+Resource Management

Resource Management

Identify and maintain relevant and trustworthy information resources to build and sustain awareness about vulnerabilities. Track the usage of thirdparty libraries, including open source, by monitoring versions and potential updates (see also 28.2-3).

1. Преглед

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани регулации

2. Идентифицирани изисквания

Изисквания

3. Свързани регулации

Регулации
EULAW Article 25 2

2.   Central securities depositories and central counterparties shall perform vulnerability assessments before any deployment or redeployment of new or existing applications and infrastructure components, and ICT services supporting critical or important functions of the financial entity.
EULAW Член 10 1.
Като част от политиките, процедурите, протоколите и инструментите за сигурност на ИКТ, посочени в член 9, параграф 2 от Регламент (ЕС) 2022/2554, финансовите субекти разработват, документират и прилагат процедури за управление на уязвими места.
EULAW Член 10 2.

С посочените в параграф 1 процедури за управление на уязвими места се постига следното:

а) 

установяват се и се актуализират подходящи и надеждни информационни ресурси за изграждане и поддържане на осведомеността относно уязвимите места;

б) 

гарантира се извършването на автоматизирано сканиране за уязвимите места и оценки на активите на ИКТ, като честотата и обхватът на тези дейности са съизмерими с класификацията, установена в съответствие с член 8, параграф 1 от Регламент (ЕС) 2022/2554, и с цялостния рисков профил на актива на ИКТ;

в) 

проверява се дали:

i) 

трети страни доставчици на услуги в областта на ИКТ се справят с уязвимите места, свързани с предоставяните на финансовия субект услуги в областта на ИКТ;

ii) 

тези доставчици на услуги докладват своевременно на финансовия субект поне за критичните уязвими места и статистически данни и тенденции;

г) 

проследява се използването на:

i) 

библиотеки на трети страни, включително библиотеки с отворен код, използвани от услуги в областта на ИКТ, поддържащи критични или важни функции;

ii) 

услуги в областта на ИКТ, разработени от самия финансов субект или специално персонализирани или разработени за финансовия субект от трета страна доставчик на услуги в областта на ИКТ;

д) 

установяват се процедури за отговорно уведомяване на клиентите, контрагентите и на обществеността за уязвими места;

е) 

отдава се приоритет на внедряването на корекции и други мерки за намаляване на риска с цел отстраняване на установените уязвими места;

ж) 

наблюдава се и се проверява отстраняването на уязвимите места;

з) 

изискват се записване на всички открити уязвими места, засягащи системите на ИКТ, и наблюдение на намирането на решение за тях.

За целите на буква б) финансовите субекти извършват поне веднъж седмично автоматизирано сканиране за уязвими места и оценки на активи на ИКТ за активите на ИКТ, поддържащи критични или важни функции.

За целите на буква в) финансовите субекти искат от трети страни доставчици на услуги в областта на ИКТ да проучат съответните уязвими места, да определят първопричините и да приложат подходящи действия за намаляване на риска.

За целите на буква г), когато е подходящо и в сътрудничество с трета страна доставчик на услуги в областта на ИКТ, финансовите субекти наблюдават версията и възможните актуализации на библиотеките на трети страни. Когато се използват готови за употреба (стандартизирани) активи на ИКТ или компоненти на активи на ИКТ, придобити и използвани при осъществяването на услуги в областта на ИКТ, които не поддържат критични или важни функции, финансовите субекти проследяват доколкото е възможно използването на библиотеки на трети страни, включително библиотеки с отворен код.

За целите на буква е) финансовите субекти вземат предвид критичната значимост на уязвимото място, установената в съответствие с член 8, параграф 1 от Регламент (ЕС) 2022/2554 класификация и рисковия профил на активите на ИКТ, засегнати от установените уязвими места.
EULAW Член 10 3.
Като част от политиките, процедурите, протоколите и инструментите за сигурност на ИКТ, посочени в член 9, параграф 2 от Регламент (ЕС) 2022/2554, финансовите субекти разработват, документират и прилагат процедури за управление на коригирането.
EULAW Член 10 4.

С посочените в параграф 3 процедури за управление на коригирането се постига следното:

а) 

доколкото е възможно, идентифицират се и се оценяват наличните софтуерни и хардуерни корекции и актуализации с помощта на автоматизирани инструменти;

б) 

идентифицират се процедурите при извънредни ситуации във връзка с коригирането и актуализирането на активи на ИКТ;

в) 

тестват се и се внедряват софтуерните и хардуерните корекции и актуализациите, посочени в член 8, параграф 2, буква б), точки v), vi) и vii);

г) 

определят се сроковете за инсталирането на софтуерни и хардуерни корекции и актуализации и процедурите за пренасочване на управлението, в случай че тези срокове не могат да бъдат спазени.