+Asset Classification and Documentation

Asset Classification and Documentation

Identify, classify and document all ICT-supported business functions, including the assets supporting them, and detail the roles and dependencies of these assets in relation to ICT risk. Additionally, identify and document all ICT-supported business functions dependent on ICT third-party service providers, and identify the services provided by third-party providers that support critical or important business functions. Make a mapping of critical (ICT) assets based on a criticality assessment, which must include network resources, hardware equipment, and resources on remote sites. This mapping should also incorporate the configuration of assets and their links and interdependencies with other assets. The criticality assessment should follow clear criteria to evaluate the ICT risk related to business functions, taking into account the potential impact of confidentiality, integrity, and availability losses. Review the adequacy of this classification and documentation at least on a yearly basis, ensuring it meets the requirements for maintaining accurate and up-to-date asset records.

1. Resumen

Título	Estándar

1.1 Referencias

1.2 Requisitos identificados

1.3 Regulaciones relacionadas

2. Requisitos identificados

Requisitos
Fuente	Requisito

3. Regulaciones relacionadas

Regulaciones
Fuente	Regulación
EULAW	Artículo 7 Sistemas, protocolos y herramientas de TIC Con el fin de abordar y gestionar los riesgos relacionados con las TIC, las entidades financieras utilizarán y mantendrán actualizados sistemas, protocolos y herramientas de TIC que:
EULAW	Artículo 8 1 1. Como parte del marco de gestión del riesgo relacionado con las TIC a que se refiere el artículo 6, apartado 1, las entidades financieras identificarán, clasificarán y documentarán adecuadamente todas las funciones, cometidos y responsabilidades empresariales sustentados por las TIC, los activos de información y activos de TIC que sustenten dichas funciones, y sus cometidos y dependencias en relación con el riesgo relacionado con las TIC. Las entidades financieras revisarán en caso necesario, y al menos una vez al año, la idoneidad de esta clasificación y de cualquier documentación pertinente.
EULAW	Artículo 8 5 5. Las entidades financieras identificarán y documentarán todos los procesos que dependan de proveedores terceros de servicios de TIC, e identificarán las interconexiones con proveedores terceros de servicios de TIC que presten servicios que sustenten funciones esenciales o importantes.
EULAW	Artículo 8 6 6. A los efectos de los apartados 1, 4 y 5, las entidades financieras mantendrán los inventarios pertinentes y los actualizarán periódicamente y cada vez que se produzcan los cambios importantes a que se refiere el apartado 3.
EULAW	Artículo 4 1. Dentro de las políticas, procedimientos, protocolos y herramientas en materia de seguridad de las TIC a que se refiere el artículo 9, apartado 2, del Reglamento (UE) 2022/2554, las entidades financieras elaborarán, documentarán y aplicarán una política de gestión de activos de TIC.
EULAW	Artículo 4 2. La política de gestión de activos de TIC a que se refiere el apartado 1: a) exigirá el seguimiento y la gestión del ciclo de vida de los activos de TIC que hayan sido identificados y clasificados de conformidad con el artículo 8, apartado 1, del Reglamento (UE) 2022/2554; b) exigirá que la entidad financiera lleve un registro de todos los aspectos siguientes: i) el identificador único de cada activo de TIC, ii) la ubicación, física o lógica, de todos los activos de TIC, iii) la clasificación de todos los activos de TIC a que se refiere el artículo 8, apartado 1, del Reglamento (UE) 2022/2254, iv) la identidad de los propietarios de los activos de TIC, v) las funciones o servicios empresariales sustentados por el activo de TIC de que se trate, vi) los requisitos relativos a la continuidad de la actividad en materia de TIC, incluidos los objetivos de tiempo de recuperación y de punto de recuperación, vii) si el activo de TIC de que se trate puede estar o está expuesto a redes externas, incluida internet, viii) los vínculos e interdependencias entre los activos de TIC y las funciones empresariales que utilicen cada activo de TIC, ix) cuando proceda, en relación con todos los activos de TIC, la fecha de finalización de los servicios de soporte normales, ampliados y personalizados del proveedor tercero de servicios de TIC tras la cual los activos de TIC dejarán de contar con el soporte de su suministrador o de un proveedor tercero de servicios de TIC; c) en el caso de las entidades financieras que no sean microempresas, exigirá que tales entidades conserven la información necesaria para realizar la evaluación específica del riesgo relacionado con las TIC en todos los sistemas de TIC heredados a que se refiere el artículo 8, apartado 7, del Reglamento (UE) 2022/2554.
EULAW	Artículo 5 1. Las entidades financieras elaborarán, documentarán y aplicarán un procedimiento de gestión de activos de TIC.
EULAW	Artículo 5 2. El procedimiento de gestión de activos de TIC a que se refiere el apartado 1 especificará los criterios para la evaluación del carácter esencial de los activos de información y los activos de TIC que sustenten funciones empresariales. Dicha evaluación tendrá en cuenta lo siguiente: a) el riesgo relacionado con las TIC que llevan asociado tales funciones empresariales, así como su dependencia de los activos de información o activos de TIC; b) la forma en que la pérdida de confidencialidad, integridad y disponibilidad de tales activos de información y activos de TIC afectaría a los procesos empresariales y las actividades de las entidades financieras.

NOREA -
EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.