+Security Requirements

Security Requirements

Identify the potential impact of a change on existing security measures and assess whether additional security measures are required for its implementation. Verify that security requirements have been met for all implemented changes. Establish fallback procedures and assign responsibilities for aborting changes or recovering from changes not successfully implemented.

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Regolamentazioni correlate

2. Requisiti identificati

Requisiti

3. Regolamentazioni correlate

Regolamentazioni
EULAW Articolo 8 1.
Nell’ambito delle politiche, delle procedure, dei protocolli e degli strumenti per la sicurezza delle TIC di cui all’articolo 9, paragrafo 2, del regolamento (UE) 2022/2554, le entità finanziarie elaborano, documentano e attuano politiche e procedure per gestire le operazioni riguardanti le TIC. Tali politiche e procedure specificano in che modo le entità finanziarie gestiscono, monitorano, controllano e ripristinano le proprie risorse TIC, compresa la documentazione delle operazioni riguardanti le TIC.
EULAW Articolo 8 2.

Le politiche e le procedure per le operazioni riguardanti le TIC di cui al paragrafo 1 contengono tutti gli elementi seguenti:

a) 

una descrizione delle risorse TIC che includa tutti gli elementi seguenti:

i) 

requisiti relativi alla sicurezza dell’installazione, della manutenzione, della configurazione e della disinstallazione di un sistema di TIC;

ii) 

requisiti relativi alla gestione del patrimonio informativo utilizzato dalle risorse TIC, inclusi il trattamento e l’elaborazione, sia automatizzati che manuali;

iii) 

requisiti relativi all’identificazione e al controllo dei sistemi di TIC legacy;

b) 

i controlli e il monitoraggio dei sistemi di TIC, comprendenti tutti gli elementi seguenti:

i) 

requisiti di backup e ripristino dei sistemi di TIC;

ii) 

requisiti di scheduling, tenendo conto delle interdipendenze tra i sistemi di TIC;

iii) 

protocolli per le informazioni di audit trail e log di sistema;

iv) 

requisiti per garantire che l’esecuzione dell’audit interno e di altri test riduca al minimo le perturbazioni delle operazioni commerciali;

v) 

requisiti sulla separazione degli ambienti di produzione delle TIC dagli ambienti di sviluppo, test e da altri ambienti non di produzione;

vi) 

requisiti per condurre lo sviluppo e i test in ambienti separati dall’ambiente di produzione;

vii) 

requisiti per condurre lo sviluppo e i test in ambienti di produzione;

c) 

gestione degli errori relativi ai sistemi di TIC, che comprenda tutti gli elementi seguenti:

i) 

procedure e protocolli per la gestione degli errori;

ii) 

contatti dell’assistenza e dei livelli successivi di intervento, compresi i contatti dell’assistenza esterna in caso di problemi operativi o tecnici imprevisti;

iii) 

procedure di riavvio, riesecuzione e ripristino dei sistemi di TIC da utilizzare in caso di perturbazione dei sistemi di TIC.

Ai fini della lettera b), punto v), la separazione considera tutte le componenti dell’ambiente, compresi gli account, i dati o le connessioni, come previsto dall’articolo 13, primo comma, lettera a).

Ai fini della lettera b), punto vii), le politiche e le procedure di cui al paragrafo 1 prevedono che i casi in cui i test sono eseguiti in un ambiente di produzione siano chiaramente identificati, motivati, abbiano una durata limitata e siano approvati dalla funzione competente conformemente all’articolo 16, paragrafo 6. Le entità finanziarie garantiscono la disponibilità, la riservatezza, l’integrità e l’autenticità dei sistemi di TIC e dei dati di produzione durante le attività di sviluppo e di test nell’ambiente di produzione.
EULAW Articolo 17 1.

Nell’ambito delle salvaguardie volte a preservare la disponibilità, l’autenticità, l’integrità e la riservatezza dei dati, le entità finanziarie includono nelle procedure per la gestione delle modifiche delle TIC di cui all’articolo 9, paragrafo 4, lettera e), del regolamento (UE) 2022/2554, per tutte le modifiche a software, hardware, componenti firmware, sistemi o parametri di sicurezza, tutti gli elementi seguenti:

a) 

una verifica del rispetto dei requisiti di sicurezza delle TIC;

b) 

i meccanismi per garantire l’indipendenza delle funzioni che approvano le modifiche e delle funzioni responsabili della richiesta e dell’attuazione di tali modifiche;

c) 

una chiara descrizione dei ruoli e delle responsabilità per garantire che:

i) 

le modifiche siano specificate e pianificate;

ii) 

sia prevista una transizione adeguata;

iii) 

le modifiche siano testate e finalizzate in modo controllato;

iv) 

vi sia un’efficace garanzia della qualità;

d) 

la documentazione e la comunicazione dei dettagli della modifica, tra cui:

i) 

lo scopo e la portata della modifica;

ii) 

la tempistica per l’implementazione della modifica;

iii) 

i risultati attesi;

e) 

l’identificazione delle responsabilità e delle procedure di fall-back, comprese le responsabilità e le procedure per l’interruzione delle modifiche o per il ripristino in caso di modifiche non implementate correttamente;

f) 

procedure, protocolli e strumenti per la gestione delle modifiche di emergenza che forniscano adeguate salvaguardie;

g) 

procedure per documentare, rivalutare, valutare e approvare le modifiche di emergenza dopo la loro implementazione, comprese soluzioni workaround e patch;

h) 

l’identificazione dell’impatto potenziale di una modifica sulle misure di sicurezza delle TIC esistenti e la valutazione dell’eventualità che tale modifica richieda l’adozione di ulteriori misure di sicurezza delle TIC.
EULAW Articolo 17 2.
Dopo aver apportato modifiche significative ai loro sistemi di TIC, le controparti centrali e i depositari centrali di titoli sottopongono i loro sistemi di TIC a test rigorosi simulando condizioni di stress.

Se del caso, le controparti centrali coinvolgono nella progettazione e nella conduzione dei test di cui al primo comma:

a) 

i partecipanti diretti e i clienti;

b) 

le controparti centrali interoperabili;

c) 

altre parti interessate.

Se del caso, i depositari centrali di titoli coinvolgono nella progettazione e nella conduzione dei test di cui al primo comma:

a) 

gli utenti;

b) 

i fornitori di utenze critiche e di servizi critici;

c) 

altri depositari centrali di titoli;

d) 

altre infrastrutture di mercato;

e) 

qualsiasi altro ente con cui i depositari centrali di titoli abbiano identificato interdipendenze nella loro politica di continuità operativa delle TIC.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.