+Clock Synchronization Standardization

Clock Synchronization Standardization

Ensure clock synchronization of all ICT systems to a single reliable reference source time.

1. Vue d’ensemble

1.1 Références

1.2 Exigences identifiées

1.3 Réglementations associées

2. Exigences identifiées

Exigences

3. Réglementations associées

Réglementations
EULAW Article 8 1.
Dans le cadre des politiques, procédures, protocoles et outils de sécurité des TIC visés à l’article 9, paragraphe 2, du règlement (UE) 2022/2554, les entités financières élaborent, documentent et mettent en œuvre des politiques et des procédures pour gérer les opérations de TIC. Ces politiques et procédures précisent la manière dont les entités financières gèrent, suivent, contrôlent et restaurent leurs actifs de TIC, y compris la documentation relative aux opérations de TIC.
EULAW Article 8 2.

Les politiques et procédures relatives aux opérations de TIC visées au paragraphe 1 contiennent l’ensemble des éléments suivants:

a) 

une description des actifs de TIC, comprenant l’ensemble des éléments suivants:

i) 

des exigences relatives à la sécurité de l’installation, de la maintenance, de la configuration et de la désinstallation d’un système de TIC;

ii) 

des exigences relatives à la gestion des actifs informationnels utilisés par les actifs de TIC, y compris leur traitement et leur gestion, tant automatisés que manuels;

iii) 

des exigences relatives à l’identification et au contrôle des systèmes de TIC hérités;

b) 

des contrôles et un suivi des systèmes de TIC, comprenant l’ensemble des éléments suivants:

i) 

des exigences de sauvegarde et de restauration des systèmes de TIC;

ii) 

des exigences de programmation dans le temps, tenant compte des interdépendances entre les systèmes de TIC;

iii) 

des protocoles pour les informations de la piste d’audit et du journal du système;

iv) 

des exigences visant à garantir que la réalisation d’audits internes et d’autres tests perturbe le moins possible les activités;

v) 

des exigences relatives à la séparation entre les environnements de production des TIC, d’une part, et les environnements de développement, de tests et les autres environnements hors production, d’autre part;

vi) 

des exigences imposant que le développement et les tests aient lieu dans des environnements séparés de l’environnement de production;

vii) 

les exigences à respecter pour développer et tester en environnement de production;

c) 

le traitement des erreurs concernant les systèmes de TIC, comprenant l’ensemble des éléments suivants:

i) 

des procédures et protocoles de traitement des erreurs;

ii) 

les interlocuteurs à contacter pour un appui technique et la remontée d’informations, y compris les interlocuteurs à contacter pour un appui technique externe en cas de problèmes opérationnels ou techniques imprévus;

iii) 

les procédures de redémarrage, de reprise et de rétablissement des systèmes de TIC à appliquer en cas de dysfonctionnement des systèmes de TIC.

Aux fins du point b) v), la séparation tient compte de toutes les composantes de l’environnement, notamment des comptes, données ou connexions, comme l’exige l’article 13, paragraphe 1, point a).

Aux fins du point b) vii), les politiques et procédures visées au paragraphe 1 prévoient que les cas de réalisation de tests dans un environnement de production soient clairement identifiés et motivés, d’une durée limitée et approuvés par la fonction compétente conformément à l’article 16, paragraphe 6. Les entités financières garantissent la disponibilité, la confidentialité, l’intégrité et l’authenticité des systèmes de TIC et des données de production lors des activités de développement et de test dans l’environnement de production.
EULAW Article 9 1.

Dans le cadre des politiques, procédures, protocoles et outils de sécurité des TIC visés à l’article 9, paragraphe 2, du règlement (UE) 2022/2554, les entités financières élaborent, documentent et mettent en œuvre des procédures de gestion des capacités et des performances pour:

a) 

l’identification des besoins en capacités de leurs systèmes de TIC;

b) 

la mise en œuvre de l’optimisation des ressources;

c) 

les procédures de suivi visant à maintenir et à améliorer:

i) 

la disponibilité des données et des systèmes de TIC;

ii) 

l’efficience des systèmes de TIC;

iii) 

la prévention des déficits de capacités en matière de TIC.
EULAW Article 9 2.
Les procédures de gestion des capacités et des performances visées au paragraphe 1 garantissent que les entités financières prennent des mesures adéquates pour tenir compte des spécificités des systèmes de TIC soumis à des processus de passation de marchés ou d’approbation longs ou complexes ou des systèmes de TIC qui requièrent des ressources importantes.
EULAW Article 12 2.

Les procédures, protocoles et outils de journalisation visés au paragraphe 1 contiennent l’ensemble des éléments suivants:

a) 

l’identification des événements à enregistrer dans le journal, la durée de conservation des journaux et les mesures visant à sécuriser et à gérer les données des journaux, en tenant compte de la finalité pour laquelle les journaux sont créés;

b) 

l’alignement du niveau de détail des journaux sur leur finalité et leur utilisation, afin de permettre la détection effective des activités anormales visées à l’article 24;

c) 

l’obligation de consigner dans les journaux les événements relatifs à l’ensemble des éléments suivants:

i) 

le contrôle de l’accès logique et physique, tel que visé à l’article 21, et la gestion de l’identité;

ii) 

la gestion des capacités;

iii) 

la gestion des modifications;

iv) 

les opérations de TIC, y compris les activités liées aux systèmes de TIC;

v) 

le trafic réseau, y compris les performances des réseaux de TIC;

d) 

des mesures visant à protéger les systèmes de journalisation et les informations des journaux contre les manipulations, la suppression et l’accès non autorisé, au repos, en transit et, le cas échéant, en cours d’utilisation;

e) 

des mesures visant à détecter les défaillances des systèmes de journalisation;

f) 

sans préjudice de toute exigence réglementaire applicable en vertu du droit de l’Union ou du droit national, la synchronisation des horloges de chacun des systèmes de TIC de l’entité financière avec une horloge de référence fiable et documentée.

Aux fins du point a), les entités financières définissent la durée de conservation, en prenant en considération les objectifs en matière de sécurité des activités et de l’information, la raison de l’enregistrement de l’événement dans les journaux et les résultats de l’évaluation du risque lié aux TIC.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.