+Security Requirements

Security Requirements

Identify the potential impact of a change on existing security measures and assess whether additional security measures are required for its implementation. Verify that security requirements have been met for all implemented changes. Establish fallback procedures and assign responsibilities for aborting changes or recovering from changes not successfully implemented.

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät säädökset

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät säädökset

Säädökset
EULAW 8 artikla 1.
Finanssiyhteisöjen on osana asetuksen (EU) 2022/2554 9 artiklan 2 kohdassa tarkoitettuja TVT-turvallisuutta koskevia toimintaperiaatteita, menettelyjä, protokollia ja välineitä laadittava, dokumentoitava ja otettava käyttöön TVT-toimia koskevat toimintaperiaatteet ja menettelyt. Toimintaperiaatteissa ja menettelyissä on täsmennettävä, miten finanssiyhteisöt käyttävät, seuraavat ja valvovat TVT-omaisuuttaan ja miten omaisuuden toiminta palautetaan, mukaan lukien TVT-toimien dokumentointi.
EULAW 8 artikla 2.

Edellä 1 kohdassa tarkoitettujen TVT-toimia koskevien toimintaperiaatteiden ja menettelyjen on sisällettävä kaikki seuraavat:

a) 

kuvaus TVT-omaisuudesta, mukaan lukien kaikki seuraavat:

i) 

TVT-järjestelmän turvallista asentamista, huoltoa, konfigurointia ja purkamista koskevat vaatimukset;

ii) 

TVT-omaisuuden käyttämän tieto-omaisuuden hallintaa koskevat vaatimukset, mukaan lukien niiden automatisoitua ja manuaalista käsittelyä koskevat vaatimukset;

iii) 

aiemman sukupolven TVT-järjestelmien määrittämistä ja valvontaa koskevat vaatimukset;

b) 

TVT-järjestelmien valvonta ja seuranta, mukaan lukien kaikki seuraavat:

i) 

TVT-järjestelmien varmuuskopiointia ja palauttamista koskevat vaatimukset;

ii) 

aikataulutusvaatimukset ottaen huomioon TVT-järjestelmien keskinäiset riippuvuussuhteet;

iii) 

protokollat jäljitysketjuja ja järjestelmälokitietoja varten;

iv) 

vaatimukset, joilla varmistetaan, että sisäisen tarkastuksen ja muun testauksen suorittamisesta liiketoiminnalle aiheutuvat häiriöt ovat minimaalisia;

v) 

vaatimukset, jotka koskevat TVT-tuotantoympäristöjen erottamista kehitys- ja testausympäristöistä sekä muista tuotannon ulkopuolisista ympäristöistä;

vi) 

vaatimukset suorittaa kehittäminen ja testaus tuotantoympäristöstä erillisissä ympäristöissä;

vii) 

vaatimukset suorittaa kehittäminen ja testaus tuotantoympäristöissä;

c) 

virheiden käsittely TVT-järjestelmien osalta, mukaan lukien kaikki seuraavat:

i) 

virheiden käsittelyä koskevat menettelyt ja protokollat;

ii) 

tuki- ja eskalaatioyhteyspisteet, mukaan lukien ulkoiset tukipisteet odottamattomia operatiivisia tai teknisiä poikkeamia varten;

iii) 

TVT-järjestelmän uudelleenkäynnistys-, takaisinkierto- ja palautusmenettelyt, joita käytetään TVT-järjestelmän häiriötilanteissa.

Kun sovelletaan b alakohdan v alakohtaa, ympäristöjen erottamisessa on otettava huomioon kaikki ympäristön osatekijät, mukaan lukien tilit, tiedot ja yhteydet, kuten 13 artiklan 1 kohdan a alakohdassa edellytetään.

Kun sovelletaan b alakohdan vii alakohtaa, 1 kohdassa tarkoitetuissa toimintaperiaatteissa ja menettelyissä on määrättävä, että tapaukset, joissa testaus suoritetaan tuotantoympäristössä, on selkeästi määritetty ja perusteltu, että ne ovat määräaikaisia ja että asiaankuuluva toiminto on hyväksynyt ne 16 artiklan 6 kohdan mukaisesti. Finanssiyhteisöjen on varmistettava TVT-järjestelmien ja tuotantodatan saatavuus, luottamuksellisuus, eheys ja aitous tuotantoympäristössä toteutettavien kehittämis- ja testaustoimien aikana.
EULAW 17 artikla 1.

Ohjelmistoihin, laitteistoihin, laiteohjelmistokomponentteihin, järjestelmiin tai turvallisuusparametreihin tehtävien muutosten osalta finanssiyhteisöjen on osana suojatoimia, joilla säilytetään tietojen saatavuus, aitous, eheys ja luottamuksellisuus, sisällytettävä asetuksen (EU) 2022/2554 9 artiklan 4 kohdan e alakohdassa tarkoitettuihin TVT-muutosten hallintaa koskeviin menettelyihin kaikki seuraavat osatekijät:

a) 

TVT-turvallisuutta koskevien vaatimusten täyttymisen todentaminen;

b) 

mekanismit, joilla varmistetaan muutoksia hyväksyvien toimintojen ja muutosten pyytämisestä ja toteuttamisesta vastaavien toimintojen riippumattomuus;

c) 

selkeä kuvaus tehtävistä ja vastuista, jotta varmistetaan, että

i) 

muutokset yksilöidään ja suunnitellaan;

ii) 

siirtymä suunnitellaan asianmukaisesti;

iii) 

muutokset testataan ja viimeistellään hallitusti;

iv) 

käytössä on tehokas laadunvarmistus;

d) 

muutosten dokumentointi ja niistä ilmoittaminen, mukaan lukien seuraavat:

i) 

muutoksen tarkoitus ja laajuus:

ii) 

muutoksen toteuttamisaikataulu;

iii) 

odotetut tulokset;

e) 

varamenettelyjen ja niihin liittyvien vastuiden määrittäminen, mukaan lukien menettelyt ja vastuut, jotka koskevat muutosten keskeyttämistä ja epäonnistuneista muutoksista palautumista;

f) 

hätämuutosten hallintaan menettelyt, protokollat ja välineet, joihin sisältyy riittävät suojatoimet;

g) 

menettelyt, joilla dokumentoidaan, arvioidaan ja hyväksytään hätämuutokset, mukaan lukien väliaikaiset ratkaisut ja korjauspäivitykset, niiden käyttöön ottamisen jälkeen;

h) 

muutoksesta nykyisiin TVT-turvallisuutta koskeviin toimenpiteisiin mahdollisesti aiheutuvien vaikutusten tunnistaminen ja sen arviointi, edellyttääkö tällainen muutos uusien TVT-turvallisuutta koskevien toimenpiteiden hyväksymistä.
EULAW 17 artikla 2.
Keskusvastapuolten ja arvopaperikeskusten on tehtävä TVT-järjestelmilleen tiukat testit simuloimalla stressiolosuhteita sen jälkeen, kun ne ovat tehneet merkittäviä muutoksia TVT-järjestelmiinsä.

Keskusvastapuolten on otettava tarvittaessa mukaan ensimmäisessä alakohdassa tarkoitettujen testien suunnitteluun ja toteuttamiseen

a) 

selvitysosapuolet ja asiakkaat;

b) 

yhteentoimivat keskusvastapuolet;

c) 

muut asiaan liittyvät osapuolet.

Arvopaperikeskusten on otettava tarvittaessa mukaan ensimmäisessä alakohdassa tarkoitettujen testien suunnitteluun ja toteuttamiseen

a) 

käyttäjät;

b) 

keskeisten yleishyödyllisten palvelujen ja muiden keskeisten palvelujen tarjoajat;

c) 

muut arvopaperikeskukset;

d) 

muut markkinainfrastruktuurit;

e) 

muut laitokset, joiden kanssa arvopaperikeskukset ovat havainneet keskinäisiä riippuvuussuhteita TVT-liiketoiminnan jatkuvuutta koskevissa toimintaperiaatteissaan.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.