|
EULAW
|
Άρθρο 10 1.
Στο πλαίσιο των πολιτικών, των διαδικασιών, των πρωτοκόλλων και των εργαλείων ασφάλειας ΤΠΕ που αναφέρονται στο άρθρο 9 παράγραφος 2 του κανονισμού (ΕΕ) 2022/2554, οι χρηματοοικονομικές οντότητες αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν διαδικασίες διαχείρισης ευπαθειών.
|
|
EULAW
|
Άρθρο 10 2.
Με τις διαδικασίες διαχείρισης ευπαθειών που αναφέρονται στην παράγραφο 1:
α)
εντοπίζονται και επικαιροποιούνται συναφείς και αξιόπιστοι πληροφοριακοί πόροι για την ανάπτυξη και τη διατήρηση ευαισθητοποίησης σχετικά με τις ευπάθειες·
β)
διασφαλίζονται οι επιδόσεις της αυτοματοποιημένης σάρωσης και των αυτοματοποιημένων αξιολογήσεων ευπαθειών των πόρων ΤΠΕ, στο πλαίσιο των οποίων η συχνότητα και το αντικείμενο των εν λόγω δραστηριοτήτων είναι ανάλογα με την ταξινόμηση που καθορίζεται σύμφωνα με το άρθρο 8 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554 και το συνολικό προφίλ κινδύνου του πόρου ΤΠΕ·
γ)
εξακριβώνεται αν:
i)
οι τρίτοι πάροχοι υπηρεσιών ΤΠΕ χειρίζονται τις ευπάθειες που σχετίζονται με τις υπηρεσίες ΤΠΕ που παρέχονται στη χρηματοοικονομική οντότητα·
ii)
οι εν λόγω πάροχοι υπηρεσιών αναφέρουν εγκαίρως στη χρηματοοικονομική οντότητα τουλάχιστον τις κρίσιμες ευπάθειες και στατιστικά στοιχεία και τάσεις·
δ)
παρακολουθείται η χρήση:
i)
βιβλιοθηκών τρίτων, συμπεριλαμβανομένων βιβλιοθηκών ανοικτού κώδικα, τις οποίες χρησιμοποιούν υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες·
ii)
υπηρεσιών ΤΠΕ που αναπτύσσονται από την ίδια τη χρηματοοικονομική οντότητα ή είναι ειδικά προσαρμοσμένες ή ανεπτυγμένες για τη χρηματοοικονομική οντότητα από τρίτο πάροχο υπηρεσιών ΤΠΕ·
ε)
θεσπίζονται διαδικασίες για την υπεύθυνη γνωστοποίηση ευπαθειών σε πελάτες, σε αντισυμβαλλομένους και στο κοινό·
στ)
δίνεται προτεραιότητα στην ανάπτυξη ενημερώσεων κώδικα και άλλων μέτρων μετριασμού για την αντιμετώπιση των εντοπιζόμενων ευπαθειών·
ζ)
παρακολουθείται και επαληθεύεται η αποκατάσταση των ευπαθειών·
η)
απαιτούνται η καταγραφή τυχόν εντοπιζόμενων ευπαθειών που επηρεάζουν τα συστήματα ΤΠΕ και η παρακολούθηση της επίλυσής τους.
Για τους σκοπούς του στοιχείου β), οι χρηματοοικονομικές οντότητες διενεργούν την αυτοματοποιημένη σάρωση και τις αυτοματοποιημένες αξιολογήσεις ευπαθειών των πόρων ΤΠΕ για τους πόρους ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες τουλάχιστον σε εβδομαδιαία βάση. Για τους σκοπούς του στοιχείου γ), οι χρηματοοικονομικές οντότητες ζητούν από τους τρίτους παρόχους υπηρεσιών ΤΠΕ να διερευνήσουν τις σχετικές ευπάθειες, να προσδιορίσουν τα βαθύτερα αίτια και να εφαρμόσουν κατάλληλα μέτρα μετριασμού. Για τους σκοπούς του στοιχείου δ), οι χρηματοοικονομικές οντότητες, κατά περίπτωση σε συνεργασία με τον τρίτο πάροχο υπηρεσιών ΤΠΕ, παρακολουθούν την έκδοση και τις πιθανές επικαιροποιήσεις των βιβλιοθηκών τρίτων. Σε περίπτωση έτοιμων προς χρήση (ετοιμοπαράδοτων) πόρων ΤΠΕ ή συνιστωσών πόρων ΤΠΕ που αποκτώνται και χρησιμοποιούνται στη λειτουργία υπηρεσιών ΤΠΕ που δεν υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, οι χρηματοοικονομικές οντότητες παρακολουθούν τη χρήση, στο μέτρο του δυνατού, βιβλιοθηκών τρίτων, συμπεριλαμβανομένων βιβλιοθηκών ανοικτού κώδικα. Για τους σκοπούς του στοιχείου στ), οι χρηματοοικονομικές οντότητες λαμβάνουν υπόψη την κρισιμότητα της ευπάθειας, την ταξινόμηση που καθορίζεται σύμφωνα με το άρθρο 8 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554 και το προφίλ κινδύνου των πόρων ΤΠΕ που επηρεάζονται από τις εντοπιζόμενες ευπάθειες.
|
|
EULAW
|
Άρθρο 10 3.
Στο πλαίσιο των πολιτικών, των διαδικασιών, των πρωτοκόλλων και των εργαλείων ασφάλειας ΤΠΕ που αναφέρονται στο άρθρο 9 παράγραφος 2 του κανονισμού (ΕΕ) 2022/2554, οι χρηματοοικονομικές οντότητες αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν διαδικασίες διαχείρισης ενημερώσεων κώδικα.
|