Dziedzina Punkty kontrolne (1) Wytyczne regulacyjne Wytyczne dotyczące dowodów

Bezpieczeństwo organizacyjne i fizyczne A.6 Organizacja bezpieczeństwa informacji — A.6.1 Organizacja wewnętrzna — A.6.2 Urządzenia mobilne i telepraca A.7 Bezpieczeństwo zasobów ludzkich — A7.1 Przed zatrudnieniem — A7.2 Podczas zatrudnienia — A7.3 Zakończenie i zmiana zatrudnienia A.11 Bezpieczeństwo fizyczne i środowiskowe — A.11.1 Obszary bezpieczne — A.11.2 Sprzęt Uwagi do pkt A.6 i A.11: Repozytorium musi fizycznie znajdować się na terytorium UE. Dane nie mogą być przechowywane w państwie trzecim ani przekazywane do państwa trzeciego. (art. 15 ust. 8 dyrektywy 2014/40/UE) Repozytorium musi być chronione przez procedury i systemy bezpieczeństwa zapewniające, aby dostęp do repozytorium był zarezerwowany dla właściwych organów państw członkowskich, Komisji i audytorów zewnętrznych. Uwagi do pkt A.7: Dostawca repozytorium oraz jego podwykonawcy muszą być niezależni i wykonywać swoje funkcje w sposób bezstronny. Zastosowanie mają wymogi dotyczące niezależności prawnej, niezależności finansowej i braku konfliktu interesów (art. 35 rozporządzenia wykonawczego (UE) 2018/574) Schemat organizacyjny organizacji, opisy stanowisk pracy podpisane przez personel kluczowy, udział w odpowiednich szkoleniach dotyczących pełnionych ról. Wykaz nominacji (CISO, IOD itp.) oraz opis obowiązków i zadań w ramach ról pełnionych w zakresie bezpieczeństwa. Dowód uczestnictwa personelu w szkoleniach (np. przyjęte zaproszenie, data i program szkoleń, podpisana lista uczestników warsztatów informacyjnych itp.). Polityka/procedury dotyczące bezpieczeństwa zasobów ludzkich regularnie poddawane przeglądowi i aktualizowane (ewidencja wykonania procedur). Podstawowe wdrożenie środków bezpieczeństwa fizycznego i kontroli otoczenia, takich jak zamki w drzwiach i szafkach, alarmy przeciwwłamaniowe i przeciwpożarowe, gaśnice, telewizja przemysłowa itp. Wykaz personelu z uprawnionym dostępem i upoważnieniami. Udokumentowana polityka dotycząca środków bezpieczeństwa fizycznego i kontroli otoczenia, w tym opis odpowiednich obiektów i systemów. Szczegółowy wykaz obejmujący sprzęt używany do celów administracyjnych.

Bezpieczeństwo eksploatacji A.12 Bezpieczeństwo eksploatacji — A.12.1 Procedury i obowiązki w zakresie eksploatacji — A.12.3 Kopie zapasowe — A.12.4 Rejestrowanie i monitorowanie — A.12.5 Nadzór nad oprogramowaniem operacyjnym — A.12.6 Zarządzanie podatnościami technicznymi Uwagi do pkt A.12.3: Wszystkie składniki i usługi repozytorium muszą posiadać wystarczający mechanizm zabezpieczający (art. 25 ust. 1 lit. i) rozporządzenia wykonawczego (UE) 2018/574) Uwagi do pkt A.12.4: Repozytorium musi zawierać pełną ścieżkę audytu wszystkich operacji dotyczących przechowywanych danych oraz użytkowników wykonujących powiązane operacje, w tym charakteru tych operacji oraz historii dostępu użytkowników (art. 25 ust. 1 lit. m) rozporządzenia wykonawczego (UE) 2018/574) Wytyczne dotyczące dowodów w odniesieniu do zdarzeń i rejestrowania: — próby logowania i wylogowania (zarówno udane, jak i nieudane) — ponowne uruchamianie serwera bazy danych — polecenia wydawane przez użytkowników z uprawnieniami administratora systemu — próby naruszenia integralności (w przypadku gdy zmienione lub wprowadzone dane nie odpowiadają wartościom więzów spójności referencyjnej, więzów klucza jednoznacznego (unique) i więzów check) — operacje wyboru, wstawiania, aktualizacji i usunięcia — wykonywanie procedur składowanych — nieudane próby uzyskania dostępu do bazy danych lub tabeli (brak uprawnień) — zmiany w tabelach katalogu systemowego Procedura konserwacji systemu bezpieczeństwa odpowiednio udokumentowana i zatwierdzona przez kadrę kierowniczą wyższego szczebla. Jasno zdefiniowany proces utrzymywania minimalnego poziomu bezpieczeństwa. Wykaz wszystkich umów ze stronami trzecimi (2). Wymogi w zakresie bezpieczeństwa wyraźnie określone w umowach zawieranych ze stronami trzecimi dostarczającymi produkty informatyczne, usługi informatyczne, zlecane na zewnątrz procesy biznesowe, pomoc techniczną itp. Udokumentowana polityka bezpieczeństwa w odniesieniu do umów ze stronami trzecimi Udokumentowane uwagi lub dzienniki zmian dotyczące polityki. Wprowadzona i utrzymywana procedura lub polityka oceny ryzyka w zakresie sprzedawcy/zarządzania ryzykiem w zakresie sprzedawcy. Udokumentowane zmiany lub zakończenie relacji ze stronami trzecimi. Sprawozdania z powiązanych działań w zakresie podnoszenia świadomości i szkoleń. Systemy, narzędzia i procedury wykrywania i analizy incydentów. Udokumentowana polityka wykrywania i analizy incydentów uwzględniająca cel, zakres, role i obowiązki oraz koordynację między wszystkimi powiązanymi podmiotami, w tym klientami. Istnienie sprawozdań dotyczących wykrywania i eskalacji minionych incydentów związanych z bezpieczeństwem. Aktualna dokumentacja dotycząca polityki wykrywania incydentów oraz powiązanych procedur i systemów. Wykaz wykrytych i eskalowanych poważnych incydentów mających miejsce w przeszłości, w tym wszystkich powiązanych informacji (przyczyna, skutki, kolejność podjętych działań). Dowody wcześniejszych ćwiczeń w dziedzinie cyberbezpieczeństwa, w tym daty ich przeprowadzenia.

Kontrola dostępu (użytkownicy i aplikacje) A.9 Kontrola dostępu — A.9.1 Wymagania biznesowe wobec kontroli dostępu — A.9.2 Zarządzanie dostępem użytkowników — A.9.3 Obowiązki użytkowników — A.9.4 Kontrola dostępu do systemów i aplikacji A.14 Pozyskiwanie, rozwój i utrzymywanie systemów — A.14.2 Bezpieczeństwo w procesach rozwoju i wsparcia Uwagi do pkt A.9: Dostęp do ośrodków przechowywania danych i przechowywanych w nich danych należy ograniczyć do państw członkowskich, Komisji Europejskiej i zatwierdzonych audytorów zewnętrznych (art. 15 ust. 8 dyrektywy 2014/40/UE; art. 25 ust. 1 lit. j) rozporządzenia wykonawczego (UE) 2018/574) Polityka kontroli dostępu, w tym opis ról, grup, praw dostępu, procedur przyznawania i cofania prawa dostępu do systemów informacyjnych. Określenie zasady usuwania nieużywanych już kont po krótkim czasie. Matryce związane z kontrolą dostępu (np. matryca kontroli rozdziału obowiązków, kontrola zdalnego dostępu itp.). Sekcja dotycząca praw dostępu zawarta w polityce/procedurach kontroli dostępu. Polityka kontroli dostępu obejmuje rejestr przyporządkowywania praw dostępu do odpowiednich zasobów lub procesów. Dostosowane i udokumentowane konta administracyjne z konkretnymi prawami dostępu przyznanymi odpowiedniemu personelowi. Udokumentowane zarządzanie procesem kont administratora. Dostępne dzienniki aktywności konta administratora. Administracyjne systemy informacyjne wyodrębnione i oddzielone od reszty infrastruktury w celu zwiększenia odporności. Formalnie udokumentowane wymogi dotyczące oprogramowania do celów zapewniania kompatybilności.

Bezpieczeństwo komunikacji A.10 Kryptografia — A.10.1 Zabezpieczenia kryptograficzne A.13 Bezpieczeństwo komunikacji — --A.13.1 Zarządzanie bezpieczeństwem sieci — A.13.2 Przesyłanie informacji Uwagi do pkt A.13: Wymiana danych między repozytoriami pierwotnymi a repozytorium wtórnym i routerem musi odbywać się zgodnie ze specyfikacjami technicznymi określonymi przez dostawcę repozytorium wtórnego (art. 28 ust. 1 rozporządzenia wykonawczego (UE) 2018/574) Wymiana wszelkich informacji drogą elektroniczną musi być prowadzona przy użyciu bezpiecznych środków. Mające zastosowanie protokoły bezpieczeństwa i zasady dotyczące łączności muszą być oparte na niezastrzeżonych i otwartych standardach (art. 36 ust. 1 rozporządzenia wykonawczego (UE) 2018/574) Istnieją odpowiednie procesy kryptograficzne. Istnieją zabezpieczenia chroniące poufność (prywatnego) klucza lub kluczy. Wprowadzona i utrzymywana polityka lub procedura konfiguracji systemu. Tabele konfiguracji systemu. Harmonogram i plan cykli przeglądu konfiguracji systemu. Udokumentowane wcześniejsze ćwiczenia/testy krytycznych systemów informacyjnych. Harmonogram i plan przeglądów konfiguracji bezpieczeństwa. Dokumentacja dotycząca wdrażania rozdziału sieci i systemu oraz danych. Sprawozdania z monitorowania krytycznych sieci i systemów informacyjnych. Udokumentowana polityka w zakresie procedur monitorowania, w tym minimalne wymogi w zakresie monitorowania. Dowód istnienia narzędzi systemów monitorowania.

Ciągłość działania A.16 Zarządzanie incydentami związanymi z bezpieczeństwem informacji — A.16.1 Zarządzanie incydentami związanymi z bezpieczeństwem informacji oraz udoskonaleniami A.17 Aspekty bezpieczeństwa informacji w zarządzaniu ciągłością działania — A.17 Aspekty bezpieczeństwa informacji w zarządzaniu ciągłością działania — A.17.1 Ciągłość bezpieczeństwa informacji — A.17.2 Nadmiarowość A.18 Zgodność — A.18.1 Zgodność z wymaganiami prawnymi i umownymi Uwagi do pkt A.17: Wszystkie składniki i usługi repozytorium muszą spełniać wymóg miesięcznego nieprzerwanego czasu działania na poziomie co najmniej 99,5 % (art. 25 ust. 1 lit. i) rozporządzenia wykonawczego (UE) 2018/574) Możliwość przenoszenia danych musi być zabezpieczona zgodnie z mającym zastosowanie słownikiem wspólnych danych (art. 36 ust. 2 rozporządzenia wykonawczego (UE) 2018/574) Dostawca musi posiadać mający zastosowanie plan wyjścia. (art. 19 rozporządzenia delegowanego (UE) 2018/573) Uwagi do pkt A.18.1: Przetwarzanie danych musi odbywać się zgodnie z rozporządzeniem (UE) 2016/679 (ogólne rozporządzenie o ochronie danych) oraz być zgodne z umową o przetwarzanie danych zawartą między dostawcą repozytorium pierwotnego a dostawcą repozytorium wtórnego. Formalnie udokumentowana strategia zapewniająca ciągłość usług, w tym zakładany czas wznowienia kluczowych usług i procesów. Plany awaryjne dla systemów krytycznych, w tym jasne kroki i procedury dotyczące wspólnych zagrożeń, czynników wyzwalających aktywację, etapów i zakładanego czasu wznowienia funkcji. Zapisy dotyczące poszczególnych działań szkoleniowych oraz sprawozdania z okresu po ćwiczeniu. Środki mające na celu radzenie sobie z klęskami żywiołowymi (np. trzęsienie ziemi, powódź, pożar), np. miejsca w innych regionach przejmujące działalność w przypadku awarii, kopie zapasowe danych krytycznych, które muszą być wykonane w odległej lokalizacji (geograficznie różniącej się od ośrodka dokonującego gromadzenia i przetwarzania danych), w wystarczającej odległości, aby uniknąć wszelkich szkód spowodowanych klęską żywiołową w głównej siedzibie itp. Formalnie udokumentowane procedury/polityka wdrażania zdolności w zakresie przywracania gotowości do pracy po klęsce żywiołowej, w tym wykaz katastrof naturalnych lub poważnych klęsk żywiołowych, które mogą mieć wpływ na usługi, oraz wykaz zdolności w zakresie przywracania gotowości do pracy po klęsce żywiołowej (dostępnych wewnętrznie lub zapewnionych przez osoby trzecie). Rejestr poszczególnych działań szkoleniowych dla personelu biorącego udział w operacjach przywracania gotowości do pracy po wystąpieniu klęski żywiołowej.