+System Management and Security
|
System Management and Security
Provide system descriptions that encompass secure installation, maintenance, configuration, and deinstallation/disposal of ICT assets. This includes the management of assets, both automated and manual, and the identification and control of legacy ICT systems.
1. Επισκόπηση
1.1 Παραπομπές
1.2 Εντοπισμένες απαιτήσεις
1.3 Σχετικοί κανονισμοί
2. Εντοπισμένες απαιτήσεις
3. Σχετικοί κανονισμοί
Κανονισμοί
| Πηγή |
Κανονισμός |
|
EULAW
|
Άρθρο 8 1.
Στο πλαίσιο των πολιτικών, των διαδικασιών, των πρωτοκόλλων και των εργαλείων ασφάλειας ΤΠΕ που αναφέρονται στο άρθρο 9 παράγραφος 2 του κανονισμού (ΕΕ) 2022/2554, οι χρηματοοικονομικές οντότητες αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν πολιτικές και διαδικασίες για τη διαχείριση των λειτουργιών ΤΠΕ. Οι εν λόγω πολιτικές και διαδικασίες προσδιορίζουν τον τρόπο με τον οποίο οι χρηματοοικονομικές οντότητες λειτουργούν, παρακολουθούν, ελέγχουν και αποκαθιστούν τους οικείους πόρους ΤΠΕ, συμπεριλαμβανομένης της τεκμηρίωσης των λειτουργιών ΤΠΕ.
|
|
EULAW
|
Άρθρο 8 2.
Οι πολιτικές και οι διαδικασίες για τις λειτουργίες ΤΠΕ που αναφέρονται στην παράγραφο 1 περιλαμβάνουν όλα τα ακόλουθα:
α)
περιγραφή των πόρων ΤΠΕ, η οποία περιλαμβάνει όλα τα ακόλουθα:
i)
απαιτήσεις σχετικά με την ασφαλή εγκατάσταση, συντήρηση, παραμετροποίηση και απεγκατάσταση συστήματος ΤΠΕ·
ii)
απαιτήσεις σχετικά με τη διαχείριση των πληροφοριακών πόρων που χρησιμοποιούνται από τους πόρους ΤΠΕ, μεταξύ άλλων την επεξεργασία και τον χειρισμό τους, τόσο αυτοματοποιημένα όσο και μη αυτόματα·
iii)
απαιτήσεις σχετικά με τον προσδιορισμό και τον έλεγχο των παρωχημένων συστημάτων ΤΠΕ·
β)
ελέγχους και παρακολούθηση των συστημάτων ΤΠΕ, μεταξύ άλλων όλα τα ακόλουθα στοιχεία:
i)
απαιτήσεις δημιουργίας εφεδρικών συστημάτων και αποκατάστασης των συστημάτων ΤΠΕ·
ii)
απαιτήσεις προγραμματισμού, με συνεκτίμηση των αλληλεξαρτήσεων μεταξύ των συστημάτων ΤΠΕ·
iii)
πρωτόκολλα για τη διαδρομή ελέγχου και στοιχεία του αρχείου καταγραφής συστημάτων·
iv)
απαιτήσεις που διασφαλίζουν ότι η διενέργεια εσωτερικού ελέγχου και άλλων δοκιμών ελαχιστοποιεί τις διαταραχές στις επιχειρηματικές δραστηριότητες·
v)
απαιτήσεις σχετικά με τον διαχωρισμό των περιβαλλόντων παραγωγής ΤΠΕ από τα περιβάλλοντα ανάπτυξης και δοκιμών και άλλα μη παραγωγικά περιβάλλοντα·
vi)
απαιτήσεις για τη διεξαγωγή της ανάπτυξης και των δοκιμών σε περιβάλλοντα που διαχωρίζονται από το περιβάλλον παραγωγής·
vii)
απαιτήσεις για τη διεξαγωγή της ανάπτυξης και των δοκιμών σε περιβάλλοντα παραγωγής·
γ)
τον χειρισμό σφαλμάτων σε σχέση με τα συστήματα ΤΠΕ, μεταξύ άλλων όλα τα ακόλουθα στοιχεία:
i)
διαδικασίες και πρωτόκολλα για τον χειρισμό σφαλμάτων·
ii)
επαφές υποστήριξης και παραπομπής, συμπεριλαμβανομένων των εξωτερικών επαφών υποστήριξης σε περίπτωση απρόβλεπτων επιχειρησιακών ή τεχνικών ζητημάτων·
iii)
διαδικασίες επανεκκίνησης, κατάργησης και ανάκτησης συστημάτων ΤΠΕ για χρήση σε περίπτωση διαταραχής συστημάτων ΤΠΕ.
Για τους σκοπούς του στοιχείου β) σημείο v), στον διαχωρισμό λαμβάνονται υπόψη όλες οι συνιστώσες του περιβάλλοντος, συμπεριλαμβανομένων λογαριασμών, δεδομένων ή συνδέσεων, όπως απαιτείται από το άρθρο 13 πρώτο εδάφιο στοιχείο α). Για τους σκοπούς του στοιχείου β) σημείο vii), οι πολιτικές και οι διαδικασίες που αναφέρονται στην παράγραφο 1 προβλέπουν ότι οι περιπτώσεις στις οποίες διενεργούνται δοκιμές σε περιβάλλον παραγωγής προσδιορίζονται σαφώς, αιτιολογούνται, αφορούν περιορισμένο χρονικό διάστημα και εγκρίνονται από τη σχετική υπηρεσία σύμφωνα με το άρθρο 16 παράγραφος 6. Οι χρηματοοικονομικές οντότητες διασφαλίζουν τη διαθεσιμότητα, την εμπιστευτικότητα, την ακεραιότητα και τη γνησιότητα των συστημάτων ΤΠΕ και των δεδομένων παραγωγής κατά τη διάρκεια των δραστηριοτήτων ανάπτυξης και δοκιμών στο περιβάλλον παραγωγής.
|
|
EULAW
|
Άρθρο 9 1.
Στο πλαίσιο των πολιτικών, των διαδικασιών, των πρωτοκόλλων και των εργαλείων ασφάλειας ΤΠΕ που αναφέρονται στο άρθρο 9 παράγραφος 2 του κανονισμού (ΕΕ) 2022/2554, οι χρηματοοικονομικές οντότητες αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν διαδικασίες για τη διαχείριση χωρητικότητας και επιδόσεων για τα ακόλουθα:
α)
τον προσδιορισμό των απαιτήσεων χωρητικότητας των οικείων συστημάτων ΤΠΕ·
β)
την εφαρμογή βελτιστοποίησης των πόρων·
γ)
τις διαδικασίες παρακολούθησης για τη διατήρηση και τη βελτίωση:
i)
της διαθεσιμότητας δεδομένων και συστημάτων ΤΠΕ·
ii)
της αποδοτικότητας των συστημάτων ΤΠΕ·
iii)
της πρόληψης των ελλείψεων χωρητικότητας των συστημάτων ΤΠΕ.
|
|
EULAW
|
Άρθρο 9 2.
Οι διαδικασίες διαχείρισης χωρητικότητας και επιδόσεων που αναφέρονται στην παράγραφο 1 διασφαλίζουν ότι οι χρηματοοικονομικές οντότητες λαμβάνουν μέτρα κατάλληλα για την κάλυψη των ιδιαιτεροτήτων των συστημάτων ΤΠΕ με μακροχρόνιες ή πολύπλοκες διαδικασίες σύναψης συμβάσεων ή έγκρισης ή των συστημάτων ΤΠΕ με υψηλή ένταση πόρων.
|
|
EULAW
|
Άρθρο 12 2.
Οι διαδικασίες, τα πρωτόκολλα και τα εργαλεία καταγραφής που αναφέρονται στην παράγραφο 1 περιλαμβάνουν όλα τα ακόλουθα:
α)
τον προσδιορισμό των συμβάντων που πρέπει να καταγράφονται, την περίοδο διατήρησης των αρχείων καταγραφής και τα μέτρα για την ασφάλεια και τον χειρισμό των δεδομένων των αρχείων καταγραφής, με συνεκτίμηση του σκοπού για τον οποίο δημιουργούνται τα αρχεία καταγραφής·
β)
την ευθυγράμμιση του βαθμού λεπτομέρειας των αρχείων καταγραφής με τον σκοπό και τη χρήση τους, ώστε να καθίσταται δυνατός ο αποτελεσματικός εντοπισμός ασυνήθιστων δραστηριοτήτων, όπως αναφέρεται στο άρθρο 24·
γ)
την απαίτηση καταγραφής συμβάντων που σχετίζονται με όλα τα ακόλουθα:
i)
τον έλεγχο λογικής και φυσικής πρόσβασης, όπως αναφέρεται στο άρθρο 21, και τη διαχείριση ταυτότητας·
ii)
τη διαχείριση της χωρητικότητας·
iv)
τις λειτουργίες ΤΠΕ, συμπεριλαμβανομένων των δραστηριοτήτων των συστημάτων ΤΠΕ·
v)
τις δραστηριότητες κίνησης στο δίκτυο, συμπεριλαμβανομένων των επιδόσεων του δικτύου ΤΠΕ·
δ)
μέτρα για την προστασία των συστημάτων καταγραφής και των πληροφοριών των αρχείων καταγραφής από παραποίηση, διαγραφή και μη εξουσιοδοτημένη πρόσβαση σε κατάσταση αποθήκευσης, διαβίβασης και, κατά περίπτωση, χρήσης·
ε)
μέτρα για τον εντοπισμό αστοχίας των συστημάτων καταγραφής·
στ)
με την επιφύλαξη τυχόν εφαρμοστέων ρυθμιστικών απαιτήσεων βάσει του ενωσιακού ή του εθνικού δικαίου, τον συγχρονισμό των ρολογιών κάθε συστήματος ΤΠΕ της χρηματοοικονομικής οντότητας με βάση τεκμηριωμένη αξιόπιστη πηγή χρόνου αναφοράς.
Για τους σκοπούς του στοιχείου α), οι χρηματοοικονομικές οντότητες καθορίζουν την περίοδο διατήρησης, λαμβάνοντας υπόψη τους επιχειρηματικούς στόχους και τους στόχους ασφάλειας των πληροφοριών, τον λόγο καταχώρισης του συμβάντος στα αρχεία καταγραφής και τα αποτελέσματα της αξιολόγησης κινδύνων ΤΠΕ.
|
|