EBA欧洲银行-Guidelines-on-the-security-measures-under-PSD2-28EBA-GL-2017-1729_PT_17页_285kb

报告摘要

Natureza das Orientações: As orientações são emitidas pela EBA no âmbito do artigo 16.º do Regulamento (UE) n.º 1093/2010, com o objetivo de estabelecer práticas de supervisão adequadas no Sistema Europeu de Supervisão Financeira.
Aplicação: As orientações aplicam-se a prestadores de serviços de pagamento e às autoridades competentes.
Notificações: As autoridades competentes devem notificar a EBA se cumprem ou não as orientações até 12.03.2018. A falta de notificação implica não cumprimento. As notificações devem ser feitas via modelo disponível no site da EBA para o endereço Compliance@eba.europa.eu com referência "EBA/GL/2017/11".
Atualizações: Qualquer alteração na situação de cumprimento deve ser comunicada à EBA.

Objeto: As orientações visam a gestão de riscos operacionais e de segurança pelos prestadores de serviços de pagamento conforme a Diretiva (UE) 2015/2366 (PSD2).
Destinatários: Aplicam-se a prestadores de serviços de pagamento definidos na PSD2 e às autoridades competentes.
Definições Chave:
- Órgão de administração: Define-se conforme o tipo de prestador de serviços (instituição financeira, instituição de pagamento, instituição de moeda eletrónica).
- Incidente operacional ou de segurança: Evento ou série de eventos que podem afetar a integridade, disponibilidade, confidencialidade, autenticidade e continuidade dos serviços de pagamento.
- Apetência pelo risco: Nível de risco que a instituição está disposta a assumir, de acordo com o seu modelo de negócio e objetivos estratégicos.
- Defesa em profundidade: Abordagem de segurança com múltiplos níveis de controlo, incluindo pessoas, processos e tecnologia.
- Confidencialidade, integridade e disponibilidade: Devem ser garantidas para dados sensíveis e ativos críticos, independentemente de sua localização (armazenados, em trânsito ou em uso).
- Controlo de acesso: Deve ser limitado à necessidade de conhecimento e baseado em funções, com supervisão atenta.

Data de Aplicação: As orientações entram em vigor a partir de 13 de janeiro de 2018.
Quadro de Gestão de Riscos:
- Deve ser aprovado e revisado anualmente pelo órgão de administração e, quando relevante, pela direção de topo.
- Deve incluir um documento de política de segurança, ser consistente com a apetência pelo risco e definir funções e responsabilidades.
- Deve abranger a identificação, medição, monitorização e gestão de riscos operacionais e de segurança, incluindo planos de continuidade de negócio.

Medidas de Segurança Preventivas: Devem ser implementadas para mitigar riscos operacionais e de segurança, com nível adequado de proteção.
Defesa em Profundidade: Implementação de múltiplos níveis de controlo, como autenticação de dois fatores, segmentação de rede e firewalls.
Confidencialidade, Integridade e Disponibilidade: Devem ser asseguradas para ativos críticos e dados sensíveis, com especial atenção a dados pessoais.
Atualizações de Software e Firmware: Devem ser verificadas regularmente e corrigidas, com mecanismos de verificação de integridade.
Medidas de Segurança Física: Devem proteger dados sensíveis e sistemas de informação.
Controlo de Acesso:
- Acesso físico e lógico deve ser limitado a pessoas autorizadas.
- Deve ser baseado na "necessidade de conhecimento", com revisão periódica.
- Acesso remoto administrativo deve ser concedido apenas para componentes críticos com autenticação forte.
- Devem ser implementados controlos reforçados, como registo e revisão de atividades, autenticação forte e monitorização de anomalias.

Monitorização Contínua: Devem ser implementados processos para monitorizar atividades anormais e detectar intrusões, violações de confidencialidade e outras ameaças.
Criterios e Limites de Incidentes: Devem ser definidos para classificar eventos como incidentes de segurança, com indicadores de alerta previo.
Processos de Detecção: Devem incluir detecção de fugas de informação, malware e vulnerabilidades de software e hardware.
Comunicação de Incidentes: Devem ser comunicados à direção de topo e incluir processos para monitorização, tratamento e acompanhamento.

Gestão da Continuidade de Negócio: Deve ser estabelecida para garantir a capacidade de operar continuamente e limitar perdas em caso de interrupção grave.
Análise de Riscos: Devem ser analisadas as exposições e impactos potenciais de perturbações graves, com base em dados internos e externos.
Planos de Continuidade de Negócio:
- Devem ser focados no impacto em áreas, sistemas, transações e interdependências críticas.
- Devem ser documentados, acessíveis em caso de emergência e atualizados com lições aprendidas.
Testes de Continuidade de Negócio:
- Devem ser realizados pelo menos anualmente, com cenários adequados e desafios aos pressupostos.
- Devem incluir procedimentos para verificar a capacidade do pessoal e dos processos.
Comunicação de Crises: Medidas eficazes devem ser implementadas para informar todas as partes interessadas de forma rápida e adequada.

Estrutura de Teste: Deve validar a robustez e eficácia das medidas de segurança, adaptando-se a novas ameaças e vulnerabilidades.
Testes de Infraestrutura, Processos e Procedimentos:
- Devem ser realizados em caso de alterações ou incidentes graves.
- Devem abranger terminais de pagamento, dispositivos de autenticação e sistemas de geração/recepção de códigos de autenticação.
Testes de Penetração e Análise de Vulnerabilidades: Devem ser incluídos com base no nível de risco identificado.
Testes Contínuos:
- Sistemas críticos devem ser testados pelo menos anualmente.
- Sistemas não críticos devem ser testados regularmente com base na abordagem de risco.
- Resultados dos testes devem ser monitorizados e usados para atualizar as medidas de segurança.

Censo de Ameaças e Conhecimento da Situação:
- Devem ser identificadas e monitorizadas constantemente ameaças que possam afetar a capacidade de operação.
- As análises de incidentes devem levar a lições aprendidas e atualizações das medidas de segurança.
Monitorização de Desenvolvimento Tecnológico: Devem ser feitas para identificar riscos de segurança.
Programas de Formação e Sensibilização:
- Devem ser estabelecidos para todo o pessoal, com formação anual ou mais frequente, visando reduzir erros humanos, roubo, fraude e perda.
- Pessoal com funções essenciais deve receber formação especializada em segurança da informação.
- Devem ser implementados programas periódicos de sensibilização para educar o pessoal e abordar riscos de segurança.