+Resource Management

Resource Management

Identify and maintain relevant and trustworthy information resources to build and sustain awareness about vulnerabilities. Track the usage of thirdparty libraries, including open source, by monitoring versions and potential updates (see also 28.2-3).

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät säädökset

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät säädökset

Säädökset
EULAW 25 artikla 2

2.   Arvopaperikeskusten ja keskusvastapuolten on suoritettava haavoittuvuusarviointeja ennen kuin ne ottavat käyttöön tai ottavat uudelleen käyttöön uusia tai olemassa olevia sovelluksia ja infrastruktuurikomponentteja sekä TVT-palveluja, jotka tukevat finanssiyhteisön kriittisiä tai tärkeitä toimintoja.
EULAW 10 artikla 1.
Finanssiyhteisöjen on osana asetuksen (EU) 2022/2554 9 artiklan 2 kohdassa tarkoitettuja TVT-turvallisuutta koskevia toimintaperiaatteita, menettelyjä, protokollia ja välineitä laadittava, dokumentoitava ja otettava käyttöön haavoittuvuuden hallintaa koskevat menettelyt.
EULAW 10 artikla 2.

Edellä 1 kohdassa tarkoitetuissa haavoittuvuuden hallintaa koskevissa menettelyissä on

a) 

määritettävä ja päivitettävä asiaankuuluvat ja luotettavat tietoresurssit, jotta voidaan lisätä ja ylläpitää tietoisuutta haavoittuvuuksista;

b) 

varmistettava, että TVT-omaisuuden automatisoitu haavoittuvuuskartoitus ja automatisoidut arvioinnit suoritetaan siten, että niiden tiheys ja laajuus ovat oikeassa suhteessa TVT-omaisuuden asetuksen (EU) 2022/2554 8 artiklan 1 kohdan mukaisesti vahvistettuun luokitteluun ja yleiseen riskiprofiiliin nähden;

c) 

vahvistettava

i) 

käsittelevätkö TVT-palveluntarjoajana olevat kolmannet osapuolet finanssiyhteisölle tarjottaviin TVT-palveluihin liittyvät haavoittuvuudet;

ii) 

raportoivatko kyseiset palveluntarjoajat viipymättä finanssiyhteisölle vähintään kriittisistä haavoittuvuuksista sekä tilastoista ja suuntauksista;

d) 

seurattava seuraavien käyttöä:

i) 

kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttämät kolmansien osapuolten kirjastot, mukaan lukien avoimen lähdekoodin kirjastot;

ii) 

TVT-palvelut, jotka finanssiyhteisö itse on kehittänyt tai jotka TVT-palveluntarjoajana oleva kolmas osapuoli on räätälöinyt tai kehittänyt finanssiyhteisöä varten;

e) 

vahvistettava menettelyt haavoittuvuuksista ilmoittamiseksi vastuullisesti asiakkaille, vastapuolille ja suurelle yleisölle;

f) 

priorisoitava havaittujen haavoittuvuuksien korjaamiseksi toteutettavat korjauspäivitykset ja muut lieventävät toimenpiteet;

g) 

seurattava haavoittuvuuksien korjaamista ja todennettava haavoittuvuuksien korjaaminen;

h) 

edellytettävä, että kaikki TVT-järjestelmiin vaikuttavat havaitut haavoittuvuudet kirjataan ja niiden korjaamista seurataan.

Sovellettaessa b alakohtaa finanssiyhteisöjen on suoritettava kriittisiä tai tärkeitä toimintoja tukevan TVT-omaisuuden automatisoitu haavoittuvuuskartoitus ja automatisoidut arvioinnit vähintään viikoittain.

Sovellettaessa c alakohtaa finanssiyhteisöjen on pyydettävä, että TVT-palveluntarjoajana olevat kolmannet osapuolet tutkivat asiaankuuluvat haavoittuvuudet, määrittävät niiden juurisyyt ja toteuttavat asianmukaiset lieventämistoimet.

Sovellettaessa d alakohtaa finanssiyhteisöjen on tarvittaessa yhteistyössä TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa seurattava kolmannen osapuolen kirjastojen versiota ja mahdollisia päivityksiä. Jos on kyse käyttövalmiista (kaupallisesta) TVT-omaisuudesta tai TVT-omaisuuden komponenteista, jotka on hankittu ja joita käytetään muita kuin kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluita varten, finanssiyhteisöjen on mahdollisuuksien mukaan seurattava kolmansien osapuolten kirjastojen, mukaan lukien avoimen lähdekoodin kirjastot, käyttöä.

Sovellettaessa f alakohtaa finanssiyhteisöjen on otettava huomioon haavoittuvuuden kriittisyys, asetuksen (EU) 2022/2554 8 artiklan 1 kohdan mukaisesti vahvistettu luokittelu ja sen TVT-omaisuuden riskiprofiili, johon havaitut haavoittuvuudet vaikuttavat.
EULAW 10 artikla 3.
Finanssiyhteisöjen on osana asetuksen (EU) 2022/2554 9 artiklan 2 kohdassa tarkoitettuja TVT-turvallisuutta koskevia toimintaperiaatteita, menettelyjä, protokollia ja välineitä laadittava, dokumentoitava ja otettava käyttöön korjauspäivitysten hallintaa koskevat menettelyt.
EULAW 10 artikla 4.

Edellä 3 kohdassa tarkoitetuissa korjauspäivitysten hallintaa koskevissa menettelyissä on

a) 

mahdollisuuksien mukaan käytettävä automatisoituja välineitä ohjelmistoihin ja laitteisiin saatavilla olevien korjauspäivitysten ja muiden päivitysten tunnistamiseen ja arvioimiseen;

b) 

määritettävä hätätilannemenettelyt TVT-omaisuuserien korjauspäivitysten ja muiden päivitysten tekemistä varten;

c) 

testattava ja käytettävä 8 artiklan 2 kohdan b alakohdan v, vi ja vii alakohdassa tarkoitettuja ohjelmistojen ja laitteiden korjauspäivityksiä ja muita päivityksiä;

d) 

asetettava määräajat ohjelmistojen ja laitteiden korjauspäivitysten ja muiden päivitysten asentamiselle sekä eskalaatiomenettelyt sellaisia tapauksia varten, joissa näitä määräaikoja ei voida noudattaa.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.