+Vulnerability Management

Vulnerability Management

Conduct automated vulnerability scanning and assessments on ICT assets. For assets supporting critical or important functions, perform scans and assessments on a weekly basis. Record detected vulnerabilities, monitor their resolution status, and verify the remediation of vulnerabilities. Disclose vulnerabilities responsibly to clients/customers, financial counterparts, and the public when appropriate. Ensure thirdparty service providers report vulnerabilities related to the services they offer. This includes investigating vulnerabilities, determining root causes, and implementing appropriate solutions by the service providers.

*Specific to central securities depositories and central counterparties: perform vulnerability assessments before any deployment or redeployment of new or existing applications and infrastructure components, and ICT services supporting critical or important functions.

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související regulace

2. Identifikované požadavky

Požadavky

3. Související regulace

Regulace
EULAW Článek 25 2

2.   Centrální depozitáři cenných papírů a ústřední protistrany provádějí hodnocení zranitelnosti před každým použitím či opakovaným použitím nových nebo stávajících aplikací nebo prvků infrastruktury a služeb IKT podporujících zásadní nebo důležité funkce finančního subjektu.
EULAW Článek 10 1.
V rámci politik, postupů, protokolů a nástrojů v oblasti bezpečnosti IKT uvedených v čl. 9 odst. 2 nařízení (EU) 2022/2554 finanční subjekty vypracují, zdokumentují a zavedou postupy řízení zranitelností.
EULAW Článek 10 2.

Postupy řízení zranitelností uvedené v odstavci 1:

a) 

identifikují a aktualizují relevantní a důvěryhodné informační zdroje, aby bylo možné vytvořit a udržovat povědomí o zranitelnostech;

b) 

zajišťují provádění automatizovaného skenování a posuzování zranitelností aktiv v oblasti IKT, přičemž četnost a rozsah těchto činností musí být úměrné klasifikaci stanovené v souladu s čl. 8 odst. 1 nařízení (EU) 2022/2554 a celkovému rizikovému profilu aktiva v oblasti IKT;

c) 

ověřují, zda:

i) 

poskytovatelé služeb IKT z řad třetích stran řeší zranitelnosti související se službami IKT poskytovanými finančnímu subjektu;

ii) 

zda tito poskytovatelé služeb finančnímu subjektu včas hlásí alespoň kritické zranitelnosti a statistiky a trendy;

d) 

sledují používání:

i) 

knihoven třetích stran, včetně knihoven s otevřeným zdrojovým kódem, které používají služby IKT podporující zásadní nebo důležité funkce;

ii) 

služeb IKT vyvinutých samotným finančním subjektem nebo speciálně přizpůsobených či vyvinutých pro finanční subjekt poskytovatelem služeb IKT z řad třetích stran;

e) 

stanoví postupy pro odpovědné informování klientů, protistran a veřejnosti o zranitelnostech;

f) 

stanoví priority pro zavádění oprav a dalších opatření ke zmírnění zjištěných zranitelností;

g) 

sledují a ověřují nápravu zranitelností;

h) 

vyžadují evidenci všech zjištěných zranitelností, jež mají dopad na systémy IKT, a sledování jejich řešení.

Pro účely písmene b) u aktiv v oblasti IKT podporujících zásadní nebo důležité funkce provádějí finanční subjekty automatizované skenování a posuzování zranitelností alespoň jednou týdně.

Pro účely písmene c) finanční subjekty požádají poskytovatele služeb IKT z řad třetích stran, aby prošetřili příslušné zranitelnosti, určili jejich hlavní příčiny a provedli příslušná zmírňující opatření.

Pro účely písmene d) finanční subjekty, případně ve spolupráci s poskytovatelem služeb IKT z řad třetích stran, sledují verzi a případné aktualizace knihoven třetích stran. V případě aktiv v oblasti IKT nebo součástí aktiv v oblasti IKT připravených k použití (tj. standardních aktiv nebo součástí) pořízených a používaných při provozu služeb IKT, které nepodporují zásadní nebo důležité funkce, finanční subjekty v co největší míře sledují používání knihoven třetích stran, včetně knihoven s otevřeným zdrojovým kódem.

Pro účely písmene f) finanční subjekty zohlední kritičnost zranitelnosti, klasifikaci stanovenou v souladu s čl. 8 odst. 1 nařízení (EU) 2022/2554 a rizikový profil aktiv v oblasti IKT, kterých se zjištěné zranitelnosti týkají.
EULAW Článek 10 3.
V rámci politik, postupů, protokolů a nástrojů v oblasti bezpečnosti IKT uvedených v čl. 9 odst. 2 nařízení (EU) 2022/2554 finanční subjekty vypracují, zdokumentují a zavedou postupy řízení oprav.
EULAW Článek 10 4.

Postupy řízení oprav uvedené v odstavci 3:

a) 

v rámci možností identifikují a vyhodnocují dostupné softwarové a hardwarové opravy a aktualizace pomocí automatizovaných nástrojů;

b) 

určují nouzové postupy pro opravu a aktualizaci aktiv v oblasti IKT;

c) 

testují a zavádějí softwarové a hardwarové opravy a aktualizace uvedené v čl. 8 odst. 2 písm. b) bodech v), vi) a vii);

d) 

stanoví lhůty pro instalaci oprav a aktualizací softwaru a hardwaru a postupy eskalace v případě, že tyto lhůty nelze dodržet.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.