“Appendix VIII

Vereisten met betrekking tot informatiebeveiligings- en bedrijfscontinuïteitsbeheer

Informatiebeveiligingsbeheer

Deze vereisten zijn van toepassing op elke deelnemer, tenzij de deelnemer aantoont dat een specifiek vereiste niet op hem van toepassing is. In de vaststelling van de reikwijdte van de vereisten binnen de infrastructuur van de betalingstransactieketen (Payment Transaction Chain – PTC), moet de deelnemer de elementen definiëren die daarvan onderdeel uitmaken. Meer in het bijzonder begint een PTC op een “Point of Entry” (PoE), d.w.z. een systeem dat betrokken is bij de creatie van transacties (werkplaatsen, frontoffice- en backoffice-applicaties, middleware) en eindigt met het systeem dat verantwoordelijk is voor het verzenden van het bericht aan SWIFT (bv. SWIFT naar VPN Box) of het internet (dit laatste geldt voor toegang via het internet).

Vereiste 1.1: Informatiebeveiligingsbeleid

Het management stelt een duidelijke beleidskoers vast in overeenstemming met de bedrijfsdoelstellingen en ondersteunt en garandeert informatiebeveiliging door middel van de vaststelling, goedkeuring en handhaving van een informatiebeveiligingsbeleid dat gericht is op het beheer van informatiebeveiliging en cyberweerbaarheid in de gehele organisatie ten aanzien van identificatie, beoordeling en aanpak van risico’s op het gebied van informatiebeveiliging en cyberweerbaarheid. Het beleid dient ten minste de volgende onderdelen te omvatten: doelstellingen, toepassingsgebied (met inbegrip van gebieden zoals organisatie, human resources, vermogensbeheer, enz.), beginselen en toewijzing van verantwoordelijkheden.

Vereiste 1.2: Interne organisatie

Er wordt een informatiebeveiligingskader ingesteld voor de uitvoering van het informatiebeveiligingsbeleid binnen de organisatie. Het management coördineert en evalueert de vaststelling van het informatiebeveiligingskader om de uitvoering van het informatiebeveiligingsbeleid (volgens het vereiste 1.1) in de gehele organisatie te waarborgen, met inbegrip van de toewijzing van voldoende middelen en de toewijzing van beveiligingsverantwoordelijkheden voor dit doel.

Vereiste 1.3: Externe partijen

De beveiliging van de informatie- en informatieverwerkingsfaciliteiten van de organisatie mag niet worden beperkt door de introductie en/of de afhankelijkheid van externe partijen of door hen geleverde producten/diensten. Elke toegang van externe partijen tot de informatieverwerkingsfaciliteiten van de organisatie wordt gecontroleerd. Wanneer externe partijen of producten/diensten van externe partijen toegang behoeven tot de informatieverwerkingsfaciliteiten van de organisatie, wordt een risicobeoordeling uitgevoerd om de gevolgen voor de beveiliging en de controlevereisten vast te stellen. De controles worden overeengekomen en vastgelegd in een overeenkomst met elke betrokken externe partij.

Vereiste 1.4: Beheer van activa

Alle informatiemiddelen, de bedrijfsprocessen en de onderliggende informatiesystemen, zoals besturingssystemen, infrastructuren, zakelijke toepassingen, gebruiksklare producten, diensten en door de gebruiker ontwikkelde toepassingen, die binnen het toepassingsgebied van de betalingstransactieketen vallen, worden verantwoord en hebben een toegewezen eigenaar. De verantwoordelijkheid voor het onderhoud en de uitvoering van passende controles in de bedrijfsprocessen en de bijbehorende IT-componenten voor de beveiliging van de informatiemiddelen, wordt toegewezen. NB: de eigenaar kan de uitvoering van specifieke controles waar nodig delegeren, maar blijft verantwoordelijk voor de passende bescherming van de activa.

Vereiste 1.5: Classificatie van informatiemiddelen

Informatiemiddelen worden geclassificeerd op basis van hun kritieke karakter voor de vlotte levering van de dienst door de deelnemer. De classificatie vermeldt de noodzaak, de prioriteiten en de mate van vereiste bescherming bij het omgaan met het informatie-activum in de relevante bedrijfsprocessen en houdt tevens rekening met de onderliggende IT-component. Er wordt gebruikgemaakt van een door het management goedgekeurd schema voor de classificatie van informatiemiddelen om een passende reeks beveiligingscontroles vast te stellen gedurende de gehele levenscyclus van de informatiemiddelen (met inbegrip van verwijdering en vernietiging van informatiemiddelen) en om de noodzaak van specifieke behandelingsmaatregelen te communiceren.

Vereiste 1.6: Beveiliging van human resources

Beveiligheidsverantwoordelijkheden worden voorafgaand aan indiensttreding beschreven in passende functieomschrijvingen en in arbeidsvoorwaarden en -omstandigheden. Alle kandidaat-werknemers, contractanten en derde-gebruikers worden naar behoren gescreend, met name voor gevoelige functies. Werknemers, contractanten en derde-gebruikers die gebruik maken van informatieverwerkingsfaciliteiten ondertekenen een overeenkomst inzake hun beveiligingstaken en -verantwoordelijkheden. Er wordt gezorgd voor een passende mate van bewustzijn onder alle werknemers, contractanten en derde-gebruikers; zij krijgen opleidingen en trainingen aangeboden in beveiligingsprocedures en het correcte gebruik van informatieverwerkingsfaciliteiten zodat mogelijke veiligheidsrisico’s tot een minimum worden beperkt. Er wordt een formele tuchtprocedure voor werknemers ingesteld met betrekking tot de behandeling van beveiligingsinbreuken. Er worden verantwoordelijkheden vastgelegd om te garanderen dat het vertrek uit, of overstap binnen de organisatie door een werknemer, contractant of derde-gebruiker wordt begeleid en dat het retourneren van alle apparatuur en het intrekken van alle toegangsrechten wordt volbracht.

Vereiste 1.7: Fysieke beveiliging en milieubeveiliging

Faciliteiten voor de verwerking van kritieke of gevoelige informatie worden ondergebracht op beveiligde plaatsen en worden beschermd door afgebakende veiligheidszones, met passende veiligheidsbarrières en toegangscontroles. Zij worden fysiek beschermd tegen ongeoorloofde toegang, beschadiging en interferentie. Toegang wordt alleen verleend aan personen die voldoen aan de bepalingen van vereiste 1.6. Er worden procedures en standaarden vastgesteld ter bescherming van fysieke informatiedragers met informatiemiddelen tijdens transport.

De apparatuur moet worden beschermd tegen fysieke risico's en milieurisico’s. De bescherming van apparatuur (met inbegrip van apparatuur die off-site wordt gebruikt) en bescherming tegen het verwijderen van goederen is noodzakelijk om het risico van ongeoorloofde toegang tot informatie te beperken en om bescherming te bieden tegen verlies of beschadiging van apparatuur of informatie. Er kunnen speciale maatregelen nodig zijn om bescherming te bieden tegen fysieke bedreigingen en om ondersteunende faciliteiten zoals de elektrische voorziening en kabelinfrastructuur te beveiligen.

Vereiste 1.8: Bedrijfsvoering

Er worden verantwoordelijkheden en procedures vastgesteld voor het beheer en de werking van informatieverwerkingsfaciliteiten die alle onderliggende systemen in de betalingsketen end-to-end bestrijken.

Met betrekking tot de operationele procedures, met inbegrip van het technisch beheer van IT-systemen, wordt waar nodig scheiding van functies ingevoerd om het risico op onachtzaam of opzettelijk systeemmisbruik te beperken. Indien de scheiding van functies om vastgelegde objectieve redenen niet kan worden uitgevoerd, worden compenserende controles uitgevoerd na een formele risicoanalyse. Er worden controles ingesteld om de invoering van kwaadaardige codes voor systemen in de betalingsketen te voorkomen en op te sporen. Er worden ook controles ingesteld (met inbegrip van bewustmaking van gebruikers) om kwaadaardige codes te voorkomen, op te sporen en te verwijderen. Mobiele codes mogen alleen worden gebruikt van betrouwbare bronnen (bv. ondertekende Microsoft COM-componenten en Java Applets). De configuratie van de browser (bv. het gebruik van uitbreidingen en plugins) wordt streng gecontroleerd.

Het management stelt beleid inzake backup en herstel van gegevens in; dit herstelbeleid omvat een herstelprocesplan dat regelmatig, d.w.z. ten minste eenmaal per jaar, wordt getest.

Systemen die van kritiek belang zijn voor de veiligheid van betalingen, worden gemonitord en gebeurtenissen die van belang zijn voor de informatiebeveiliging worden geregistreerd. Er worden logbestanden van exploitanten gebruikt om ervoor te zorgen dat problemen met informatiesystemen worden geïdentificeerd. De logbestanden van de exploitanten worden regelmatig steekproefsgewijs getoetst op basis van het kritieke karakter van de transacties. Systeemmonitoring wordt gebruikt om de doeltreffendheid te controleren van controles die van kritiek belang zijn voor de veiligheid van betalingen en om de conformiteit met een toegangsbeleidsmodel te verifiëren.

De uitwisseling van informatie tussen organisaties is gebaseerd op een formeel uitwisselingsbeleid dat wordt gevoerd in overeenstemming met de uitwisselingsovereenkomsten tussen de betrokken partijen en moet in overeenstemming zijn met alle relevante wetgeving. Softwarecomponenten van derden die worden gebruikt bij de uitwisseling van informatie met TARGET2 (zoals software die van een servicebureau is ontvangen in scenario 2 van de afdeling over reikwijdte van het TARGET2- zelfcertificatieregelingdocument) moeten worden gebruikt in overeenstemming met een formele overeenkomst met de derde.

Vereiste 1.9: Toegangscontrole

Toegang tot informatiemiddelen wordt gerechtvaardigd op grond van bedrijfsvereisten (“need-to-know” (1)) en overeenkomstig het vastgestelde kader van bedrijfsbeleid (met inbegrip van het informatiebeveiligingsbeleid). Er worden duidelijke regels voor toegangscontrole vastgesteld op basis van het “least privilege”-beginsel (2) om de behoeften van de desbetreffende bedrijfs- en IT-processen nauwkeurig weer te geven. In voorkomend geval (bv. voor back-upbeheer) moet de logische toegangscontrole consistent zijn met fysieke toegangscontrole, tenzij er adequate compenserende controles zijn (bv. encryptie, anonimisering van persoonsgegevens).

Er worden formele en gedocumenteerde procedures ingesteld om de toewijzing van toegangsrechten tot informatiesystemen en -diensten die binnen het toepassingsgebied van de betalingsketen vallen, te controleren. De procedures hebben betrekking op alle fasen van de levenscyclus van de gebruikerstoegang, vanaf de initiële registratie van nieuwe gebruikers tot de definitieve uitschrijving van gebruikers die geen toegang meer nodig hebben.

In voorkomend geval moet bijzondere aandacht worden besteed aan de toewijzing van toegangsrechten die zo kritiek zijn dat het misbruik van die toegangsrechten ernstige negatieve gevolgen kan hebben voor de bedrijfsvoering van de deelnemer (bv. toegangsrechten voor systeembeheer, omzeilen van systeemcontroles, rechtstreekse toegang tot bedrijfsgegevens).

Er worden passende controles ingevoerd om gebruikers op specifieke punten in het netwerk van de organisatie te identificeren, te authentiseren en te machtigen, bijvoorbeeld voor lokale toegang en toegang op afstand tot systemen in de betalingsketen. Teneinde verantwoordingsplicht te waarborgen, mogen persoonlijke rekeningen niet worden gedeeld.

Voor wachtwoorden worden regels vastgesteld en gehandhaafd door middel van specifieke controles om ervoor te zorgen dat wachtwoorden niet gemakkelijk te achterhalen zijn, bv. complexiteitsregels en beperkte geldigheidsduur. Er wordt een protocol opgesteld voor het veilige herstellen en/of resetten van wachtwoorden.

Er wordt een beleid ontwikkeld en toegepast inzake het gebruik van cryptografische controles om de vertrouwelijkheid, authenticiteit en integriteit van informatie te beschermen. Er wordt een beleid inzake sleutelbeheer vastgesteld ter ondersteuning van het gebruik van cryptografische controles.

Er wordt een beleid ingesteld voor het bekijken van vertrouwelijke informatie op een scherm of in gedrukte vorm (bv. schermvergrendeling, clean deskbeleid) om het risico van ongeoorloofde toegang te beperken.

Bij werken op afstand moeten de risico’s van werken in een onbeschermde omgeving in aanmerking worden genomen en moeten passende technische en organisatorische controles worden toegepast.

Vereiste 1.10: Aankoop, ontwikkeling en onderhoud van informatiesystemen

Voorafgaande aan de ontwikkeling en/of invoering van informatiesystemen worden beveiligingsvereisten vastgesteld en overeengekomen.

Er worden passende controles ingebouwd in applicaties, met inbegrip van door de gebruiker ontwikkelde applicaties, om een correcte verwerking te waarborgen. Deze controles omvatten de validering van inputgegevens, interne verwerkingsgegevens en outputgegevens. Aanvullende controles kunnen nodig zijn voor systemen die gevoelige, waardevolle of kritieke informatie verwerken of beïnvloeden. Dergelijke controles worden bepaald op basis van beveiligingsvereisten en risicobeoordeling overeenkomstig het vastgestelde beleid (bv. informatiebeveiligingsbeleid, cryptografische controlebeleid).

De operationele vereisten van nieuwe systemen worden vastgesteld, gedocumenteerd en getest voordat zij worden aanvaard en gebruikt. Met betrekking tot netwerkbeveiliging moeten passende controles, met inbegrip van segmentatie en veilig beheer, worden uitgevoerd op basis van het kritieke belang van gegevensstromen en het risiconiveau van de netwerkzones in de organisatie. Er worden specifieke controles uitgevoerd om gevoelige informatie die via openbare netwerken wordt doorgegeven te beschermen.

De toegang tot de systeembestanden en de programmabroncode wordt gecontroleerd en IT-projecten en ondersteunende activiteiten worden op een veilige manier uitgevoerd. Er wordt op gelet dat gevoelige gegevens niet in testomgevingen worden blootgesteld. Project- en ondersteuningsomgevingen worden strikt gecontroleerd. Het aanbrengen van wijzigingen in de productie wordt streng gecontroleerd. Er wordt een risicobeoordeling uitgevoerd van ingrijpende wijzigingen die in de productie moeten worden doorgevoerd.

Regelmatige beveiligingstests van in productie zijnde systemen worden ook uitgevoerd volgens een vooraf vastgesteld plan dat is gebaseerd op de resultaten van een risicobeoordeling en beveiligingstests omvatten ten minste kwetsbaarheidsbeoordelingen. Alle tekortkomingen die tijdens de beveiligingstests aan het licht zijn gekomen, worden beoordeeld en er worden tijdig actieplannen opgesteld en opgevolgd om eventuele vastgestelde leemten te dichten.

Vereiste 1.11: Informatiebeveiliging in relaties met leveranciers (3)

Ter bescherming van de interne informatiesystemen van de deelnemer die toegankelijk zijn voor leveranciers, worden informatiebeveiligingsvoorschriften ter beperking van de risico’s in verband met de toegang van de leverancier gedocumenteerd en formeel met de leverancier overeengekomen.

Vereiste 1.12: Beheer van informatiebeveiligingsincidenten en verbeteringen

Teneinde te zorgen voor een consistente en doeltreffende aanpak van informatiebeveiligingsincidenten, met inbegrip van communicatie over beveiligingsincidenten en -zwakheden, worden rollen, verantwoordelijkheden en procedures op zakelijk en technisch niveau vastgesteld en getest om ervoor te zorgen dat er snel, doeltreffend, ordelijk en veilig herstel plaatsvindt na informatiebeveiligingsincidenten, met inbegrip van scenario’s met betrekking tot een cybergerelateerde oorzaak (bv. fraude door een externe aanvaller of door een insider). Het personeel dat bij deze procedures betrokken is, moet naar behoren zijn opgeleid.

Vereiste 1.13: Beoordeling van de naleving van de technische voorschriften

De interne informatiesystemen van een deelnemer (bv. backoffice-systemen, interne netwerken en externe netwerkconnectiviteit) worden regelmatig beoordeeld op conformiteit met het vastgestelde beleidskader van de organisatie (bv. informatiebeveiligingsbeleid, beleid inzake cryptografische controle).

Vereiste 1.14: Virtualisatie

Guest virtual machines moeten voldoen aan alle beveiligingscontroles die zijn ingesteld voor fysieke hardware en systemen (bv. verharding, registratie). De controles met betrekking tot hypervisors moeten het volgende omvatten: verharding van de hypervisor en het hosting-besturingssysteem, regelmatig patchen, strikte scheiding van verschillende omgevingen (bv. productie en ontwikkeling). Gecentraliseerd beheer, registratie en monitoring, alsmede beheer van toegangsrechten, met name voor zeer vertrouwelijke rekeningen, worden uitgevoerd op basis van een risicobeoordeling. Guest virtual machines die door dezelfde hypervisor worden beheerd, moeten een vergelijkbaar risicoprofiel hebben.

Vereiste 1.15: Cloudcomputing

Het gebruik van openbare en/of hybride cloudoplossingen in de betalingsketen moet gebaseerd zijn op een formele risicobeoordeling, waarbij rekening wordt gehouden met de technische controles en de contractuele bepalingen met betrekking tot de cloudoplossing.

Indien hybride cloudoplossingen worden gebruikt, wordt ervan uitgegaan dat het kriticiteitsniveau van het gehele systeem het hoogste van de aangesloten systemen is. Alle onderdelen ter plaatse van de hybride oplossingen moeten worden gescheiden van de andere systemen ter plaatse.

Bedrijfscontinuïteitsbeheer (alleen van toepassing op kritieke deelnemers)

De volgende vereisten (2.1 tot en met 2.6) hebben betrekking op bedrijfscontinuïteitsbeheer. Elke TARGET2-deelnemer die door het Eurosysteem als kritiek is geclassificeerd voor de goede werking van het TARGET2-systeem, beschikt over een bedrijfscontinuïteitsstrategie die de volgende elementen omvat.