Les garanties organisationnelles et techniques mises en place au sein de la BCE afin de prévenir les abus et les accès ou transferts illicites comprennent:
a) en ce qui concerne les personnes:
i) le devoir pour toutes les personnes ayant accès à des informations non publiques de la BCE de connaître et d’appliquer la politique et les règles de la BCE en matière de gestion et de confidentialité des informations;
ii) une procédure d’habilitation de sécurité qui garantit que seules des personnes contrôlées et autorisées ont accès aux locaux de la BCE et à ses informations non publiques;
iii) des mesures de sensibilisation à la sécurité informatique, à la sécurité de l’information et à la sécurité physique;
iv) des formations organisées régulièrement pour les membres du personnel et les prestataires de services externes;
v) l’imposition aux membres du personnel de la BCE de règles strictes en matière de secret professionnel énoncées dans les conditions d’emploi de la BCE et les règles applicables au personnel de la BCE, dont la violation donne lieu à des sanctions disciplinaires;
vi) des règles et obligations régissant l’accès des prestataires de services externes ou des sous-traitants aux informations non publiques de la BCE, énoncées dans des dispositions contractuelles;
vii) des contrôles d’accès, y compris un zonage de sécurité, qui sont mis en œuvre pour garantir que l’accès des personnes aux informations non publiques de la BCE est autorisé et limité en fonction des besoins de l’activité et des exigences de sécurité;
b) en ce qui concerne les procédures:
i) la mise en place de procédures garantissant une mise en œuvre, une exploitation et une maintenance contrôlés des applications informatiques sur lesquelles reposent les activités de la BCE;
ii) l’utilisation, pour les activités de la BCE, d’applications informatiques conformes aux normes de sécurité de la BCE;
iii) l’existence d’un programme complet de sécurité physique en fonctionnement qui évalue en permanence les menaces pour la sécurité et comprend des mesures de sécurité physique afin d’assurer un niveau de protection approprié;
c) en ce qui concerne la technologie:
i) le stockage de toutes les données électroniques dans des applications informatiques conformes aux normes de sécurité de la BCE et ainsi protégées contre tout accès ou toute modification non autorisés;
ii) la mise en œuvre, l’exploitation et la maintenance des applications informatiques à un niveau de sécurité correspondant aux besoins desdites applications en matière de confidentialité, d’intégrité et de disponibilité, sur la base d’analyses d’impact sur les activités;
iii) la validation régulière du niveau de sécurité des applications informatiques par des évaluations techniques et non techniques de sécurité;
iv) l’octroi de l’accès aux informations non publiques de la BCE conformément au principe du «besoin d’en connaître», et un accès privilégié strictement limité et strictement contrôlé;
v) la mise en œuvre de contrôles pour détecter les failles de sécurité réelles et potentielles et en assurer le suivi.