+Asset Classification and Documentation

Asset Classification and Documentation

Identify, classify and document all ICT-supported business functions, including the assets supporting them, and detail the roles and dependencies of these assets in relation to ICT risk. Additionally, identify and document all ICT-supported business functions dependent on ICT third-party service providers, and identify the services provided by third-party providers that support critical or important business functions. Make a mapping of critical (ICT) assets based on a criticality assessment, which must include network resources, hardware equipment, and resources on remote sites. This mapping should also incorporate the configuration of assets and their links and interdependencies with other assets. The criticality assessment should follow clear criteria to evaluate the ICT risk related to business functions, taking into account the potential impact of confidentiality, integrity, and availability losses. Review the adequacy of this classification and documentation at least on a yearly basis, ensuring it meets the requirements for maintaining accurate and up-to-date asset records.

 

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät säädökset

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät säädökset

Säädökset
EULAW 7 artikla TVT-järjestelmät, -protokollat ja -välineet

TVT-riskin torjumiseksi ja hallitsemiseksi finanssiyhteisöjen on käytettävä ja pidettävä yllä ajantasaisia TVT-järjestelmiä, -protokollia ja -välineitä, jotka ovat
EULAW 8 artikla 1

1.   Finanssiyhteisöjen on osana 6 artiklan 1 kohdassa tarkoitettua TVT-riskinhallintajärjestelmää yksilöitävä, luokiteltava ja asianmukaisesti dokumentoitava kaikki TVT:n tukemat liiketoiminnot, tehtävät ja vastuut, kyseisiä toimintoja tukevat tieto-omaisuus ja TVT-omaisuus sekä tehtävänsä ja riippuvuutensa suhteessa TVT-riskiin. Finanssiyhteisöjen on tarkasteltava uudelleen tämän luokittelun ja sitä koskevan dokumentaation asianmukaisuutta tarvittaessa ja vähintään kerran vuodessa.
EULAW 8 artikla 5

5.   Finanssiyhteisöjen on yksilöitävä ja dokumentoitava kaikki TVT-palveluntarjoajana olevista kolmansista osapuolista riippuvaiset prosessit ja yksilöitävä yhteenkytkennät sellaisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa, jotka tarjoavat kriittisiä tai tärkeitä toimintoja tukevia palveluja.
EULAW 8 artikla 6

6.   Finanssiyhteisöjen on pidettävä yllä ja päivitettävä säännöllisesti 1, 4 ja 5 kohdan soveltamista varten tarvittavia omaisuusluetteloita ja päivitettävä ne säännöllisesti ja aina, kun 3 kohdassa tarkoitettuja merkittäviä muutoksia tapahtuu.
EULAW 4 artikla 1.
Finanssiyhteisöjen on osana asetuksen (EU) 2022/2554 9 artiklan 2 kohdassa tarkoitettuja TVT-turvallisuutta koskevia toimintaperiaatteita, menettelyjä, protokollia ja välineitä laadittava, dokumentoitava ja otettava käyttöön TVT-omaisuudenhallintaperiaatteet.
EULAW 4 artikla 2.

Edellä 1 kohdassa tarkoitetuissa TVT-omaisuudenhallintaperiaatteissa on

a) 

määrättävä asetuksen (EU) 2022/2554 8 artiklan 1 kohdan mukaisesti yksilöidyn ja luokitellun TVT-omaisuuden elinkaaren seurannasta ja hallinnasta;

b) 

määrättävä, että finanssiyhteisö pitää kirjaa kaikista seuraavista:

i) 

kunkin TVT-omaisuuserän yksilöllinen tunniste;

ii) 

tiedot kaikkien TVT-omaisuuserien fyysisestä tai loogisesta sijainnista;

iii) 

kaikkien TVT-omaisuuserien asetuksen (EU) 2022/2254 8 artiklan 1 kohdassa tarkoitettu luokittelu;

iv) 

TVT-omaisuuserien omistajien henkilöllisyys;

v) 

liiketoiminnot tai palvelut, joita TVT-omaisuuserillä tuetaan;

vi) 

TVT-liiketoiminnan jatkuvuutta koskevat vaatimukset, mukaan lukien palautumisaika- ja palautumispistetavoitteet;

vii) 

voiko TVT-omaisuus altistua tai altistuuko se ulkoisille verkoille, internet mukaan luettuna;

viii) 

TVT-omaisuuserien ja kutakin TVT-omaisuuserää käyttävien liiketoimintojen väliset yhteydet ja keskinäiset riippuvuussuhteet;

ix) 

tapauksen mukaan kunkin TVT-omaisuuserän osalta TVT-palveluntarjoajana olevan kolmannen osapuolen säännöllisten, jatkettujen ja räätälöityjen tukipalvelujen päättymispäivät, joiden jälkeen kyseisillä TVT-omaisuuserillä ei ole enää niiden toimittajan tai TVT-palveluntarjoajana olevan kolmannen osapuolen tukea;

c) 

muiden finanssiyhteisöjen kuin mikroyritysten tapauksessa määrättävä, että kyseiset finanssiyhteisöt pitävät kirjaa tiedoista, jotka ovat tarpeen asetuksen (EU) 2022/2554 8 artiklan 7 kohdassa tarkoitetun erityisen TVT-riskinarvioinnin tekemiseksi kaikista aiemman sukupolven TVT-järjestelmistä.
EULAW 5 artikla 1.
Finanssiyhteisöjen on laadittava, dokumentoitava ja otettava käyttöön TVT-omaisuudenhallintamenettely.
EULAW 5 artikla 2.

Edellä 1 kohdassa tarkoitetussa TVT-omaisuudenhallintamenettelyssä on täsmennettävä kriteerit, joiden perusteella arvioidaan liiketoimintoja tukevan tieto-omaisuuden ja TVT-omaisuuden kriittisyyttä. Arvioinnissa on otettava huomioon

a) 

kyseisiin liiketoimintoihin liittyvä TVT-riski ja liiketoimintojen riippuvuus tieto-omaisuudesta tai TVT-omaisuudesta;

b) 

miten tällaisen tieto-omaisuuden ja TVT-omaisuuden luottamuksellisuuden, eheyden ja saatavuuden heikkeneminen vaikuttaisi finanssiyhteisöjen liiketoimintaprosesseihin ja toimintaan.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.