+ICT Monitoring

ICT Monitoring

Develop, document and implement capacity and performance management procedures to identify capacity requirements of their ICT systems and apply resource optimisation and monitoring procedures to maintain and improve the availability of data and ICT systems and efficiency of ICT systems and prevent ICT capacity shortages.

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související regulace

2. Identifikované požadavky

Požadavky

3. Související regulace

Regulace
EULAW Článek 8 1.
V rámci politik, postupů, protokolů a nástrojů v oblasti bezpečnosti IKT uvedených v čl. 9 odst. 2 nařízení (EU) 2022/2554 finanční subjekty vypracují, zdokumentují a zavedou politiky a postupy pro řízení operací IKT. Tyto politiky a postupy stanoví, jak finanční subjekty provozují, monitorují, kontrolují a obnovují svá aktiva v oblasti IKT, včetně dokumentace operací IKT.
EULAW Článek 8 2.

Politiky a postupy pro operace IKT uvedené v odstavci 1 obsahují všechny tyto prvky:

a) 

popis aktiv v oblasti IKT, včetně všech následujících údajů:

i) 

požadavky na bezpečnou instalaci, údržbu, konfiguraci a deinstalaci systému IKT;

ii) 

požadavky týkající se správy informačních aktiv využívaných aktivy v oblasti IKT, včetně jejich zpracování a jejich používání, a to jak automatizovaného, tak manuálního;

iii) 

požadavky týkající se identifikace a kontroly původních systémů IKT;

b) 

kontroly a monitorování systémů IKT, včetně všech následujících položek:

i) 

požadavky na zálohování a obnovu systémů IKT;

ii) 

požadavky na časové plánování s ohledem na vzájemné závislosti mezi systémy IKT;

iii) 

protokoly pro auditní stopu a informace systémového protokolu;

iv) 

požadavky na zajištění toho, aby provádění interního auditu a dalších testů co nejméně narušovalo obchodní činnost;

v) 

požadavky na oddělení produkčních prostředí IKT od vývojových, testovacích a jiných neprodukčních prostředí;

vi) 

požadavky na provádění vývoje a testování v prostředích, která jsou oddělena od produkčního prostředí;

vii) 

požadavky na provádění vývoje a testování v produkčním prostředí;

c) 

řešení chyb systémů IKT, včetně všech následujících položek:

i) 

postupy a protokoly pro řešení chyb;

ii) 

kontakty pro účely podpory a eskalace, včetně kontaktů na externí podporu v případě neočekávaných provozních nebo technických problémů;

iii) 

postupy pro restartování, zpětné obnovení („rollback“) a obnovu systému IKT, které se použijí v případě narušení systému IKT.

Pro účely písm. b) bodu v) se oddělení týká všech složek prostředí, včetně účtů, dat nebo spojení, jak požaduje čl. 13 první podostavec písm. a).

Pro účely písmene b) bodu vii) musí politiky a postupy uvedené v odstavci 1 stanovit, že případy, kdy je testování prováděno v produkčním prostředí, jsou jasně stanoveny, odůvodněny, jsou časově omezené a jsou schváleny příslušnou funkcí v souladu s čl. 16 odst. 6. Během vývojových a testovacích činností v produkčním prostředí finanční subjekty zajistí dostupnost, důvěrnost, integritu a hodnověrnost systémů IKT a produkčních dat.
EULAW Článek 9 1.

V rámci politik, postupů, protokolů a nástrojů v oblasti bezpečnosti IKT uvedených v čl. 9 odst. 2 nařízení (EU) 2022/2554 finanční subjekty vypracují, zdokumentují a zavedou postupy řízení kapacity a výkonu za účelem:

a) 

identifikace požadavků na kapacitu svých systémů IKT;

b) 

uplatnění optimalizace zdrojů;

c) 

monitoringu pro zachování a zlepšování:

i) 

dostupnosti údajů a systémů IKT;

ii) 

účinnosti systémů IKT;

iii) 

předcházení nedostatku kapacity IKT.
EULAW Článek 9 2.
Postupy řízení kapacity a výkonu uvedené v odstavci 1 zajistí, aby finanční subjekty přijaly opatření, která jsou vhodná pro zohlednění specifik systémů IKT s dlouhými nebo složitými procesy pořízení nebo schvalování nebo systémů IKT náročných na zdroje.
EULAW Článek 12 2.

Postupy, protokoly a nástroje pro vedení protokolů uvedené v odstavci 1 obsahují všechny níže uvedené náležitosti:

a) 

identifikace událostí, které mají být protokolovány, doba uchovávání protokolů a opatření k zabezpečení a zpracování dat z protokolů s ohledem na účel, pro který jsou protokoly pořizovány;

b) 

sladění míry podrobnosti protokolů s jejich účelem a použitím, aby bylo možné účinně odhalovat neobvyklé aktivity, jak je uvedeno v článku 24;

c) 

požadavek na protokolování událostí, které souvisejí se všemi následujícími oblastmi:

i) 

logické a fyzické řízení přístupu podle článku 21 a správa identit;

ii) 

řízení kapacity;

iii) 

řízení změn;

iv) 

operace IKT, včetně činností systémů IKT;

v) 

činnosti provozu sítí, včetně výkonnosti sítí IKT;

d) 

opatření na ochranu systémů vedení protokolů a informací z protokolů proti neoprávněné manipulaci, vymazání a neoprávněnému přístupu během uchovávání a přenosu a případně během používání;

e) 

opatření k detekci selhání systémů vedení protokolů;

f) 

aniž jsou dotčeny jakékoli platné regulační požadavky podle práva Unie nebo vnitrostátního práva, synchronizace hodin všech systémů IKT finančního subjektu s dokumentovaným spolehlivým referenčním zdrojem času.

Pro účely písmene a) stanoví finanční subjekty dobu uchovávání s přihlédnutím k obchodním cílům a cílům v oblasti bezpečnosti informací, důvodu pro zaznamenání události do protokolů a výsledkům posouzení rizik v oblasti IKT.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.