+ICT Monitoring

ICT Monitoring

Develop, document and implement capacity and performance management procedures to identify capacity requirements of their ICT systems and apply resource optimisation and monitoring procedures to maintain and improve the availability of data and ICT systems and efficiency of ICT systems and prevent ICT capacity shortages.

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede reguleringer

2. Identificerede krav

Krav

3. Relaterede reguleringer

Reguleringer
EULAW Artikel 8 1.
Som led i de IKT-sikkerhedspolitikker, -procedurer, -protokoller og -værktøjer, der er omhandlet i artikel 9, stk. 2, i forordning (EU) 2022/2554, udvikler, dokumenterer og gennemfører finansielle enheder politikker og procedurer for styring af IKT-operationer. Ved disse politikker og procedurer præciseres det, hvordan finansielle enheder anvender, overvåger, kontrollerer og genopretter deres IKT-aktiver, herunder dokumentationen vedrørende IKT-operationer.
EULAW Artikel 8 2.

De i stk. 1 omhandlede politikker og procedurer for IKT-operationer skal indeholde alle følgende:

a) 

en beskrivelse af IKT-aktiver, herunder alle følgende:

i) 

krav vedrørende sikker installering, vedligeholdelse, konfigurering og afinstallering af et IKT-system

ii) 

krav vedrørende forvaltning af informationsaktiver, der anvendes af IKT-aktiver, herunder behandling og håndtering heraf, hvad enten det sker automatisk eller manuelt

iii) 

krav vedrørende identifikation og kontrol af legacy-IKT-systemer,

b) 

kontroller og overvågning af IKT-systemer, herunder alle følgende:

i) 

krav til sikkerhedskopiering og genopretning af IKT-systemer

ii) 

krav til planlægning, som tager hensyn til indbyrdes afhængighed mellem IKT-systemer

iii) 

protokoller vedrørende revisionsspor og oplysninger om systemlog

iv) 

krav, som skal sikre, at udøvelsen af intern revision og anden test minimerer forstyrrelser i forretningsaktiviteterne

v) 

krav til adskillelse af IKT-produktionsmiljøer fra udviklings- og testmiljøer og andre ikkeproduktionsmiljøer

vi) 

krav om at foretage udvikling og test i miljøer, som er adskilt fra produktionsmiljøet

vii) 

krav om at foretage udvikling og test i produktionsmiljøer

c) 

fejlbehandling i IKT-systemer, herunder alle følgende:

i) 

procedurer og protokoller for fejlbehandling

ii) 

support- og fejlafhjælpningskontakter, herunder eksterne supportkontakter i tilfælde af uforudsete operationelle og tekniske problemer

iii) 

genstart af IKT-systemer, annullering af opdateringer og genopretningsprocedurer, som skal anvendes i tilfælde af forstyrrelser i IKT-systemer.

Med henblik på litra b), nr. v), skal adskillelsen omfatte alle komponenterne i miljøet, herunder konti, data eller sammenkoblinger, jf. kravene i artikel 13, stk. 1, litra a).

Med henblik på litra b), nr. vii), skal det i de politikker og procedurer, der er omhandlet i stk. 1, fastsættes, at de omstændigheder, under hvilke der foretages test i et produktionsmiljø, er klart identificerede, begrundede, at de finder sted inden for et begrænset tidsrum, og at de er godkendt af den relevante funktion, jf. artikel 16, stk. 6. Finansielle enheder sikrer tilgængeligheden, fortroligheden, integriteten og autenticiteten af IKT-systemer og produktionsdata i forbindelse med udvikling og testaktiviteter i produktionsmiljøet.
EULAW Artikel 9 1.

Som led i de IKT-sikkerhedspolitikker, -procedurer, -protokoller og -værktøjer, der er omhandlet i artikel 9, stk. 2, i forordning (EU) 2022/2554, udvikler, dokumenterer og gennemfører finansielle enheder procedurer for styring af kapacitet og ydeevne med henblik på følgende:

a) 

identifikation af kapacitetskrav til deres IKT-systemer

b) 

anvendelse af ressourceoptimering

c) 

overvågningsprocedurer med henblik på vedligeholdelse og forbedring

i) 

tilgængeligheden af data og IKT-systemer

ii) 

effektiviteten af IKT-systemer

iii) 

forebyggelse af IKT-kapacitetsmangler.
EULAW Artikel 9 2.
De i stk. 1 omhandlede procedurer for styring af kapacitet og ydeevne skal sikre, at finansielle enheder træffer foranstaltninger, som er passende til at tage højde for IKT-systemer med lange eller komplekse udbud eller for ressourceintensive godkendelsesprocesser eller IKT-systemer.
EULAW Artikel 12 2.

De logføringsprocedurer, -protokoller og -værktøjer, der er omhandlet i stk. 1, skal indeholde alle følgende:

a) 

identifikation af de hændelser, der skal logføres, opbevaringsperioden for logfilerne og foranstaltningerne til sikring og håndtering af logdataene, idet der tages hensyn til formålet med oprettelsen af logfilerne

b) 

tilpasning af logfilernes detaljeringsgrad i forhold til deres formål og anvendelse for at muliggøre effektiv detektion af anormale aktiviteter som omhandlet i artikel 24

c) 

kravet om at logføre hændelser i forbindelse med alle følgende:

i) 

logisk og fysisk adgangskontrol, jf. artikel 21, og identitetsstyring

ii) 

kapacitetsstyring

iii) 

styring af ændringer

iv) 

IKT-operationer, heriblandt IKT-systemaktiviteter

v) 

aktiviteter forbundet med netværkstrafik, herunder IKT-nettets ydeevne

d) 

foranstaltninger til beskyttelse af logføringssystemer og logføring af oplysninger til forebyggelse af manipulation af, sletning af og uautoriseret adgang til data, som er inaktive, under overførsel og, når det er relevant, i brug

e) 

foranstaltninger til detektion af svigt i logføringssystemer

f) 

uden at det berører eventuelle gældende reguleringsmæssige krav i henhold til EU-retten eller national ret, synkronisering af urene i hver af den finansielle enheds IKT-systemer efter en dokumenteret pålidelig kilde til referencetid.

Med henblik på litra a) fastsætter finansielle enheder opbevaringsperioden, idet de tager hensyn til forretnings- og informationssikkerhedsmålene, årsagen til registreringen af hændelsen i logfilerne og resultaterne af IKT-risikovurderingen.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.