde andmebaasile või tabelile (loa saamise ebaõnnestumine) — muudatused süsteemi kataloogitabelites Hooldusturvalisuse kord on nõuetekohaselt dokumenteeritud ja kõrgema juhtkonna poolt heaks kiidetud. Turbealase hoolduse läbiviimise selgelt määratletud miinimumnõuded. Loetelu kõikidest kolmandate isikutega sõlmitud lepingutest (2). Sõnaselged turvanõuded lepingutes kolmandate isikutega, kes pakuvad IT-tooteid, IT-teenuseid, allhangitud tegevusprotsesse, kasutajatuge jne. Dokumenteeritud turvanõuded kolmandate isikutega sõlmitavate lepingute jaoks Dokumenteeritud turvanõuete alased märkused või muudatuste logid. Riskihindamise ja riskijuhtimise põhimõtted ja/või protseduurid, mille müüja on kehtestanud ja mida ta järgib Kolmandate isikutega sõlmitud suhete dokumenteeritud muutmine või lõpetamine. Asjaomaste teadmusseminaride ja koolituste aruanded. Intsidentide tuvastamise ja analüüsimise süsteemid, vahendid ja menetlused. Intsidentide avastamise ja analüüsimise dokumenteeritud kord, milles on ette nähtud selle eesmärk, ulatus, sellega seotud ülesanded ja vastutus ning kõigi osapoolte, sealhulgas klientide vahelise tegevuse kooskõlastamine. Varasemate turvaintsidentide avastamise ja eskaleerumisega seotud teadete olemasolu. Ajakohastatud dokumentatsioon intsidentide avastamise korra ning sellega seotud menetluste ja süsteemide kohta. Loetelu varasematest avastatud ja eskaleerunud suurematest intsidentidest, sealhulgas kogu seonduv teave (põhjus, mõju, võetud meetmete järjekord). Tõendid toimunud küberõppuste kohta, sealhulgas nende toimumise kuupäevad.

Juurdepääsukontroll (kasutajad ja rakendused) A.9 Juurdepääsukontroll — A.9.1 Juurdepääsukontrolli talitlusnõuded — A.9.2 Kasutajate juurdepääsu haldamine — A.9.3 Kasutajate kohustused — A.9.4 Süsteemidele ja rakendustele juurdepääsu reguleerimine A.14 Süsteemi soetamine, arendamine ja hooldamine — A.14.2 Arendus ja tugiprotsesside turvalisus A.9: Juurdepääsu andmehoidlatele ja neis salvestatud andmetele võib anda üksnes liikmesriikidele, Euroopa Komisjonile ja tunnustatud välisaudiitoritele. (Direktiivi 2014/40/EL artikli 15 lõige 8; rakendusmääruse (EL) 2018/574 artikli 25 lõike 1 punkt j) Juurdepääsukontrolli põhimõtted, sealhulgas ülesannete, rühmade ja juurdepääsuõiguste kirjeldus ning infosüsteemidele juurdepääsu õiguse andmise ja tühistamise menetlus. Eeskiri, mille kohaselt kasutamata kontod kustutatakse pärast lühikest ajavahemikku. Juurdepääsukontrolliga seotud maatriksid (nt ülesannete lahususe kontrollmaatriks, kaugjuurdepääsu juhtimine jne). Juurdepääsukontrolli põhimõtetes/menetlustes sisalduv juurdepääsuõiguse osa. Juurdepääsukontrolli põhimõtted näevad ette asjaomastele ressurssidele ja/või protsessidele juurdepääsu õiguste registri. Kohandatud ja dokumenteeritud administraatorikontod koos asjaomastele töötajatele antud konkreetsete juurdepääsuõigustega. Administraatorikontode dokumenteeritud haldamine. Administraatorikontoga seotud tegevuse logid on kättesaadavad. Haldamise infosüsteemid on ülejäänud taristust isoleeritud ja eraldatud, et suurendada vastupanuvõimet. Ühilduvuse tagamiseks vajalikud ametlikult dokumenteeritud tarkvaranõuded.

Teabeedastuse turvalisus A.10 Krüptovahendid — A.10.1 Krüptograafilised kontrollid A.13 Teabeedastuse turvalisus — --A.13.1 Võrguturbe haldus — A.13.2 Teabe ülekandmine A.13: Andmevahetus põhihoidla ning varuhoidla ja ruuteri vahel peab toimuma kooskõlas varuhoidla haldaja edastatud tehniliste kirjeldustega. (Rakendusmääruse (EL) 2018/574 artikli 28 lõige 1) Kogu elektrooniline suhtlus peab toimuma turvaliste vahendite abil. Kohaldatavad andmeturbeprotokollid ja ühenduvuseeskirjad põhinevad omandiõigusega hõlmamata avatud standarditel. (Rakendusmääruse (EL) 2018/574 artikli 36 lõige 1) Olemas on asjakohased krüptograafilised protsessid. Kehtestatud on kaitsemeetmed (privaat)võtme(te) salajasuse kaitsmiseks. Süsteemikonfiguratsiooni põhimõtted ja/või menetlused on kehtestatud ja neid järgitakse. Süsteemikonfiguratsiooni tabelid. Süsteemikonfiguratsiooni läbivaatamise tsüklite aja ja tegevuskava. Dokumenteeritud varasemad õppused/elutähtsate infosüsteemide katsetamised. Turvakonfiguratsiooni läbivaatamise aja ja tegevuskava. Dokumendid võrgu ja süsteemi ning andmete lahususe rakendamise kohta. Elutähtsate võrgu ja infosüsteemide seirearuanded. Järelevalvekorra dokumenteeritud põhimõtted, sealhulgas järelevalve miinimumnõuded. Tõendid seiresüsteemide jaoks vajalike vahendite olemasolu kohta.

Talitluspidevus A.16 Infoturbeintsidentide haldus — A.16.1 Infoturbeintsidentide ja nendest tingitud paranduste haldamine A.17 Talitluspidevuse haldamise infoturbe aspektid — A.17 Talitluspidevuse haldamise infoturbe aspektid — A.17.1 Infoturbe pidevus — A.17.2 Liiasus A.18 Nõuete täitmine — A.18.1 Õigusaktidest ja lepingutest tulenevate nõuete täitmine A.17: Kõigi hoidla osade ja teenuste igakuine töövõimeaeg peab olema vähemalt 99,5 %. (Rakendusmääruse (EL) 2018/574 artikli 25 lõike 1 punkt i) Andmete ülekantavus tuleb tagada vastavalt kohaldatavale ühisele andmesõnastikule. (Rakendusmääruse (EL) 2018/574 artikli 36 lõige 2) Teenuseosutajal peab olema kohaldatav väljumisplaan. (Delegeeritud määruse (EL) 2018/573 artikkel 19) A.18.1: Andmetöötlustoimingud peavad vastama määrusele (EL) 2016/679 (isikuandmete kaitse üldmäärus) ja olema kooskõlas põhihoidla haldaja ja varuhoidla haldaja vahel sõlmitud andmetöötluslepinguga. Ametlikult dokumenteeritud teenuste toimepidevuse strateegia, sealhulgas peamiste teenuste ja protsesside taastumisaja eesmärgid. Elutähtsate süsteemide situatsiooniplaanid, sealhulgas selged tegevusjuhised ja menetlused ühiste ohtude korral, käivitavad tegurid, etapid ja taastumisaja eesmärgid. Individuaalsete koolitustegevuste protokollid ja koolitusaruanded. Katastroofiolukorras (nt maavärin, üleujutus, tulekahju) tegutsemiseks kehtestatud meetmed, näiteks tõrkekindlad paigad muudes piirkondades, elutähtsate andmete varundamine, mida on vaja teha kõrvalises asukohas (geograafiliselt eraldatud andmekeskusest, kus andmeid kogutakse ja töödeldakse), mis on piisavalt kaugel, et jääda kahjustamata põhiasukohas toimunud katastroofist jne. Ametlikult dokumenteeritud põhimõtted/protsessid katastroofidest taastumise suutlikkuse rakendamiseks, sealhulgas loetelu loodusõnnetustest ja/või suurõnnetustest, mis võivad teenuseid mõjutada, ning loetelu katastroofidest taastumise suutlikkuse võimalustest (kas organisatsioonisisesed või kolmandate isikute pakutavad). Andmed katastroofist taastumise kavas osalevate töötajate individuaalse koolituse kohta.