+Vulnerability Management

Vulnerability Management

Conduct automated vulnerability scanning and assessments on ICT assets. For assets supporting critical or important functions, perform scans and assessments on a weekly basis. Record detected vulnerabilities, monitor their resolution status, and verify the remediation of vulnerabilities. Disclose vulnerabilities responsibly to clients/customers, financial counterparts, and the public when appropriate. Ensure thirdparty service providers report vulnerabilities related to the services they offer. This includes investigating vulnerabilities, determining root causes, and implementing appropriate solutions by the service providers.

*Specific to central securities depositories and central counterparties: perform vulnerability assessments before any deployment or redeployment of new or existing applications and infrastructure components, and ICT services supporting critical or important functions.

1. Ülevaade

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud regulatsioonid

2. Tuvastatud nõuded

Nõuded

3. Seotud regulatsioonid

Regulatsioonid
EULAW Article 25 2

2.   Central securities depositories and central counterparties shall perform vulnerability assessments before any deployment or redeployment of new or existing applications and infrastructure components, and ICT services supporting critical or important functions of the financial entity.
EULAW Artikkel 10 1.
Finantssektori ettevõtjad töötavad määruse (EL) 2022/2554 artikli 9 lõikes 2 osutatud IKT turvalisuse põhimõtete, menetluste, protokollide ja vahendite osana välja ja dokumenteerivad nõrkusehalduse menetlused ning rakendavad neid.
EULAW Artikkel 10 2.

Lõikes 1 osutatud nõrkusehalduse menetlused töötatakse välja selleks, et

a) 

teha kindlaks asjakohased usaldusväärsed teaberessursid ja hoida need ajakohased, et muuta paremaks ja säilitada teadlikkus nõrkustest;

b) 

tagada IKT-varade nõrkuse automaatne skaneerimine ja hindamine sageduse ja ulatusega, mis on vastavuses määruse (EL) 2022/2554 artikli 8 lõike 1 kohase liigituse ja IKT-vara üldise riskiprofiiliga;

c) 

kontrollida, kas kolmandast isikust IKT-teenuste osutajad

i) 

tegelevad finantssektori ettevõtjale osutatavate IKT-teenuste nõrkustega,

ii) 

teavitavad finantssektori ettevõtjaid õigeaegselt vähemalt kriitilise tähtsusega nõrkustest ning statistikast ja suundumustest;

d) 

jälgida, kuidas kasutatakse

i) 

kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste kasutatavaid kolmandate isikute teeke, sealhulgas avatud lähtekoodiga teeke,

ii) 

IKT-teenuseid, mille on välja töötanud finantssektori ettevõtja ise või mille on finantssektori ettevõtja jaoks spetsiaalselt kohandanud või välja töötanud kolmandast isikust IKT-teenuste osutaja;

e) 

kehtestada kord nõrkuste vastutustundlikuks teatavaks tegemiseks klientidele, vastaspooltele ja üldsusele;

f) 

seada paikade ja muude leevendusmeetmete kasutamine tuvastatud nõrkuste kõrvaldamisel esmatähtsaks;

g) 

seirata ja kontrollida nõrkuse kõrvaldamist;

h) 

nõuda IKT-süsteeme mõjutavate tuvastatud nõrkuste registreerimist ja nende kõrvaldamise seiret.

Punkti b kohaldamisel teevad finantssektori ettevõtjad kriitilise tähtsusega või olulisi funktsioone toetavate IKT-varade nõrkuse automaatse skaneerimise ja hindamise vähemalt kord nädalas.

Punkti c kohaldamisel nõuavad finantssektori ettevõtjad, et kolmandast isikust IKT-teenuste osutajad uuriksid asjaomast nõrkust, teeksid kindlaks selle algpõhjused ja rakendaksid asjakohaseid leevendusmeetmeid.

Punkti d kohaldamisel seiravad finantssektori ettevõtjad – asjakohasel juhul koostöös kolmandast isikust IKT-teenuste osutajaga – kolmanda isiku teeke ja nende võimalikke uuendusi. Kui tegemist on kasutusvalmis IKT-varaga või IKT-vara komponentidega, mis on soetatud ja mida kasutatakse selliste IKT-teenuste jaoks, mis ei toeta kriitilise tähtsusega või olulisi funktsioone, jälgivad finantssektori ettevõtjad nii palju kui võimalik kolmandate isikute teekide, sealhulgas avatud lähtekoodiga teekide kasutamist.

Punkti f kohaldamisel võtavad finantssektori ettevõtjad arvesse nõrkuse kriitilist tähtsust, määruse (EL) 2022/2554 artikli 8 lõike 1 kohast liigitust ja tuvastatud nõrkustest mõjutatud IKT-varade riskiprofiili.
EULAW Artikkel 10 3.
Finantssektori ettevõtjad töötavad määruse (EL) 2022/2554 artikli 9 lõikes 2 osutatud IKT turvalisuse põhimõtete, menetluste, protokollide ja vahendite osana välja ja dokumenteerivad paigahalduse menetlused ning rakendavad neid.
EULAW Artikkel 10 4.

Lõikes 3 osutatud paigahalduse menetlused töötatakse välja selleks, et

a) 

teha võimalikult suures ulatuses kindlaks olemasolevad tark- ja riistvarapaigad ja uuendused ning neid hinnata, kasutades automatiseeritud vahendeid;

b) 

määrata kindlaks hädaolukorras rakendatav IKT-varade paikamise ja ajakohastamise kord;

c) 

testida ja kasutada artikli 8 lõike 2 punkti b alapunktides v, vi ja vii osutatud tark- ja riistvarapaiku ja uuendusi;

d) 

kehtestada tark- ja riistvarapaikade installeerimise ja uuendamise tähtajad ning eskalatsioonimenetlused, kui neist tähtaegadest ei ole võimalik kinni pidada.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.