+Patch Management

Patch Management

Identify and evaluate available ICT assets (e.g., software and hardware) patches and updates using automated tools, to the extent possible. Deploy patches to address identified vulnerabilities. Prioritize the deployment of patches and other mitigation measures based on the criticality of the vulnerability and the classification and risk profile of the affected assets. Establish emergency procedures for patching and updating ICT assets. Test and deploy ICT asset patches and updates. Set due dates for the installation of ICT asset patches and updates, and establish escalation procedures in case the due dates cannot be met. In cases where no patches can be applied or are available, identify and implement alternative mitigation measures within the set due dates.

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede reguleringer

2. Identificerede krav

Krav

3. Relaterede reguleringer

Reguleringer
EULAW Artikel 25 2

2.   Værdipapircentraler og centrale modparter foretager sårbarhedsvurderinger inden indførelse eller genindførelse af nye eller eksisterende applikationer og infrastrukturkomponenter og IKT-tjenester, der understøtter den finansielle enheds kritiske eller vigtige funktioner.
EULAW Artikel 10 1.
Som led i de IKT-sikkerhedspolitikker, -procedurer, -protokoller og -værktøjer, der er omhandlet i artikel 9, stk. 2, i forordning (EU) 2022/2554, udvikler, dokumenterer og gennemfører finansielle enheder procedurer for sårbarhedsstyring.
EULAW Artikel 10 2.

De i stk. 1 omhandlede procedurer for sårbarhedsstyring skal:

a) 

identificere og opdatere relevante og pålidelige informationsressourcer med henblik på at skabe og opretholde bevidsthed om sårbarheder

b) 

sikre udøvelse af automatiseret sårbarhedsscanning og automatiserede vurderinger af IKT-aktiver. hvorved hyppigheden og omfanget af disse aktiviteter skal stå i rimeligt forhold til den klassificering, der er fastlagt i overensstemmelse med artikel 8, stk. 1, i forordning (EU) 2022/2554, og IKT-aktivets overordnede risikoprofil

c) 

efterprøve, om:

i) 

tredjepartsudbydere af IKT-tjenester håndterer sårbarheder, som er forbundet med de IKT-tjenester, der leveres til den pågældende finansielle enhed

ii) 

disse tjenesteudbydere aflægger rettidig rapport til den finansielle enhed som minimum om de kritiske sårbarheder, statistikker og tendenser

d) 

spore brugen af:

i) 

tredjepartsbiblioteker, herunder open source-biblioteker, der anvendes af de IKT-tjenester, der understøtter kritiske eller vigtige funktioner

ii) 

IKT-tjenester, som den finansielle enhed selv har udviklet, eller som en tredjepartsudbyder af IKT-tjenester har tilpasset eller udviklet specifikt til den pågældende finansielle enhed

e) 

indføre procedurer for ansvarlig offentliggørelse af sårbarheder til kunder, modparter og til offentligheden

f) 

prioritere ibrugtagning af korrektioner og andre afbødende foranstaltninger med henblik på at afhjælpe de konstaterede sårbarheder

g) 

overvåge og efterprøve udbedring af sårbarheder

h) 

kræve registrering af alle detekterede sårbarheder, der har indvirkning på IKT-systemer, og overvågning af deres afvikling.

Med henblik på litra b) foretager finansielle enheder den automatiserede sårbarhedsscanning og de automatiserede vurderinger af IKT-aktiver for de IKT-aktiver, der understøtter kritiske eller vigtige funktioner, mindst en gang om ugen.

Med henblik på litra c) anmoder finansielle enheder tredjepartsudbydere af IKT-tjenester om at undersøge de relevante sårbarheder, fastslå de grundlæggende årsager og iværksætte passende afbødende tiltag.

Med henblik på litra d) overvåger finansielle enheder, når det er relevant, i samarbejde med den pågældende tredjepartsudbyder af IKT-tjenester, udgaven og eventuelle ajourføringer af tredjepartsbibliotekerne. I tilfælde af brugsklare IKT-aktiver eller komponenter af IKT-aktiver (standardaktiver eller -komponenter), der anskaffes og anvendes i forbindelse med driften af IKT-tjenester, der ikke understøtter kritiske eller vigtige funktioner, sporer finansielle enheder så vidt muligt brugen af tredjepartsbiblioteker, herunder open source-biblioteker.

Med henblik på litra f) tager finansielle enheder hensyn til sårbarhedens kritiske betydning, den klassificering, der er fastlagt i overensstemmelse med artikel 8, stk. 1, i forordning (EU) 2022/2554, og risikoprofilen for de IKT-aktiver, der er berørt af de identificerede sårbarheder.
EULAW Artikel 10 3.
Som led i de IKT-sikkerhedspolitikker, -procedurer, -protokoller og -værktøjer, der er omhandlet i artikel 9, stk. 2, i forordning (EU) 2022/2554, udvikler, dokumenterer og gennemfører finansielle enheder procedurer for korrektionsstyring.
EULAW Artikel 10 4.

De i stk. 3 omhandlede procedurer for korrektionsstyring skal:

a) 

så vidt muligt identificere og evaluere tilgængelige software- og hardwarekorrektioner og -opdateringer ved hjælp af automatiserede værktøjer

b) 

identificere nødprocedurer for korrektion og opdatering af IKT-aktiver

c) 

teste og ibrugtage de software- og hardwarekorrektioner og -opdateringer, der er omhandlet i artikel 8, stk. 2, litra b), nr. v), vi) og vii)

d) 

fastsætte frister for installation af software- og hardwarekorrektioner og -opdateringer samt fejlafhjælpningsprocedurer, hvis disse frister ikke kan overholdes.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.