+System Management and Security

System Management and Security

Provide system descriptions that encompass secure installation, maintenance, configuration, and deinstallation/disposal of ICT assets. This includes the management of assets, both automated and manual, and the identification and control of legacy ICT systems.

1. Ülevaade

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud regulatsioonid

2. Tuvastatud nõuded

Nõuded

3. Seotud regulatsioonid

Regulatsioonid
EULAW Artikkel 8 1.
Finantssektori ettevõtjad töötavad määruse (EL) 2022/2554 artikli 9 lõikes 2 osutatud IKT turvalisuse põhimõtete, menetluste, protokollide ja vahendite osana välja ja dokumenteerivad IKT-toimingute haldamise põhimõtted ja menetlused ning rakendavad neid. Neis põhimõtetes ja menetlustes määratakse kindlaks, kuidas finantssektori ettevõtjad käitavad, seiravad, kontrollivad ja taastavad oma IKT-varasid, sealhulgas IKT-toimingute dokumenteerimine.
EULAW Artikkel 8 2.

IKT-toimingute põhimõtted ja menetlused, millele on osutatud lõikes 1, peavad hõlmama kõike järgmist:

a) 

IKT-varade kirjeldus, sealhulgas kõik järgmine:

i) 

IKT-süsteemide turvalise paigaldamise, hooldamise, konfigureerimise ja eemaldamise nõuded,

ii) 

IKT-varade kasutatavate teabevarade haldamise, sealhulgas nende automatiseeritud ja käsitsi töötlemise ja käsitsemise nõuded,

iii) 

IKT pärandsüsteemide kindlakstegemise ja kontrollimise nõuded;

b) 

IKT-süsteemide kontroll ja seire, sealhulgas kõik järgmine:

i) 

IKT-süsteemide varundamise ja taastamise nõuded,

ii) 

ajakava koostamise nõuded, kus on arvesse võetud IKT-süsteemide vastastikust sõltuvust,

iii) 

kontrolljälje ja süsteemi logiteabe protokollid,

iv) 

nõuded, millega tagatakse, et siseauditite ja muu testimise puhul minimeeritakse häired äritegevuses,

v) 

nõuded, mis käsitlevad IKT tootmise keskkondade lahus hoidmist arendamis-, testimis- ja muudest tootmisega mitteseotud keskkondadest,

vi) 

nõuded arendustegevuseks ja testimiseks tootmiskeskkonnast eraldatud keskkonnas,

vii) 

nõuded arendustegevuseks ja testimiseks tootmiskeskkonnas;

c) 

IKT-süsteemide vigade käsitlemine, sealhulgas kõik järgmine:

i) 

vigade käsitlemise menetlused ja protokollid,

ii) 

tugi- ja eskalatsioonikontaktid, sealhulgas välised tugikontaktid ootamatute tegevus- või tehniliste probleemide puhuks,

iii) 

IKT-süsteemide taaskäivitamise, tagasikerimise ja taastamise menetlused IKT-süsteemide häirete puhuks.

Punkti b alapunkti v kohaldamisel peab lahus hoidmise nõue kehtima kõikide asjaomaste keskkondade komponentide, sealhulgas arvepidamise, andmete ja ühenduste suhtes, nagu on ette nähtud artikli 13 lõike 1 punktiga a.

Punkti b alapunkti vii kohaldamisel nähakse lõikes 1 osutatud põhimõtetes ja menetlustes ette, et juhud, mil testimine toimub tootmiskeskkonnas, peavad olema selgelt määratletud, põhjendatud ja ajaliselt piiratud ning asjaomase funktsiooni täitja peab olema need vastavalt artikli 16 lõikele 6 heaks kiitnud. Finantssektori ettevõtjad tagavad tootmiskeskkonnas toimuva arendustegevuse ja testimise ajal IKT-süsteemide ja tootmisandmete kättesaadavuse, konfidentsiaalsuse, tervikluse ja autentsuse.
EULAW Artikkel 9 1.

Finantssektori ettevõtjad töötavad määruse (EL) 2022/2554 artikli 9 lõikes 2 osutatud IKT turvalisuse põhimõtete, menetluste, protokollide ja vahendite osana välja ning dokumenteerivad võimsuse ja jõudluse haldamise põhimõtted ja menetlused ning rakendavad neid; need põhimõtted ja menetlused töötatakse välja selleks, et

a) 

määrata kindaks vajalik IKT-süsteemide võimsus;

b) 

optimeerida ressursside kasutamist;

c) 

rakendada seire korda, millega säilitatakse ja muudetakse paremaks

i) 

andmete ja IKT-süsteemide kättesaadavus,

ii) 

IKT-süsteemide tõhusus,

iii) 

IKT-süsteemide võimsuse puudujäägi ennetamine.
EULAW Artikkel 9 2.
Lõikes 1 osutatud võimsuse ja jõudluse haldamise menetlustega tagatakse, et finantssektori ettevõtjad rakendavad asjakohaseid meetmeid, millega võetakse arvesse pikkade või keerukate hanke- või heakskiitmismenetlustega IKT-süsteemide või ressursimahukate IKT-süsteemide eripära.
EULAW Artikkel 12 2.

Lõikes 1 osutatud menetlused, protokollid ja vahendid peavad hõlmama kõike järgmist:

a) 

logitavate sündmuste kindlaksmääramine, logide säilitamisaeg ning logiandmete turvalisuse tagamise ja käitlemise meetmed, võttes arvesse logide loomise otstarvet;

b) 

logide üksikasjalikkuse vastavusse viimine nende otstarbe ja kasutamisega, et võimaldada tõhusalt avastada anomaalne tegevus, nagu on ette nähtud artikliga 24;

c) 

nõue logida sündmused, mis on seotud kõige järgmisega:

i) 

artiklis 21 osutatud loogilise ja füüsilise pääsu reguleerimine ning identiteedihaldus,

ii) 

võimsuse haldamine,

iii) 

muudatuste juhtimine,

iv) 

IKT-toimingud, sealhulgas tegevus IKT-süsteemides,

v) 

võrguliiklus, sealhulgas IKT-võrgu jõudlus;

d) 

meetmed, millega kaitstakse logimissüsteeme ja logiandmeid rikkumise, kustutamise ja loata juurdepääsu eest andmete jõudeoleku, edastamise ja vajaduse korral kasutamise ajal;

e) 

meetmed logimissüsteemide tõrgete avastamiseks;

f) 

ilma et see piiraks liidu või liikmesriigi õiguses sätestatud asjakohaste regulatiivsete nõuete kohaldamist, finantssektori ettevõtja kõigi IKT-süsteemide kellaaegade sünkroniseerimine, tuginedes dokumenteeritud usaldusväärsele võrdlusajale.

Punkti a kohaldamisel määravad finantssektori ettevõtjad kindlaks säilitamistähtaja, võttes arvesse äri- ja infoturbe eesmärke, sündmuse logis registreerimise põhjust ja IKT-riski hindamise tulemusi.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.