+ICT Monitoring

ICT Monitoring

Develop, document and implement capacity and performance management procedures to identify capacity requirements of their ICT systems and apply resource optimisation and monitoring procedures to maintain and improve the availability of data and ICT systems and efficiency of ICT systems and prevent ICT capacity shortages.

1. Resumen

1.1 Referencias

1.2 Requisitos identificados

1.3 Regulaciones relacionadas

2. Requisitos identificados

Requisitos

3. Regulaciones relacionadas

Regulaciones
EULAW Artículo 8 1.
Dentro de las políticas, procedimientos, protocolos y herramientas en materia de seguridad de las TIC a que se refiere el artículo 9, apartado 2, del Reglamento (UE) 2022/2554, las entidades financieras elaborarán, documentarán y aplicarán políticas y procedimientos de gestión de las operaciones de TIC. Dichas políticas y procedimientos especificarán el modo en que las entidades financieras llevarán a cabo la explotación, el seguimiento, el control y la restauración de sus activos de TIC, así como la documentación de las operaciones de TIC.
EULAW Artículo 8 2.

Las políticas y procedimientos relacionados con las operaciones de TIC a que se refiere el apartado 1 contendrán todos los elementos siguientes:

a) 

una descripción de los activos de TIC, incluidos todos los requisitos siguientes:

i) 

requisitos relativos a la instalación, el mantenimiento, la configuración y la desinstalación con seguridad de un sistema de TIC,

ii) 

requisitos relativos a la gestión de los activos de información utilizados por los activos de TIC, en particular su tratamiento y manejo, tanto automatizado como manual,

iii) 

requisitos relativos a la identificación de los sistemas de TIC heredados y su control;

b) 

controles y seguimiento de los sistemas de TIC, incluidos todos los aspectos siguientes:

i) 

requisitos relativos a la copia de seguridad y restauración de los sistemas de TIC,

ii) 

requisitos de planificación, teniendo en cuenta las interdependencias entre los sistemas de TIC,

iii) 

protocolos para la pista de auditoría y la información de registro del sistema,

iv) 

requisitos para garantizar que la realización de auditorías internas y otras pruebas cause las mínimas perturbaciones de las operaciones comerciales,

v) 

requisitos relativos a la separación entre los entornos de producción de TIC y los de desarrollo y de pruebas y otros entornos distintos del de producción,

vi) 

requisitos para llevar a cabo el desarrollo y las pruebas en entornos separados del entorno de producción,

vii) 

requisitos para llevar a cabo el desarrollo y las pruebas en entornos de producción;

c) 

gestión de errores en relación con los sistemas de TIC, incluidos todos los aspectos siguientes:

i) 

procedimientos y protocolos para la gestión de errores,

ii) 

contactos para asistencia y traslado a una instancia jerárquica superior, incluidos los contactos externos para asistencia en caso de problemas operativos o técnicos imprevistos,

iii) 

procedimientos de reinicio, reversión y recuperación de los sistemas de TIC en caso de interrupción de dichos sistemas.

A efectos de la separación a que se refiere la letra b), inciso v), se tendrán en cuenta todos los componentes del entorno, incluidas las cuentas, los datos o las conexiones, tal como se exige en el artículo 13, apartado 1, letra a).

A efectos de la letra b), inciso vii), las políticas y procedimientos a que se refiere el apartado 1 dispondrán que los casos en que se realicen pruebas en un entorno de producción estén claramente definidos y motivados, sean de duración limitada y cuenten con la aprobación de la función pertinente, de conformidad con el artículo 16, apartado 6. Las entidades financieras garantizarán la disponibilidad, confidencialidad, integridad y autenticidad de los sistemas de TIC y los datos de producción durante las actividades de desarrollo y prueba en el entorno de producción.
EULAW Artículo 9 1.

Dentro de las políticas, procedimientos, protocolos y herramientas en materia de seguridad de las TIC a que se refiere el artículo 9, apartado 2, del Reglamento (UE) 2022/2554, las entidades financieras elaborarán, documentarán y aplicarán procedimientos de gestión de la capacidad y el rendimiento a efectos de:

a) 

la determinación de los requisitos de capacidad de sus sistemas de TIC;

b) 

la aplicación de la optimización de recursos;

c) 

los procedimientos de seguimiento para el mantenimiento y la mejora de:

i) 

la disponibilidad de datos y de los sistemas de TIC,

ii) 

la eficiencia de los sistemas de TIC,

iii) 

la prevención de la falta de capacidad en materia de TIC.
EULAW Artículo 9 2.
Los procedimientos de gestión de la capacidad y el rendimiento a que se refiere el apartado 1 garantizarán que las entidades financieras adopten medidas adecuadas para tener en cuenta las especificidades de los sistemas de TIC con procesos de adquisición o aprobación largos o complejos o los sistemas de TIC que requieren un uso intensivo de recursos.
EULAW Artículo 12 2.

Los procedimientos, protocolos y herramientas de registro a que se refiere el apartado 1 contendrán todos los aspectos siguientes:

a) 

la determinación de los hechos que deben registrarse, el período de conservación de los registros y las medidas para proteger y gestionar los datos de los registros, teniendo en cuenta la finalidad para la que se crean tales registros;

b) 

la correspondencia entre el nivel de detalle de los registros y su finalidad y uso, a fin de permitir la detección eficaz de las actividades anómalas a que se refiere el artículo 24;

c) 

el requisito de registrar los hechos relacionados con todos los aspectos siguientes:

i) 

el control del acceso lógico y físico a que se refiere el artículo 21 y la gestión de la identidad,

ii) 

la gestión de la capacidad,

iii) 

la gestión de cambios,

iv) 

las operaciones de TIC, incluidas las actividades de los sistemas de TIC,

v) 

las actividades de tráfico de red, incluido el rendimiento de las redes de TIC;

d) 

medidas para proteger los sistemas de registro y la información de los registros contra la manipulación, la supresión y el acceso no autorizado en reposo, en tránsito y, en su caso, en uso;

e) 

medidas para detectar fallos en los sistemas de registro;

f) 

sin perjuicio de los requisitos normativos aplicables en virtud del Derecho de la Unión o nacional, la sincronización de los relojes de cada uno de los sistemas de TIC de la entidad financiera con una fuente de tiempo de referencia fiable y documentada.

A efectos de la letra a), las entidades financieras establecerán el período de conservación teniendo en cuenta los objetivos empresariales y de seguridad de la información, el motivo por el que se registra el correspondiente hecho y los resultados de la evaluación del riesgo relacionado con las TIC.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.