+Vulnerability Management

Vulnerability Management

Conduct automated vulnerability scanning and assessments on ICT assets. For assets supporting critical or important functions, perform scans and assessments on a weekly basis. Record detected vulnerabilities, monitor their resolution status, and verify the remediation of vulnerabilities. Disclose vulnerabilities responsibly to clients/customers, financial counterparts, and the public when appropriate. Ensure thirdparty service providers report vulnerabilities related to the services they offer. This includes investigating vulnerabilities, determining root causes, and implementing appropriate solutions by the service providers.

*Specific to central securities depositories and central counterparties: perform vulnerability assessments before any deployment or redeployment of new or existing applications and infrastructure components, and ICT services supporting critical or important functions.

1. Επισκόπηση

Τίτλος	Πρότυπο

1.1 Παραπομπές

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικοί κανονισμοί

2. Εντοπισμένες απαιτήσεις

Απαιτήσεις
Πηγή	Απαίτηση

3. Σχετικοί κανονισμοί

Κανονισμοί
Πηγή	Κανονισμός
EULAW	Άρθρο 25 2 2. Τα κεντρικά αποθετήρια τίτλων και οι κεντρικοί αντισυμβαλλόμενοι διενεργούν αξιολογήσεις ευπαθειών πριν από την υλοποίηση ή αναδιάταξη νέων ή υφιστάμενων εφαρμογών και στοιχείων υποδομής και υπηρεσιών ΤΠΕ που υποστηρίζουν τις κρίσιμες ή σημαντικές λειτουργίες της χρηματοοικονομικής οντότητα.
EULAW	Άρθρο 10 1. Στο πλαίσιο των πολιτικών, των διαδικασιών, των πρωτοκόλλων και των εργαλείων ασφάλειας ΤΠΕ που αναφέρονται στο άρθρο 9 παράγραφος 2 του κανονισμού (ΕΕ) 2022/2554, οι χρηματοοικονομικές οντότητες αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν διαδικασίες διαχείρισης ευπαθειών.
EULAW	Άρθρο 10 2. Με τις διαδικασίες διαχείρισης ευπαθειών που αναφέρονται στην παράγραφο 1: α) εντοπίζονται και επικαιροποιούνται συναφείς και αξιόπιστοι πληροφοριακοί πόροι για την ανάπτυξη και τη διατήρηση ευαισθητοποίησης σχετικά με τις ευπάθειες· β) διασφαλίζονται οι επιδόσεις της αυτοματοποιημένης σάρωσης και των αυτοματοποιημένων αξιολογήσεων ευπαθειών των πόρων ΤΠΕ, στο πλαίσιο των οποίων η συχνότητα και το αντικείμενο των εν λόγω δραστηριοτήτων είναι ανάλογα με την ταξινόμηση που καθορίζεται σύμφωνα με το άρθρο 8 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554 και το συνολικό προφίλ κινδύνου του πόρου ΤΠΕ· γ) εξακριβώνεται αν: i) οι τρίτοι πάροχοι υπηρεσιών ΤΠΕ χειρίζονται τις ευπάθειες που σχετίζονται με τις υπηρεσίες ΤΠΕ που παρέχονται στη χρηματοοικονομική οντότητα· ii) οι εν λόγω πάροχοι υπηρεσιών αναφέρουν εγκαίρως στη χρηματοοικονομική οντότητα τουλάχιστον τις κρίσιμες ευπάθειες και στατιστικά στοιχεία και τάσεις· δ) παρακολουθείται η χρήση: i) βιβλιοθηκών τρίτων, συμπεριλαμβανομένων βιβλιοθηκών ανοικτού κώδικα, τις οποίες χρησιμοποιούν υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες· ii) υπηρεσιών ΤΠΕ που αναπτύσσονται από την ίδια τη χρηματοοικονομική οντότητα ή είναι ειδικά προσαρμοσμένες ή ανεπτυγμένες για τη χρηματοοικονομική οντότητα από τρίτο πάροχο υπηρεσιών ΤΠΕ· ε) θεσπίζονται διαδικασίες για την υπεύθυνη γνωστοποίηση ευπαθειών σε πελάτες, σε αντισυμβαλλομένους και στο κοινό· στ) δίνεται προτεραιότητα στην ανάπτυξη ενημερώσεων κώδικα και άλλων μέτρων μετριασμού για την αντιμετώπιση των εντοπιζόμενων ευπαθειών· ζ) παρακολουθείται και επαληθεύεται η αποκατάσταση των ευπαθειών· η) απαιτούνται η καταγραφή τυχόν εντοπιζόμενων ευπαθειών που επηρεάζουν τα συστήματα ΤΠΕ και η παρακολούθηση της επίλυσής τους. Για τους σκοπούς του στοιχείου β), οι χρηματοοικονομικές οντότητες διενεργούν την αυτοματοποιημένη σάρωση και τις αυτοματοποιημένες αξιολογήσεις ευπαθειών των πόρων ΤΠΕ για τους πόρους ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες τουλάχιστον σε εβδομαδιαία βάση. Για τους σκοπούς του στοιχείου γ), οι χρηματοοικονομικές οντότητες ζητούν από τους τρίτους παρόχους υπηρεσιών ΤΠΕ να διερευνήσουν τις σχετικές ευπάθειες, να προσδιορίσουν τα βαθύτερα αίτια και να εφαρμόσουν κατάλληλα μέτρα μετριασμού. Για τους σκοπούς του στοιχείου δ), οι χρηματοοικονομικές οντότητες, κατά περίπτωση σε συνεργασία με τον τρίτο πάροχο υπηρεσιών ΤΠΕ, παρακολουθούν την έκδοση και τις πιθανές επικαιροποιήσεις των βιβλιοθηκών τρίτων. Σε περίπτωση έτοιμων προς χρήση (ετοιμοπαράδοτων) πόρων ΤΠΕ ή συνιστωσών πόρων ΤΠΕ που αποκτώνται και χρησιμοποιούνται στη λειτουργία υπηρεσιών ΤΠΕ που δεν υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, οι χρηματοοικονομικές οντότητες παρακολουθούν τη χρήση, στο μέτρο του δυνατού, βιβλιοθηκών τρίτων, συμπεριλαμβανομένων βιβλιοθηκών ανοικτού κώδικα. Για τους σκοπούς του στοιχείου στ), οι χρηματοοικονομικές οντότητες λαμβάνουν υπόψη την κρισιμότητα της ευπάθειας, την ταξινόμηση που καθορίζεται σύμφωνα με το άρθρο 8 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554 και το προφίλ κινδύνου των πόρων ΤΠΕ που επηρεάζονται από τις εντοπιζόμενες ευπάθειες.
EULAW	Άρθρο 10 3. Στο πλαίσιο των πολιτικών, των διαδικασιών, των πρωτοκόλλων και των εργαλείων ασφάλειας ΤΠΕ που αναφέρονται στο άρθρο 9 παράγραφος 2 του κανονισμού (ΕΕ) 2022/2554, οι χρηματοοικονομικές οντότητες αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν διαδικασίες διαχείρισης ενημερώσεων κώδικα.
EULAW	Άρθρο 10 4. Με τις διαδικασίες διαχείρισης ενημερώσεων κώδικα που αναφέρονται στην παράγραφο 3: α) εντοπίζονται και αξιολογούνται, στο μέτρο του δυνατού, οι διαθέσιμες ενημερώσεις κώδικα και επικαιροποιήσεις λογισμικού και υλισμικού με τη χρήση αυτοματοποιημένων εργαλείων· β) προσδιορίζονται διαδικασίες έκτακτης ανάγκης για την ενημέρωση κώδικα και την επικαιροποίηση πόρων ΤΠΕ· γ) υποβάλλονται σε δοκιμές και υλοποιούνται οι ενημερώσεις κώδικα και οι επικαιροποιήσεις λογισμικού και υλισμικού που αναφέρονται στο άρθρο 8 παράγραφος 2 στοιχείο β) σημεία v), vi) και vii)· δ) ορίζονται προθεσμίες για την εγκατάσταση των ενημερώσεων κώδικα και επικαιροποιήσεων λογισμικού και υλισμικού, καθώς και διαδικασίες παραπομπής συμβάντων σε περίπτωση που οι εν λόγω προθεσμίες δεν μπορούν να τηρηθούν.

NOREA -
EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.