+Vulnerability Management

Vulnerability Management

Conduct automated vulnerability scanning and assessments on ICT assets. For assets supporting critical or important functions, perform scans and assessments on a weekly basis. Record detected vulnerabilities, monitor their resolution status, and verify the remediation of vulnerabilities. Disclose vulnerabilities responsibly to clients/customers, financial counterparts, and the public when appropriate. Ensure thirdparty service providers report vulnerabilities related to the services they offer. This includes investigating vulnerabilities, determining root causes, and implementing appropriate solutions by the service providers.

*Specific to central securities depositories and central counterparties: perform vulnerability assessments before any deployment or redeployment of new or existing applications and infrastructure components, and ICT services supporting critical or important functions.

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät säädökset

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät säädökset

Säädökset
EULAW 25 artikla 2

2.   Arvopaperikeskusten ja keskusvastapuolten on suoritettava haavoittuvuusarviointeja ennen kuin ne ottavat käyttöön tai ottavat uudelleen käyttöön uusia tai olemassa olevia sovelluksia ja infrastruktuurikomponentteja sekä TVT-palveluja, jotka tukevat finanssiyhteisön kriittisiä tai tärkeitä toimintoja.
EULAW 10 artikla 1.
Finanssiyhteisöjen on osana asetuksen (EU) 2022/2554 9 artiklan 2 kohdassa tarkoitettuja TVT-turvallisuutta koskevia toimintaperiaatteita, menettelyjä, protokollia ja välineitä laadittava, dokumentoitava ja otettava käyttöön haavoittuvuuden hallintaa koskevat menettelyt.
EULAW 10 artikla 2.

Edellä 1 kohdassa tarkoitetuissa haavoittuvuuden hallintaa koskevissa menettelyissä on

a) 

määritettävä ja päivitettävä asiaankuuluvat ja luotettavat tietoresurssit, jotta voidaan lisätä ja ylläpitää tietoisuutta haavoittuvuuksista;

b) 

varmistettava, että TVT-omaisuuden automatisoitu haavoittuvuuskartoitus ja automatisoidut arvioinnit suoritetaan siten, että niiden tiheys ja laajuus ovat oikeassa suhteessa TVT-omaisuuden asetuksen (EU) 2022/2554 8 artiklan 1 kohdan mukaisesti vahvistettuun luokitteluun ja yleiseen riskiprofiiliin nähden;

c) 

vahvistettava

i) 

käsittelevätkö TVT-palveluntarjoajana olevat kolmannet osapuolet finanssiyhteisölle tarjottaviin TVT-palveluihin liittyvät haavoittuvuudet;

ii) 

raportoivatko kyseiset palveluntarjoajat viipymättä finanssiyhteisölle vähintään kriittisistä haavoittuvuuksista sekä tilastoista ja suuntauksista;

d) 

seurattava seuraavien käyttöä:

i) 

kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttämät kolmansien osapuolten kirjastot, mukaan lukien avoimen lähdekoodin kirjastot;

ii) 

TVT-palvelut, jotka finanssiyhteisö itse on kehittänyt tai jotka TVT-palveluntarjoajana oleva kolmas osapuoli on räätälöinyt tai kehittänyt finanssiyhteisöä varten;

e) 

vahvistettava menettelyt haavoittuvuuksista ilmoittamiseksi vastuullisesti asiakkaille, vastapuolille ja suurelle yleisölle;

f) 

priorisoitava havaittujen haavoittuvuuksien korjaamiseksi toteutettavat korjauspäivitykset ja muut lieventävät toimenpiteet;

g) 

seurattava haavoittuvuuksien korjaamista ja todennettava haavoittuvuuksien korjaaminen;

h) 

edellytettävä, että kaikki TVT-järjestelmiin vaikuttavat havaitut haavoittuvuudet kirjataan ja niiden korjaamista seurataan.

Sovellettaessa b alakohtaa finanssiyhteisöjen on suoritettava kriittisiä tai tärkeitä toimintoja tukevan TVT-omaisuuden automatisoitu haavoittuvuuskartoitus ja automatisoidut arvioinnit vähintään viikoittain.

Sovellettaessa c alakohtaa finanssiyhteisöjen on pyydettävä, että TVT-palveluntarjoajana olevat kolmannet osapuolet tutkivat asiaankuuluvat haavoittuvuudet, määrittävät niiden juurisyyt ja toteuttavat asianmukaiset lieventämistoimet.

Sovellettaessa d alakohtaa finanssiyhteisöjen on tarvittaessa yhteistyössä TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa seurattava kolmannen osapuolen kirjastojen versiota ja mahdollisia päivityksiä. Jos on kyse käyttövalmiista (kaupallisesta) TVT-omaisuudesta tai TVT-omaisuuden komponenteista, jotka on hankittu ja joita käytetään muita kuin kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluita varten, finanssiyhteisöjen on mahdollisuuksien mukaan seurattava kolmansien osapuolten kirjastojen, mukaan lukien avoimen lähdekoodin kirjastot, käyttöä.

Sovellettaessa f alakohtaa finanssiyhteisöjen on otettava huomioon haavoittuvuuden kriittisyys, asetuksen (EU) 2022/2554 8 artiklan 1 kohdan mukaisesti vahvistettu luokittelu ja sen TVT-omaisuuden riskiprofiili, johon havaitut haavoittuvuudet vaikuttavat.
EULAW 10 artikla 3.
Finanssiyhteisöjen on osana asetuksen (EU) 2022/2554 9 artiklan 2 kohdassa tarkoitettuja TVT-turvallisuutta koskevia toimintaperiaatteita, menettelyjä, protokollia ja välineitä laadittava, dokumentoitava ja otettava käyttöön korjauspäivitysten hallintaa koskevat menettelyt.
EULAW 10 artikla 4.

Edellä 3 kohdassa tarkoitetuissa korjauspäivitysten hallintaa koskevissa menettelyissä on

a) 

mahdollisuuksien mukaan käytettävä automatisoituja välineitä ohjelmistoihin ja laitteisiin saatavilla olevien korjauspäivitysten ja muiden päivitysten tunnistamiseen ja arvioimiseen;

b) 

määritettävä hätätilannemenettelyt TVT-omaisuuserien korjauspäivitysten ja muiden päivitysten tekemistä varten;

c) 

testattava ja käytettävä 8 artiklan 2 kohdan b alakohdan v, vi ja vii alakohdassa tarkoitettuja ohjelmistojen ja laitteiden korjauspäivityksiä ja muita päivityksiä;

d) 

asetettava määräajat ohjelmistojen ja laitteiden korjauspäivitysten ja muiden päivitysten asentamiselle sekä eskalaatiomenettelyt sellaisia tapauksia varten, joissa näitä määräaikoja ei voida noudattaa.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.