+Emergency Change Management

Emergency Change Management

Define procedures for documenting, reevaluating, assessing, and approving the implementation of emergency changes, including workarounds and patches.

1. Resumen

1.1 Referencias

1.2 Requisitos identificados

1.3 Regulaciones relacionadas

2. Requisitos identificados

Requisitos

3. Regulaciones relacionadas

Regulaciones
EULAW Artículo 8 1.
Dentro de las políticas, procedimientos, protocolos y herramientas en materia de seguridad de las TIC a que se refiere el artículo 9, apartado 2, del Reglamento (UE) 2022/2554, las entidades financieras elaborarán, documentarán y aplicarán políticas y procedimientos de gestión de las operaciones de TIC. Dichas políticas y procedimientos especificarán el modo en que las entidades financieras llevarán a cabo la explotación, el seguimiento, el control y la restauración de sus activos de TIC, así como la documentación de las operaciones de TIC.
EULAW Artículo 8 2.

Las políticas y procedimientos relacionados con las operaciones de TIC a que se refiere el apartado 1 contendrán todos los elementos siguientes:

a) 

una descripción de los activos de TIC, incluidos todos los requisitos siguientes:

i) 

requisitos relativos a la instalación, el mantenimiento, la configuración y la desinstalación con seguridad de un sistema de TIC,

ii) 

requisitos relativos a la gestión de los activos de información utilizados por los activos de TIC, en particular su tratamiento y manejo, tanto automatizado como manual,

iii) 

requisitos relativos a la identificación de los sistemas de TIC heredados y su control;

b) 

controles y seguimiento de los sistemas de TIC, incluidos todos los aspectos siguientes:

i) 

requisitos relativos a la copia de seguridad y restauración de los sistemas de TIC,

ii) 

requisitos de planificación, teniendo en cuenta las interdependencias entre los sistemas de TIC,

iii) 

protocolos para la pista de auditoría y la información de registro del sistema,

iv) 

requisitos para garantizar que la realización de auditorías internas y otras pruebas cause las mínimas perturbaciones de las operaciones comerciales,

v) 

requisitos relativos a la separación entre los entornos de producción de TIC y los de desarrollo y de pruebas y otros entornos distintos del de producción,

vi) 

requisitos para llevar a cabo el desarrollo y las pruebas en entornos separados del entorno de producción,

vii) 

requisitos para llevar a cabo el desarrollo y las pruebas en entornos de producción;

c) 

gestión de errores en relación con los sistemas de TIC, incluidos todos los aspectos siguientes:

i) 

procedimientos y protocolos para la gestión de errores,

ii) 

contactos para asistencia y traslado a una instancia jerárquica superior, incluidos los contactos externos para asistencia en caso de problemas operativos o técnicos imprevistos,

iii) 

procedimientos de reinicio, reversión y recuperación de los sistemas de TIC en caso de interrupción de dichos sistemas.

A efectos de la separación a que se refiere la letra b), inciso v), se tendrán en cuenta todos los componentes del entorno, incluidas las cuentas, los datos o las conexiones, tal como se exige en el artículo 13, apartado 1, letra a).

A efectos de la letra b), inciso vii), las políticas y procedimientos a que se refiere el apartado 1 dispondrán que los casos en que se realicen pruebas en un entorno de producción estén claramente definidos y motivados, sean de duración limitada y cuenten con la aprobación de la función pertinente, de conformidad con el artículo 16, apartado 6. Las entidades financieras garantizarán la disponibilidad, confidencialidad, integridad y autenticidad de los sistemas de TIC y los datos de producción durante las actividades de desarrollo y prueba en el entorno de producción.
EULAW Artículo 17 1.

Como parte de las salvaguardias para preservar la disponibilidad, autenticidad, integridad y confidencialidad de los datos, las entidades financieras incluirán en los procedimientos de gestión de cambios en las TIC a que se refiere el artículo 9, apartado 4, letra e), del Reglamento (UE) 2022/2554, en relación con todos los cambios en el software, el hardware, los componentes de firmware, los sistemas o los parámetros de seguridad, todos los elementos siguientes:

a) 

la verificación del cumplimiento de los requisitos de seguridad de las TIC;

b) 

mecanismos para garantizar la independencia de las funciones que aprueban los cambios y las funciones responsables de solicitar y aplicar dichos cambios;

c) 

una descripción clara de las funciones y responsabilidades a fin de garantizar:

i) 

la especificación y planificación de los cambios,

ii) 

el diseño de una transición adecuada,

iii) 

el sometimiento a prueba y la ultimación de los cambios de manera controlada,

iv) 

la existencia de un aseguramiento eficaz de la calidad;

d) 

la documentación y comunicación de los detalles de los cambios, en particular:

i) 

el objeto y alcance de los cambios,

ii) 

el calendario para la aplicación de los cambios,

iii) 

los resultados esperados;

e) 

la determinación de responsabilidades y procedimientos alternativos, en particular responsabilidades y procedimientos para abortar un cambio o recuperarse de un cambio que no se ha ejecutado correctamente;

f) 

procedimientos, protocolos y herramientas para gestionar los cambios de emergencia que ofrezcan las salvaguardias adecuadas;

g) 

procedimientos para documentar, reexaminar, evaluar y aprobar los cambios de emergencia tras su aplicación, incluidas las soluciones alternativas y los parches;

h) 

la determinación de las posibles repercusiones de un cambio sobre las medidas de seguridad de las TIC vigentes, y la evaluación de si dicho cambio requiere la adopción de medidas de seguridad de las TIC adicionales.
EULAW Artículo 17 2.
Tras la introducción de cambios significativos en sus sistemas de TIC, las entidades de contrapartida central y los depositarios centrales de valores someterán tales sistemas a pruebas estrictas mediante la simulación de condiciones de tensión.

Las entidades de contrapartida central asociarán al diseño y la realización de las pruebas a que se refiere el párrafo primero, según proceda, a:

a) 

los miembros compensadores y clientes;

b) 

las entidades de contrapartida central interoperables;

c) 

otras partes interesadas.

Los depositarios centrales de valores asociarán al diseño y la realización de las pruebas a que se refiere el párrafo primero, según proceda, a:

a) 

los usuarios;

b) 

los prestadores de servicios esenciales;

c) 

otros depositarios centrales de valores;

d) 

otras infraestructuras del mercado;

e) 

otras entidades con respecto a las cuales hayan determinado la existencia de interdependencias en el marco de su política de continuidad de la actividad en materia de TIC.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.