+Security Requirements
|
Security Requirements
Identify the potential impact of a change on existing security measures and assess whether additional security measures are required for its implementation. Verify that security requirements have been met for all implemented changes. Establish fallback procedures and assign responsibilities for aborting changes or recovering from changes not successfully implemented.
1. Επισκόπηση
1.1 Παραπομπές
1.2 Εντοπισμένες απαιτήσεις
1.3 Σχετικοί κανονισμοί
2. Εντοπισμένες απαιτήσεις
3. Σχετικοί κανονισμοί
Κανονισμοί
| Πηγή |
Κανονισμός |
|
EULAW
|
Άρθρο 8 1.
Στο πλαίσιο των πολιτικών, των διαδικασιών, των πρωτοκόλλων και των εργαλείων ασφάλειας ΤΠΕ που αναφέρονται στο άρθρο 9 παράγραφος 2 του κανονισμού (ΕΕ) 2022/2554, οι χρηματοοικονομικές οντότητες αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν πολιτικές και διαδικασίες για τη διαχείριση των λειτουργιών ΤΠΕ. Οι εν λόγω πολιτικές και διαδικασίες προσδιορίζουν τον τρόπο με τον οποίο οι χρηματοοικονομικές οντότητες λειτουργούν, παρακολουθούν, ελέγχουν και αποκαθιστούν τους οικείους πόρους ΤΠΕ, συμπεριλαμβανομένης της τεκμηρίωσης των λειτουργιών ΤΠΕ.
|
|
EULAW
|
Άρθρο 8 2.
Οι πολιτικές και οι διαδικασίες για τις λειτουργίες ΤΠΕ που αναφέρονται στην παράγραφο 1 περιλαμβάνουν όλα τα ακόλουθα:
α)
περιγραφή των πόρων ΤΠΕ, η οποία περιλαμβάνει όλα τα ακόλουθα:
i)
απαιτήσεις σχετικά με την ασφαλή εγκατάσταση, συντήρηση, παραμετροποίηση και απεγκατάσταση συστήματος ΤΠΕ·
ii)
απαιτήσεις σχετικά με τη διαχείριση των πληροφοριακών πόρων που χρησιμοποιούνται από τους πόρους ΤΠΕ, μεταξύ άλλων την επεξεργασία και τον χειρισμό τους, τόσο αυτοματοποιημένα όσο και μη αυτόματα·
iii)
απαιτήσεις σχετικά με τον προσδιορισμό και τον έλεγχο των παρωχημένων συστημάτων ΤΠΕ·
β)
ελέγχους και παρακολούθηση των συστημάτων ΤΠΕ, μεταξύ άλλων όλα τα ακόλουθα στοιχεία:
i)
απαιτήσεις δημιουργίας εφεδρικών συστημάτων και αποκατάστασης των συστημάτων ΤΠΕ·
ii)
απαιτήσεις προγραμματισμού, με συνεκτίμηση των αλληλεξαρτήσεων μεταξύ των συστημάτων ΤΠΕ·
iii)
πρωτόκολλα για τη διαδρομή ελέγχου και στοιχεία του αρχείου καταγραφής συστημάτων·
iv)
απαιτήσεις που διασφαλίζουν ότι η διενέργεια εσωτερικού ελέγχου και άλλων δοκιμών ελαχιστοποιεί τις διαταραχές στις επιχειρηματικές δραστηριότητες·
v)
απαιτήσεις σχετικά με τον διαχωρισμό των περιβαλλόντων παραγωγής ΤΠΕ από τα περιβάλλοντα ανάπτυξης και δοκιμών και άλλα μη παραγωγικά περιβάλλοντα·
vi)
απαιτήσεις για τη διεξαγωγή της ανάπτυξης και των δοκιμών σε περιβάλλοντα που διαχωρίζονται από το περιβάλλον παραγωγής·
vii)
απαιτήσεις για τη διεξαγωγή της ανάπτυξης και των δοκιμών σε περιβάλλοντα παραγωγής·
γ)
τον χειρισμό σφαλμάτων σε σχέση με τα συστήματα ΤΠΕ, μεταξύ άλλων όλα τα ακόλουθα στοιχεία:
i)
διαδικασίες και πρωτόκολλα για τον χειρισμό σφαλμάτων·
ii)
επαφές υποστήριξης και παραπομπής, συμπεριλαμβανομένων των εξωτερικών επαφών υποστήριξης σε περίπτωση απρόβλεπτων επιχειρησιακών ή τεχνικών ζητημάτων·
iii)
διαδικασίες επανεκκίνησης, κατάργησης και ανάκτησης συστημάτων ΤΠΕ για χρήση σε περίπτωση διαταραχής συστημάτων ΤΠΕ.
Για τους σκοπούς του στοιχείου β) σημείο v), στον διαχωρισμό λαμβάνονται υπόψη όλες οι συνιστώσες του περιβάλλοντος, συμπεριλαμβανομένων λογαριασμών, δεδομένων ή συνδέσεων, όπως απαιτείται από το άρθρο 13 πρώτο εδάφιο στοιχείο α). Για τους σκοπούς του στοιχείου β) σημείο vii), οι πολιτικές και οι διαδικασίες που αναφέρονται στην παράγραφο 1 προβλέπουν ότι οι περιπτώσεις στις οποίες διενεργούνται δοκιμές σε περιβάλλον παραγωγής προσδιορίζονται σαφώς, αιτιολογούνται, αφορούν περιορισμένο χρονικό διάστημα και εγκρίνονται από τη σχετική υπηρεσία σύμφωνα με το άρθρο 16 παράγραφος 6. Οι χρηματοοικονομικές οντότητες διασφαλίζουν τη διαθεσιμότητα, την εμπιστευτικότητα, την ακεραιότητα και τη γνησιότητα των συστημάτων ΤΠΕ και των δεδομένων παραγωγής κατά τη διάρκεια των δραστηριοτήτων ανάπτυξης και δοκιμών στο περιβάλλον παραγωγής.
|
|
EULAW
|
Άρθρο 17 1.
Στο πλαίσιο των διασφαλίσεων για τη διατήρηση της διαθεσιμότητας, της γνησιότητας, της ακεραιότητας και της εμπιστευτικότητας των δεδομένων, οι χρηματοοικονομικές οντότητες περιλαμβάνουν στις διαδικασίες διαχείρισης αλλαγών ΤΠΕ που αναφέρονται στο άρθρο 9 παράγραφος 4 στοιχείο ε) του κανονισμού (ΕΕ) 2022/2554, σε σχέση με όλες τις αλλαγές σε λογισμικό, υλισμικό, στοιχεία, συστήματα ή παραμέτρους ασφάλειας υλικολογισμικού, όλα τα ακόλουθα στοιχεία:
α)
επαλήθευση της τήρησης των απαιτήσεων ασφάλειας ΤΠΕ·
β)
μηχανισμούς για τη διασφάλιση της ανεξαρτησίας των λειτουργιών που εγκρίνουν αλλαγές και των λειτουργιών που είναι υπεύθυνες για την υποβολή αιτήματος για τις εν λόγω αλλαγές και την εφαρμογή τους·
γ)
σαφή περιγραφή των ρόλων και των αρμοδιοτήτων ώστε να διασφαλίζεται ότι:
i)
προσδιορίζονται και προγραμματίζονται αλλαγές·
ii)
σχεδιάζεται κατάλληλη μετάβαση·
iii)
οι αλλαγές υποβάλλονται σε δοκιμές και οριστικοποιούνται με ελεγχόμενο τρόπο·
iv)
υπάρχει αποτελεσματική διασφάλιση της ποιότητας·
δ)
την τεκμηρίωση και την κοινοποίηση λεπτομερών στοιχείων της αλλαγής, συμπεριλαμβανομένων:
i)
του σκοπού και του πεδίου εφαρμογής της αλλαγής·
ii)
του χρονοδιαγράμματος για την εφαρμογή της αλλαγής·
iii)
των αναμενόμενων αποτελεσμάτων·
ε)
τον προσδιορισμό των εφεδρικών διαδικασιών και των αρμοδιοτήτων, συμπεριλαμβανομένων των διαδικασιών και των αρμοδιοτήτων για τη ματαίωση αλλαγών ή την ανάκαμψη της λειτουργίας από αλλαγές που δεν εφαρμόστηκαν επιτυχώς·
στ)
διαδικασίες, πρωτόκολλα και εργαλεία για τη διαχείριση αλλαγών έκτακτης ανάγκης που παρέχουν επαρκείς διασφαλίσεις·
ζ)
διαδικασίες για την τεκμηρίωση, την επαναξιολόγηση, την εκτίμηση και την έγκριση αλλαγών έκτακτης ανάγκης μετά την εφαρμογή τους, συμπεριλαμβανομένων των εναλλακτικών λύσεων και των ενημερώσεων κώδικα·
η)
τον προσδιορισμό των πιθανών επιπτώσεων αλλαγής στα υφιστάμενα μέτρα ασφάλειας ΤΠΕ και την αξιολόγηση του αν η αλλαγή αυτή απαιτεί τη θέσπιση πρόσθετων μέτρων ασφάλειας ΤΠΕ.
|
|
EULAW
|
Άρθρο 17 2.
Αφού πραγματοποιήσουν σημαντικές αλλαγές στα οικεία συστήματα ΤΠΕ, οι κεντρικοί αντισυμβαλλόμενοι και τα κεντρικά αποθετήρια τίτλων υποβάλλουν τα οικεία συστήματα ΤΠΕ σε αυστηρές δοκιμές μέσω της προσομοίωσης ακραίων συνθηκών. Οι κεντρικοί αντισυμβαλλόμενοι περιλαμβάνουν, κατά περίπτωση, στον σχεδιασμό και στη διεξαγωγή των δοκιμών που αναφέρονται στο πρώτο εδάφιο:
α)
εκκαθαριστικά μέλη και πελάτες,
β)
διαλειτουργικούς κεντρικούς αντισυμβαλλομένους,
Τα κεντρικά αποθετήρια τίτλων περιλαμβάνουν, κατά περίπτωση, στον σχεδιασμό και στη διεξαγωγή των δοκιμών που αναφέρονται στο πρώτο εδάφιο:
β)
παρόχους κρίσιμων υπηρεσιών κοινής ωφέλειας και κρίσιμων υπηρεσιών,
γ)
άλλα κεντρικά αποθετήρια τίτλων,
ε)
κάθε άλλο ίδρυμα με το οποίο τα κεντρικά αποθετήρια τίτλων έχουν εντοπίσει αλληλεξαρτήσεις στην οικεία πολιτική επιχειρησιακής συνέχειας των ΤΠΕ.
|
|