EBA欧洲银行-Guidelines-on-the-security-measures-under-PSD2-28EBA-GL-2017-1729_IT_16页_278kb

报告摘要

Status giuridico: Gli orientamenti sono emanati in applicazione dell'articolo 16 del regolamento (UE) n. 1093/2010. Le autorità competenti e gli enti finanziari devono conformarsi agli orientamenti.
Obblighi di comunicazione: Le autorità competenti devono comunicare all'ABE entro 12.03.2018 se sono conformi o se intendono conformarsi. In mancanza di comunicazione, saranno considerate non conformi. Le notifiche devono essere inviate tramite modulo specifico a compliance@eba.europa.eu con riferimento "EBA/GL/2017/17".

Destinatari: I prestatori di servizi di pagamento, come definiti nella direttiva (UE) 2015/2366 e nel regolamento (UE) 1093/2010, e le autorità competenti.
Definizioni chiave:
- Organo di gestione: Dipendenti responsabili della gestione dell'ente.
- Incidente operativo o di sicurezza: Evento non pianificato che ha un impatto negativo sui servizi di pagamento.
- Propensione al rischio: Livello e tipo di rischio che l'ente è disposto ad assumere.
- Rischio di sicurezza: Rischi derivanti da processi interni o eventi esterni che minacciano la disponibilità, integrità e riservatezza dei sistemi ICT.
- Controlli di accesso: Limitare l'accesso fisico e logico solo alle persone autorizzate.

Data di applicazione: I presenti orientamenti si applicano a partire dal 13 gennaio 2018.

Tutti i prestatori di servizi di pagamento devono conformarsi agli orientamenti.
Il livello di dettaglio deve essere proporzionato alle dimensioni dell'ente, alla natura dei servizi e al livello di rischio.

Framework per la gestione dei rischi: Deve essere approvato e riesaminato annualmente dall'organo di gestione e dall'alta dirigenza.
Modelli di gestione dei rischi: Deve includere tre linee di difesa o un modello interno equivalente.
Controllo esterno: Gli orientamenti devono essere valutati da revisori esterni o interni, indipendenti, in materia di sicurezza informatica.
Externalizzazione: Le misure di sicurezza devono rimanere efficaci anche in caso di esternalizzazione delle funzioni operative.

Individuazione e classificazione: L'ente deve identificare e classificare le funzioni, processi e risorse informatiche.
Valutazione dei rischi: Deve monitorare costantemente le minacce e le vulnerabilità, e valutare gli scenari di rischio.
Modifiche alle misure: Gli orientamenti devono guidare le modifiche alle misure di sicurezza, ai sistemi e ai processi, tenendo conto del tempo necessario per implementare le nuove misure.

Misure preventive: Deve garantire un livello di sicurezza adeguato in base ai rischi identificati.
Difesa in profondità: Approccio con controlli multipli su persone, processi e tecnologia.
Integrità e riservatezza: Garantire la protezione dei dati e dei sistemi, in particolare per quelli sensibili.
Sicurezza fisica: Disporre di misure fisiche adeguate per proteggere dati e sistemi.
Controlli di accesso: Limitare l'accesso fisico e logico solo a personale autorizzato e addestrato.
Accesso privilegiato: Controllare rigorosamente l'accesso privilegiato e garantire autenticazione forte e monitoraggio delle anomalie.

Monitoraggio continuo: Processi e capacità per rilevare attività anomale e intrusioni.
Classificazione degli incidenti: Definire criteri e soglie per identificare incidenti operativi o di sicurezza.
Segnalazione: Procedura per segnalare agli enti di alta dirigenza gli incidenti e i reclami dei clienti.
Indicazioni di preallerta: Strumenti per individuare rapidamente incidenti.

Pianificazione: Piani per la continuità operativa devono garantire la capacità di mantenere le attività critiche e di ripristinare i servizi.
Analisi degli scenari: Considerare diversi scenari, inclusi quelli estremi, e valutarne gli impatti.
Verifica dei piani: I piani devono essere verificati annualmente e aggiornati in base a nuove minacce, modifiche e analisi.
Comunicazione in caso di crisi: Garantire una comunicazione tempestiva e appropriata alle parti interessate.

Quadro di riferimento: Deve garantire la solidità e l'efficacia delle misure di sicurezza.
Verifiche: Eseguire verifiche formali e indipendenti, inclusi scans di vulnerabilità e test di penetrazione.
Frequenza: Le verifiche devono essere eseguite almeno annualmente per i sistemi critici e con cadenza inferiore per quelli non critici.

Monitoraggio delle minacce: Processi per identificare e monitorare minacce alla sicurezza e all'operatività.
Analisi degli incidenti: Valutare gli incidenti interni ed esterni e aggiornare le misure di sicurezza.
Monitoraggio tecnologico: Mantenere aggiornata la conoscenza delle nuove tecnologie e minacce.

展开完整摘要