LISÄYS VII

TIETOTURVAN HALLINTAA JA TOIMINNAN JATKUVUUDEN HALLINTAA KOSKEVAT VAATIMUKSET

MCA-TILIEN HALTIJAT, T2S-DCA-TILIEN HALTIJAT JA TIPS-DCA-TILIEN HALTIJAT

Näitä tietoturvan hallintaa ja toiminnan jatkuvuuden hallintaa koskevia vaatimuksia ei sovelleta MCA-tilin haltijoihin, T2S-DCA-tilin haltijoihin eikä TIPS-DCA-tilin haltijoihin.

RTGS-DCA-TILIEN HALTIJAT JA LIITÄNNÄISJÄRJESTELMÄT

Tässä lisäyksessä VII olevassa 1 jaksossa (tietoturvan hallinta) vahvistettuja vaatimuksia sovelletaan kaikkiin RTGS-DCA-tilien haltijoihin ja liitännäisjärjestelmiin, paitsi jos RTGS-DCA-tilin haltija tai liitännäisjärjestelmä osoittaa, ettei siihen sovelleta tiettyä vaatimusta. Kun osallistuja määrittää vaatimusten soveltamisalan infrastruktuurinsa osalta, sen tulisi yksilöidä maksutapahtumaketjun (Payment Transaction Chain, PTC) osatekijät. Maksutapahtumaketju alkaa saapumispisteestä (Point of Entry, PoE) eli tapahtumien luontiin osallistuvasta järjestelmästä (esim. työasemat, front office ja back office -sovellukset ja väliohjelmistot) ja päättyy järjestelmään, joka on vastuussa sanoman lähettämisestä verkkopalvelujen tarjoajalle.

Lisäyksessä VII olevassa 2 jaksossa (toiminnan jatkuvuuden hallinta) esitettyjä vaatimuksia sovelletaan RTGS-DCA-tilien haltijoihin ja liitännäisjärjestelmiin, jotka eurojärjestelmä on nimennyt TARGET-järjestelmän moitteettoman toiminnan kannalta kriittisiksi EKP:n verkkosivuilla säännöllisesti päivitettyjen ja julkaistujen kriteerien perusteella.

1. Tietoturvan hallinta

Vaatimus 1.1: Tietoturvapolitiikka

Johdon on annettava selkeät ohjeet liiketoiminnan tavoitteiden mukaisesti ja osoitettava tukea ja sitoutumista tietoturvaan laatimalla, hyväksymällä ja pitämällä voimassa tietoturvapolitiikka, jonka tavoitteena on tietoturvan ja kyberresilienssin hallinta koko organisaatiossa tietoturvaan ja kyberresilienssiin liittyvien riskien tunnistamisen, arvioinnin ja käsittelyn osalta. Tietoturvapolitiikan tulee sisältää ainakin seuraavat osiot: tavoitteet, soveltamisala (mukaan lukien organisaatio, henkilöstö, omaisuudenhoito jne.), periaatteet ja vastuunjako.

Vaatimus 1.2: Sisäinen organisaatio

Organisaation tietoturvaperiaatteiden täytäntöönpanoa varten on luotava tietoturvallisuuden viitekehys. Johdon on koordinoitava ja tarkasteltava tietoturvallisuuden viitekehyksen luomista sen varmistamiseksi, että (vaatimuksen 1.1 mukainen tietoturvapolitiikka) pannaan täytäntöön koko organisaatiossa, mukaan lukien riittävien resurssien osoittaminen ja turvallisuuteen liittyvien vastuiden osoittaminen tätä tarkoitusta varten.

Vaatimus 1.3: Ulkopuoliset tahot

Organisaation tiedon ja tietojenkäsittely-ympäristön tietoturva ei saisi heikentyä ulkopuolisten tahojen tai niiden tarjoamien tuotteiden tai palvelujen käyttämisen vuoksi tai sen johdosta, että organisaation toiminta on niistä riippuvainen. Ulkopuolisten tahojen pääsyä organisaation tietojenkäsittely-ympäristöön on valvottava. Jos ulkopuolisten tahojen tai niiden tuotteiden/palvelujen edellytetään pääsevän organisaation tietojenkäsittely-ympäristöön, on suoritettava riskinarviointi tietoturvallisuuteen liittyvien vaikutusten ja kontrollien määrittämiseksi. Kontrolleista on sovittava ja ne on määriteltävä kunkin asianomaisen ulkopuolisen tahon kanssa tehtävässä sopimuksessa.

Vaatimus 1.4: Suojattavan omaisuuden hallinta

Kaikki maksutapahtumaketjun piiriin kuuluvat tietovarannot, liiketoimintaprosessit ja niiden perustana olevat tietojärjestelmät, kuten käyttöjärjestelmät, infrastruktuurit, liiketoimintasovellukset, käyttövalmiit tuotteet, palvelut ja käyttäjän kehittämät sovellukset, on otettava huomioon, ja niillä on oltava nimetty omistaja. Vastuut liiketoimintaprosessien ja It-komponenttien asianmukaisten kontrollien ylläpitämisestä ja toiminnasta tietoaineistojen suojaamiseksi tulee määrittää. Huomautus: omistaja voi tarvittaessa delegoida tiettyjen kontrollien toteuttamisen, mutta vastuu suojattavasta kohteesta säilyy omistajalla.

Vaatimus 1.5: Tietoaineistojen luokittelu

Tietoaineistojen luokittelussa otetaan huomioon niiden kriittisyys osallistujan hoitaman palvelun toimituksen häiriöttömyyden kannalta. Luokittelussa ilmoitetaan suojaamisen tarve, prioriteetit ja suojaustaso tietoaineistojen käsittelemiseksi asiaankuuluvissa liiketoimintaprosesseissa, ottaen huomioon myös perustana olevat tietotekniset komponentit. Johdon hyväksymää tietoaineistojen luokittelujärjestelmää käytetään asianmukaisten kontrollien määrittelyyn tietoaineistojen suojaamisessa koko tiedon elinkaaren ajan (mukaan lukien tietoaineistojen poistaminen ja tuhoaminen) ja erityisten käsittelytoimenpiteiden tarpeesta ilmoittamiseen.

Vaatimus 1.6: Henkilöstö ja turvallisuus

Turvallisuutta koskevat vastuut on otettava huomioon ennen työhönottoa asianmukaisissa toimenkuvauksissa sekä palvelussuhteen ehdoissa. Kaikkien työnhakijoiden, sopimuskumppanien ja kolmansien osapuolten käyttäjien osalta on tehtävä asianmukaiset selvitykset, etenkin kun kyse on arkaluonteisista tehtävistä. Tietojenkäsittely-ympäristöä käyttävien työntekijöiden, sopimuskumppanien ja kolmansien osapuolten käyttäjien on allekirjoitettava sopimus, joka koskee heidän turvallisuuteen liittyviä tehtäviään ja vastuitaan. Työntekijöiden, sopimuskumppanien ja kolmansien osapuolien osalta on varmistettava riittävä tietoisuus, ja heille on tarjottava koulutusta ja opastusta tietoturvatoimenpiteistä ja tietojenkäsittely-ympäristön käytöstä mahdollisten tietoturvariskien minimoimiseksi. Työntekijöitä varten on otettava käyttöön muodollinen kurinpitomenettely tietoturvarikkomusten käsittelyä varten. On määriteltävä vastuut sen varmistamiseksi, että työntekijän, sopimuskumppanin tai kolmannen osapuolen käyttäjän poistuminen organisaatiosta tai siirto organisaation sisällä tapahtuu hallitusti ja että kaikki laitteet palautetaan ja kaikki käyttöoikeudet poistetaan.

Vaatimus 1.7: Fyysinen turvallisuus ja ympäristön turvallisuus

Kriittiset tai arkaluonteiset tietojenkäsittely-ympäristöt on sijoitettava määritellyillä turvallisuusvyöhykkeillä suojatuille alueille, joissa on asianmukaiset turvallisuusesteet ja pääsynvalvonta. Ne on suojattava fyysisesti luvattomalta pääsyltä, vahingoittumiselta ja häiriöiltä. Pääsy on myönnettävä vain henkilöille, jotka kuuluvat vaatimuksen 1.6 soveltamisalaan. Tietoaineistoja sisältävien fyysisten tallennusvälineiden suojaamiseksi on otettava käyttöön kuljetuksen aikana noudatettavat toimintatavat ja standardit.

Laitteet on suojattava fyysisiltä ja ympäristöön liittyviltä uhkilta. Laitteiden (mukaan lukien muualla kuin paikan päällä käytettävät laitteet) suojaaminen ja omaisuuden poisvienniltä suojautuminen on tarpeen luvattoman tiedonsaannin riskin vähentämiseksi ja laitteiden tai tietojen suojaamiseksi katoamiselta tai vahingoittumiselta. Erityistoimenpiteitä voidaan tarvita fyysisiltä uhkilta suojautumiseksi ja tukitoimintojen, kuten sähkönsyöttö- ja kaapelointi-infrastruktuurin, turvaamiseksi.

Vaatimus 1.8: Operatiivinen johto

Tietojenkäsittelyjärjestelmien hallinnointia ja käyttöä varten on vahvistettava vastuut ja menettelyt siten, että ne kattavat kaikki maksutapahtumaketjuun kuuluvat järjestelmät päästä päähän.

Ylläpitokäytännöt, mukaan lukien tietoteknisten järjestelmien tekninen hallinnointi, on toteutettava siten, että tehtävät voidaan tarvittaessa erottaa toisistaan järjestelmän huolimattoman tai tahallisen väärinkäytön riskin pienentämiseksi. Jos tehtäviä ei voida erottaa toisistaan dokumentoitujen objektiivisten syiden vuoksi, korvaava valvonta on toteutettava formaalin riskianalyysin jälkeen. On otettava käyttöön kontrollit, joilla estetään ja havaitaan haitallisten koodien käyttöönotto maksutapahtumaketjussa. On otettava myös käyttöön kontrollit (mukaan lukien käyttäjien tietoisuuden lisääminen) haitallisten koodien torjumiseksi, havaitsemiseksi ja poistamiseksi. Mobiilikoodia saa käyttää ainoastaan luotettavista lähteistä (esim. allekirjoitetut Microsoftin COM-komponentit ja Java Applets). Selaimen konfigurointia (esim. laajennusten ja liitännäisten käyttöä) on valvottava tiukasti.

Johdon on pantava täytäntöön datan varmuuskopiointia ja tietojen palauttamista koskevat toimintaperiaatteet, joiden tulee sisältää suunnitelma palautusmenettelystä, testataan säännöllisesti, kuitenkin vähintään vuosittain.

Maksujen turvallisuuden kannalta kriittisiä järjestelmiä on seurattava ja tietoturvaan liittyvät tapahtumat tallennettava. Käyttäjälokia on käytettävä sen varmistamiseksi, että tietojärjestelmään liittyvät ongelmat havaitaan. Käyttäjäloki on tarkistettava säännöllisesti käyttötoimien kriittisyyden perusteella otannan pohjalta. Järjestelmän valvontaa tulee käyttää maksujen turvallisuuden kannalta kriittistenä pidettävien kontrollien tehokkuuden tarkistamiseen ja pääsynvalvonnan toimintaperiaatteiden mallin noudattamisen tarkastamiseen.

Organisaatioiden välisen tietojenvaihdon on perustuttava muodolliseen tietojenvaihtopolitiikkaan, joka toteutetaan asianomaisten osapuolten välillä tiedonvaihdosta tehtyjen sopimusten mukaisesti ja jonka on oltava asiaankuuluvan lainsäädännön mukainen. Tietojenvaihdossa TARGETin kanssa käytettävien kolmannen osapuolen ohjelmistokomponenttien (kuten ohjelmistot, jotka on saatu palvelukeskukselta) käytön tulee perustua kolmannen osapuolen kanssa tehtyyn muodolliseen sopimukseen.

Vaatimus 1.9: Pääsynvalvonta

Pääsyn tietoaineistoihin on perustuttava liiketoiminnan vaatimuksiin (tiedonsaantitarve (1)) ja vakiintuneisiin toimintaperiaatteisiin (tietoturvapolitiikka mukaan lukien). Selkeät pääsynvalvontaa koskevat säännöt on määriteltävä suppeimpien oikeuksien (2) periaatteen pohjalta, jotta ne vastaisivat tarkoin asianomaisten liiketoiminta- ja IT-prosessien tarpeita. Loogisen pääsynvalvonnan tulisi soveltuvin osin (esim. varmuuskopioiden hallintaa varten) olla johdonmukainen fyysisen pääsynvalvonnan kanssa, ellei käytössä ole riittäviä kompensoivia kontrolleja (esim. salaus, henkilötietojen anonymisointi).

Käytössä on oltava muodolliset ja dokumentoidut menettelyt, joilla valvotaan käyttöoikeuksien myöntämistä maksutapahtumaketjun piiriin kuuluviin tietojärjestelmiin ja palveluihin. Menettelyjen on katettava kaikki pääsynhallinnan koko elinkaaren vaiheet uusien käyttäjien rekisteröinnistä niiden käyttäjien lopulliseen rekisteristä poistamiseen, jotka eivät enää tarvitse pääsyä.

Erityishuomiota on tarvittaessa kiinnitettävä sellaisten käyttöoikeuksien myöntämiseen, jotka ovat niin kriittisiä, että niiden väärinkäyttö voi aiheuttaa vakavia haittavaikutuksia osallistujan toiminnalle (esim. pääsyoikeudet, jotka mahdollistavat järjestelmänhallinnan, järjestelmän rajoitusten ohittamisen tai suoran pääsyn liiketoimintatietoihin).

Asianmukaiset kontrollit käyttäjien tunnistamiseksi, todentamiseksi ja valtuuttamiseksi on otettava käyttöön tietyissä organisaation tietoverkon kohdissa, esimerkiksi maksutapahtumaketjuun kuuluvien järjestelmien paikallisen käytön ja etäkäytön osalta. Vastuuvelvollisuuden varmistamiseksi henkilökohtaisia tilejä ei saa jakaa.

Salasanoja koskevat säännöt on laadittava ja niitä on valvottava erityisillä kontrolleilla sen varmistamiseksi, ettei salasanoja voida helposti arvata, esimerkiksi monimutkaisuutta koskevat säännöt ja määräaikaiset voimassaoloajat. On laadittava turvallinen salasanan palautus- ja/tai nollauskäytäntö.

Kryptografisten kontrollien käytöstä on laadittava ja pantava täytäntöön toimintaperiaatteet tietojen luottamuksellisuuden, aitouden ja eheyden suojaamiseksi. Avaintenhallinnan periaatteet on laadittava tukemaan kryptografisia kontrolleja.

Luottamuksellisten tietojen katseluun näytöllä tai tulostettuina on sovellettava toimintaperiaatteita (esim. puhtaan näytön ja puhtaan pöydän politiikka), jotta voidaan vähentää riskiä luvattomasta pääsystä tietoon.

Etätyön yhteydessä on otettava huomioon riskit, joita aiheutuu työskentelystä suojaamattomassa ympäristössä, ja asianmukaisia teknisiä ja organisatorisia kontrolleja on sovellettava.

Vaatimus 1.10: Tietojärjestelmien hankinta, kehittäminen ja ylläpito

Tietoturvavaatimukset on yksilöitävä ja niistä on sovittava ennen tietojärjestelmien kehittämistä ja/tai käyttöönottoa.

Sovelluksiin, mukaan lukien käyttäjien kehittämät sovellukset, tulee rakentaa asianmukaiset kontrollit oikean toiminnan varmistamiseksi. Näihin kontrolleihin tulee sisältyä syöttötietojen (input), sisäisen käsittelyn ja tulostettavien (output) tietojen tarkistus. Lisäkontrolleja voidaan tarvita järjestelmissä, jotka käsittelevät arkaluonteisia, arvokkaita tai kriittisiä tietoja tai vaikuttavat niihin. Tällaiset kontrollit on määritettävä tietoturvavaatimusten ja riskinarviointien perusteella toimintaperiaatteiden mukaisesti (esim. tietoturvapolitiikka, kryptografiset periaatteet).

Uusien järjestelmien toiminnalliset vaatimukset on laadittava, dokumentoitava ja testattava ennen niiden hyväksymistä ja käyttöä. Verkkojen tietoturvallisuuden osalta olisi toteutettava asianmukaiset kontrollit, mukaan lukien segmentointi ja tietoturvan hallinnointi, jotka perustuvat tietovirtojen kriittisuuteen ja verkkovyöhykkeiden riskitasoon organisaatiossa. Julkisten verkkojen kautta kulkevan arkaluonteisen tiedon suojaamiseksi on toteutettava erityisiä kontrolleja.

Pääsyä järjestelmätiedostoihin ja ohjelman lähdekoodiin on rajoitettava, ja IT-projektit ja tukitoimet on toteutettava turvallisesti. On huolehdittava siitä, etteivät arkaluonteiset tiedot paljastu testiympäristöissä. Projekti- ja tukiympäristöjä on valvottava tiukasti. Tuotantoon tehtyjen muutosten käyttöönottoa on valvottava tiukasti. Tuotantoon toteutettavista merkittävistä muutoksista on tehtävä riskinarviointi.

Tuotannossa olevien järjestelmien säännölliset tietoturvatestit on myös suoritettava ennalta määritellyn riskinarvioinnin tuloksiin perustuvan suunnitelman mukaisesti, ja tietoturvatestien tulee sisältää ainakin haavoittuvuuksien kartoitus. Kaikki tietoturvatestien aikana esiin tuodut puutteet on arvioitava, havaittujen puutteiden korjaamiseksi on laadittava toimintasuunnitelmat ja jatkotoimenpiteet toteutettava viipymättä.

Vaatimus 1.11: Tietoturva suhteissa toimittajiin (3)

Osallistujan sisäisten tietojärjestelmien, joihin toimittajilla on pääsy, suojaaminen on varmistettava siten, että tietoturvavaatimukset toimittajan pääsyyn liittyvien riskien vähentämiseksi dokumentoidaan ja niistä sovitaan muodollisesti toimittajan kanssa.

Vaatimus 1.12: Tietoturvapoikkeamien hallinta ja parannukset

Johdonmukaisen ja tehokkaan lähestymistavan varmistamiseksi tietoturvapoikkeamien hallintaan, mukaan tietoturvatapauksia ja heikkouksia koskeva tiedottaminen, sovellettava johdonmukainen ja tehokas lähestymistapa on varmistettava siten, että määritellään ja testataan roolit, vastuut ja toimintatavat liiketoiminnan tasolla ja teknisellä tasolla, jotta varmistetaan nopea, tehokas, hallittu ja turvallinen toipuminen tietoturvapoikkeamasta, mukaan lukien kyberturvallisuuteen liittyvät skenaariot (esim. ulkoisen hyökkääjän tai sisäpiirin toteuttama petos). Näihin menettelyihin osallistuva henkilöstö on koulutettava asianmukaisesti.

Vaatimus 1.13: Teknisen vaatimustenmukaisuuden arviointi

Osallistujan sisäisten tietojärjestelmien (esim. back office -järjestelmät, sisäverkot ja ulkoiset verkkoyhteydet) noudattamista on arvioitava säännöllisesti organisaation vakiintuneiden toimintaperiaatteiden mukaisesti (esim. tietoturvapolitiikka, kryptografiset periaatteet).

Vaatimus 1.14: Virtualisointi

Vierailevien virtuaalikoneiden on noudatettava kaikkia fyysisille laitteille ja järjestelmille (esim. kovennus, lokimerkinnät) asetettuja tietoturvakontrolleja. Virtualisointialustoihin liittyvien kontrollien on pidettävä sisällään virtualisointialustan ja isännöintikäyttöjärjestelmän kovennukset, säännölliset päivitykset ja eri ympäristöjen tiukan erottamisen toisistaan (esim. tuotanto ja kehitys). Keskitetty hallinnointi, lokimerkinnät ja valvonta sekä käyttöoikeuksien hallinnointi, erityisesti kun on kyse etuoikeutetuista tileistä, toteutetaan riskinarvioinnin perusteella. Saman virtualisointialustan hallinnoimilla vierailevilla virtuaalikoneilla on oltava samankaltainen riskiprofiili.

Vaatimus 1.15: Pilvipalvelut

Julkisten ja/tai hybridipilvipalveluratkaisujen käytön maksutapahtumaketjussa on perustuttava formaaliin riskinarviointiin, jossa otetaan huomioon pilvipalveluratkaisuun liittyvät tekniset kontrollit ja sopimuslausekkeet.

Jos käytetään hybridipilvipalveluratkaisuja, koko järjestelmän kriittisyystaso on se, joka on yhdistettyjen järjestelmien keskuudessa korkein. Kaikki toimitiloissa (on-premise) olevat hybridipalvelun komponentit on erotettava toimitiloissa olevista muista järjestelmistä.

2. Liiketoiminnan jatkuvuuden hallinta

Seuraavat vaatimukset liittyvät liiketoiminnan jatkuvuuden hallintaan. Jokaisella TARGET-osallistujalla, jonka eurojärjestelmä on luokitellut kriittiseksi TARGETin moitteettoman toiminnan kannalta, on oltava käytössä liiketoiminnan jatkuvuutta koskeva strategia, joka sisältää seuraavat osatekijät:

Vaatimus 2.1:

Liiketoiminnan jatkuvuutta koskevat suunnitelmat on laadittava ja toimintatavat niiden ylläpitämiseksi on otettava käyttöön.

Vaatimus 2.2:

Käytettävissä on oltava vaihtoehtoinen toimintapaikka.

Vaatimus 2.3:

Vaihtoehtoisen toimintapaikan riskiprofiilin on oltava erilainen kuin pääasiallisen toimintapaikan riskiprofiili, jotta vältytään siltä, että sama tapahtuma vaikuttaa molempiin kohteisiin samanaikaisesti. Vaihtoehtoisen toimintapaikan on esimerkiksi oltava liitetty eri sähköverkkoon ja tietoliikenneverkkoon kuin pääasiallinen toimipaikka.

Vaatimus 2.4:

Jos kyseessä on merkittävä toimintahäiriö, jonka vuoksi pääasialliseen toimintapaikkaan ei pääse ja/tai kriittinen henkilökunta ei ole käytettävissä, kriittisen osallistujan on voitava jatkaa normaalia toimintaa vaihtoehtoisessa toimintapaikassa, jossa on oltava mahdollista sulkea pankkipäivä asianmukaisesti ja avata seuraava pankkipäivä.

Vaatimus 2.5:

Käytössä on oltava menettelyt, joilla varmistetaan, että maksutapahtumien käsittely aloitetaan vaihtoehtoisessa toimintapaikassa kohtuullisessa ajassa palvelun alkuperäisen keskeytymisen jälkeen ja oikeassa suhteessa häiriintyneen liiketoiminnan kriittisyyteen.

Vaatimus 2.6:

Kyky selviytyä toimintahäiriöistä on testattava vähintään kerran vuodessa, ja kriittinen henkilöstö on koulutettava asianmukaisesti. Enimmäisaika testien välillä on yksi vuosi.

(1) Tiedonsaantitarpeen periaatteella viitataan niiden tietosarjojen yksilöimiseen, joihin henkilö tarvitsee pääsyn voidakseen hoitaa tehtäviään.

(2) Suppeimpien oikeuksien periaatteella tarkoitetaan sitä, että IT-järjestelmässä oleva käyttäjäprofiili täsmäytetään vastaavan liiketoimintaroolin tasolle.

(3) Toimittajalla tarkoitetaan tässä yhteydessä kolmatta osapuolta (ja sen henkilöstöä), joka on tehnyt sopimuksen laitoksen kanssa palvelun tarjoamisesta, ja palvelusopimuksen nojalla kolmannelle osapuolelle (ja sen henkilöstölle) myönnetään pääsy joko etäyhteyden välityksellä tai paikan päällä laitoksen tietoihin ja/tai tietojärjestelmiin ja/tai tietojenkäsittelylaitteisiin, jotka kuuluvat TARGET-itsearviointitodistuksen piiriin tai liittyvät sen soveltamiseen.