+System Management and Security

System Management and Security

Provide system descriptions that encompass secure installation, maintenance, configuration, and deinstallation/disposal of ICT assets. This includes the management of assets, both automated and manual, and the identification and control of legacy ICT systems.

1. Pregled

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani propisi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani propisi

Propisi
EULAW Članak 8. 1.
Financijski subjekti u sklopu politika, postupaka, protokola i alata za sigurnost IKT-a iz članka 9. stavka 2. Uredbe (EU) 2022/2554 izrađuju, dokumentiraju i provode politike i postupke za upravljanje operacijama IKT-a. Tim se politikama i postupcima utvrđuje kako financijski subjekti upotrebljavaju, prate, kontroliraju i obnavljaju svoju IKT imovinu, što uključuje dokumentiranje operacija IKT-a.
EULAW Članak 8. 2.

Politike i postupci za operacije IKT-a iz stavka 1. sadržavaju sve sljedeće:

(a) 

opis IKT imovine, koji uključuje sve sljedeće:

i. 

zahtjeve povezane sa sigurnom instalacijom, održavanjem, konfiguracijom i deinstalacijom IKT sustava;

ii. 

zahtjeve za upravljanje informacijskom imovinom koja se upotrebljava za IKT imovinu, među ostalim njezinu automatiziranu i ručnu obradu i upotrebu;

iii. 

zahtjeve za utvrđivanje i kontrolu zastarjelih IKT sustava;

(b) 

kontrole i praćenje IKT sustava, što uključuje sve sljedeće:

i. 

zahtjeve za sigurnosno kopiranje i ponovnu uspostavu IKT sustavâ;

ii. 

zahtjeve za izradu rasporeda, pri čemu se uzimaju u obzir međuovisnosti među IKT sustavima;

iii. 

protokole za revizijski postupak i podatke u evidenciji sustava;

iv. 

zahtjeve da se unutarnjim revizijama i drugim testiranjima smanje mogući poremećaji u poslovanju;

v. 

zahtjeve za odvajanje produkcijskih okruženja IKT-a od okruženja u kojima se IKT sustavi razvijaju i testiraju te od drugih neprodukcijskih okruženja;

vi. 

zahtjeve za razvoj i testiranje u okruženjima odvojenima od produkcijskog okruženja;

vii. 

zahtjeve za razvoj i testiranje u produkcijskim okruženjima;

(c) 

postupanje s greškama u IKT sustavima, što uključuje sve sljedeće:

i. 

postupke i protokole za postupanje s greškama;

ii. 

kontakte za podršku i eskalaciju, među ostalim vanjske kontakte za podršku u slučaju neočekivanih operativnih ili tehničkih problema;

iii. 

postupke za ponovno pokretanje, vraćanje na prethodnu verziju i oporavak IKT sustava u slučaju poremećaja u IKT sustavu.

Za potrebe točke (b) podtočke v. odvajanje se odnosi na sve sastavne dijelove okruženja, među ostalim račune, podatke ili veze u skladu s člankom 13. prvim stavkom točkom (a).

Za potrebe točke (b) podtočke vii. politikama i postupcima iz stavka 1. predviđa se da su slučajevi u kojima se testiranje provodi u produkcijskom okruženju jasno utvrđeni, obrazloženi i vremenski ograničeni te da ih je odobrila relevantna funkcija u skladu s člankom 16. stavkom 6. Financijski subjekti osiguravaju dostupnost, povjerljivost, cjelovitost i vjerodostojnost IKT sustavâ i produkcijskih podataka tijekom aktivnosti razvoja i testiranja u produkcijskom okruženju.
EULAW Članak 9. 1.

Financijski subjekti u sklopu politika, postupaka, protokola i alata za sigurnost IKT-a iz članka 9. stavka 2. Uredbe (EU) 2022/2554 izrađuju, dokumentiraju i provode postupke za upravljanje kapacitetom i performansama za sljedeće:

(a) 

utvrđivanje zahtjeva za kapacitet svojih IKT sustava;

(b) 

primjenu optimizacije resursa;

(c) 

postupke praćenja za održavanje i unaprjeđenje:

i. 

dostupnosti podataka i IKT sustavâ;

ii. 

učinkovitosti IKT sustavâ;

iii. 

sprječavanja manjka kapaciteta IKT-a.
EULAW Članak 9. 2.
Postupcima upravljanja kapacitetom i performansama iz stavka 1. osigurava se da financijski subjekti poduzimaju mjere koje su primjerene specifičnostima IKT sustavâ s dugim ili složenim procesima nabave ili odobrenja ili IKT sustava za koje je potrebno mnogo resursa.
EULAW Članak 12. 2.

Postupci, protokoli i alati za evidentiranje iz stavka 1. sadržavaju sve sljedeće:

(a) 

utvrđivanje događaja koji se evidentiraju, razdoblja čuvanja evidencije te mjere za zaštitu i obradu podataka iz evidencije, pri čemu se uzima u obzir svrha za vođenje evidencije;

(b) 

usklađivanje razine detaljnosti evidencije s njezinom svrhom i upotrebom za potrebe djelotvornog otkrivanja neobičnih aktivnosti kako je navedeno u članku 24.;

(c) 

zahtjeve za evidentiranje događaja koji se odnose na sve sljedeće:

i. 

kontrolu logičkog i fizičkog pristupa, kako je navedeno u članku 21., i upravljanje identitetom;

ii. 

upravljanje kapacitetom;

iii. 

upravljanje promjenama;

iv. 

operacije IKT-a, što uključuje aktivnosti u IKT sustavu;

v. 

aktivnosti mrežnog prometa, što uključuje performanse IKT mreže;

(d) 

mjere za zaštitu sustavâ za evidentiranje i podataka u evidenciji od neovlaštenog mijenjanja, brisanja i neovlaštenog pristupa u mirovanju, prijenosu ili, prema potrebi, upotrebi;

(e) 

mjere za otkrivanje prekida sustavâ za evidenciju;

(f) 

ne dovodeći u obzir primjenjive regulatorne zahtjeve iz prava Unije ili nacionalnog prava, sinkronizaciju satova svakog IKT sustava financijskog subjekta s dokumentiranim pouzdanim referentnim izvorom vremena.

Za potrebe točke (a) financijski subjekti utvrđuju razdoblje čuvanja, pri čemu uzimaju u obzir ciljeve u području poslovanja i informacijske sigurnosti, razlog evidentiranja događaja u evidenciji i rezultate procjene IKT rizika.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.