+System Management and Security

System Management and Security

Provide system descriptions that encompass secure installation, maintenance, configuration, and deinstallation/disposal of ICT assets. This includes the management of assets, both automated and manual, and the identification and control of legacy ICT systems.

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät säädökset

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät säädökset

Säädökset
EULAW 8 artikla 1.
Finanssiyhteisöjen on osana asetuksen (EU) 2022/2554 9 artiklan 2 kohdassa tarkoitettuja TVT-turvallisuutta koskevia toimintaperiaatteita, menettelyjä, protokollia ja välineitä laadittava, dokumentoitava ja otettava käyttöön TVT-toimia koskevat toimintaperiaatteet ja menettelyt. Toimintaperiaatteissa ja menettelyissä on täsmennettävä, miten finanssiyhteisöt käyttävät, seuraavat ja valvovat TVT-omaisuuttaan ja miten omaisuuden toiminta palautetaan, mukaan lukien TVT-toimien dokumentointi.
EULAW 8 artikla 2.

Edellä 1 kohdassa tarkoitettujen TVT-toimia koskevien toimintaperiaatteiden ja menettelyjen on sisällettävä kaikki seuraavat:

a) 

kuvaus TVT-omaisuudesta, mukaan lukien kaikki seuraavat:

i) 

TVT-järjestelmän turvallista asentamista, huoltoa, konfigurointia ja purkamista koskevat vaatimukset;

ii) 

TVT-omaisuuden käyttämän tieto-omaisuuden hallintaa koskevat vaatimukset, mukaan lukien niiden automatisoitua ja manuaalista käsittelyä koskevat vaatimukset;

iii) 

aiemman sukupolven TVT-järjestelmien määrittämistä ja valvontaa koskevat vaatimukset;

b) 

TVT-järjestelmien valvonta ja seuranta, mukaan lukien kaikki seuraavat:

i) 

TVT-järjestelmien varmuuskopiointia ja palauttamista koskevat vaatimukset;

ii) 

aikataulutusvaatimukset ottaen huomioon TVT-järjestelmien keskinäiset riippuvuussuhteet;

iii) 

protokollat jäljitysketjuja ja järjestelmälokitietoja varten;

iv) 

vaatimukset, joilla varmistetaan, että sisäisen tarkastuksen ja muun testauksen suorittamisesta liiketoiminnalle aiheutuvat häiriöt ovat minimaalisia;

v) 

vaatimukset, jotka koskevat TVT-tuotantoympäristöjen erottamista kehitys- ja testausympäristöistä sekä muista tuotannon ulkopuolisista ympäristöistä;

vi) 

vaatimukset suorittaa kehittäminen ja testaus tuotantoympäristöstä erillisissä ympäristöissä;

vii) 

vaatimukset suorittaa kehittäminen ja testaus tuotantoympäristöissä;

c) 

virheiden käsittely TVT-järjestelmien osalta, mukaan lukien kaikki seuraavat:

i) 

virheiden käsittelyä koskevat menettelyt ja protokollat;

ii) 

tuki- ja eskalaatioyhteyspisteet, mukaan lukien ulkoiset tukipisteet odottamattomia operatiivisia tai teknisiä poikkeamia varten;

iii) 

TVT-järjestelmän uudelleenkäynnistys-, takaisinkierto- ja palautusmenettelyt, joita käytetään TVT-järjestelmän häiriötilanteissa.

Kun sovelletaan b alakohdan v alakohtaa, ympäristöjen erottamisessa on otettava huomioon kaikki ympäristön osatekijät, mukaan lukien tilit, tiedot ja yhteydet, kuten 13 artiklan 1 kohdan a alakohdassa edellytetään.

Kun sovelletaan b alakohdan vii alakohtaa, 1 kohdassa tarkoitetuissa toimintaperiaatteissa ja menettelyissä on määrättävä, että tapaukset, joissa testaus suoritetaan tuotantoympäristössä, on selkeästi määritetty ja perusteltu, että ne ovat määräaikaisia ja että asiaankuuluva toiminto on hyväksynyt ne 16 artiklan 6 kohdan mukaisesti. Finanssiyhteisöjen on varmistettava TVT-järjestelmien ja tuotantodatan saatavuus, luottamuksellisuus, eheys ja aitous tuotantoympäristössä toteutettavien kehittämis- ja testaustoimien aikana.
EULAW 9 artikla 1.

Finanssiyhteisöjen on osana asetuksen (EU) 2022/2554 9 artiklan 2 kohdassa tarkoitettuja TVT-turvallisuutta koskevia toimintaperiaatteita, menettelyjä, protokollia ja välineitä laadittava, dokumentoitava ja otettava käyttöön kapasiteetin ja suorituskyvyn hallintaa koskevat menettelyt seuraavien osalta:

a) 

TVT-järjestelmiensä kapasiteettivaatimusten määrittely;

b) 

resurssien optimointi;

c) 

seurantamenettelyt, joilla ylläpidetään ja parannetaan

i) 

datan ja TVT-järjestelmien saatavuutta;

ii) 

TVT-järjestelmien tehokkuutta;

iii) 

TVT-kapasiteettipulan ehkäisemistä.
EULAW 9 artikla 2.
Edellä 1 kohdassa tarkoitetuilla kapasiteetin ja suorituskyvyn hallintaa koskevilla menettelyillä on varmistettava, että finanssiyhteisöt toteuttavat asianmukaisia toimenpiteitä sellaisten TVT-järjestelmien erityispiirteiden huomioon ottamiseksi, joihin liittyy pitkiä tai monimutkaisia hankinta- tai hyväksyntäprosesseja tai jotka ovat resurssi-intensiivisiä.
EULAW 12 artikla 2.

Edellä 1 kohdassa tarkoitettujen lokitietojen kirjaamista koskevien menettelyjen, käytäntöjen ja välineiden on sisällettävä kaikki seuraavat:

a) 

kirjattavien tapahtumien määrittäminen, lokitietojen säilytysaika sekä toimenpiteet lokitietojen suojaamiseksi ja käsittelemiseksi ottaen huomioon lokitietojen luomisen tarkoitus;

b) 

lokitietojen yksityiskohtaisuuden sovittaminen niiden käyttötarkoitukseen ja käyttötapaan, jotta 24 artiklassa tarkoitettu poikkeava toiminta voidaan havaita tehokkaasti;

c) 

vaatimus kirjata lokiin tapahtumat, jotka liittyvät johonkin seuraavista:

i) 

jäljempänä 21 artiklassa tarkoitettu looginen ja fyysinen pääsynvalvonta ja henkilöllisyyden hallinta;

ii) 

kapasiteetin hallinta;

iii) 

muutosten hallinta;

iv) 

TVT-toimet, mukaan lukien TVT-järjestelmätoiminta;

v) 

verkkoliikennetoiminta, mukaan lukien TVT-verkon suorituskyky;

d) 

toimenpiteet lokitietojärjestelmien ja lokitietojen suojaamiseksi muuttamiselta, poistamiselta ja luvattomalta käytöltä levossa, siirtämisen aikana ja tarvittaessa käsittelyn aikana;

e) 

toimenpiteet, joilla havaitaan lokitietojärjestelmien toimintahäiriöt;

f) 

finanssiyhteisön kunkin TVT-järjestelmän kellojen synkronointi dokumentoidun ja luotettavan viiteaikalähteen perusteella, sanotun kuitenkaan rajoittamatta unionin tai kansallisen lainsäädännön nojalla sovellettavien sääntelyvaatimusten soveltamista.

Sovellettaessa a alakohtaa finanssiyhteisöjen on vahvistettava säilytysaika ottaen huomioon liiketoiminta- ja tietoturvatavoitteet, syy tapahtuman kirjaamiseen lokitietoihin sekä TVT-riskinarvioinnin tulokset.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.