+Vulnerability Management

Vulnerability Management

Conduct automated vulnerability scanning and assessments on ICT assets. For assets supporting critical or important functions, perform scans and assessments on a weekly basis. Record detected vulnerabilities, monitor their resolution status, and verify the remediation of vulnerabilities. Disclose vulnerabilities responsibly to clients/customers, financial counterparts, and the public when appropriate. Ensure thirdparty service providers report vulnerabilities related to the services they offer. This includes investigating vulnerabilities, determining root causes, and implementing appropriate solutions by the service providers.

*Specific to central securities depositories and central counterparties: perform vulnerability assessments before any deployment or redeployment of new or existing applications and infrastructure components, and ICT services supporting critical or important functions.

1. Apžvalga

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję teisės aktai

2. Nustatyti reikalavimai

Reikalavimai

3. Susiję teisės aktai

Teisės aktai
EULAW 25 straipsnis 2

2.   Centriniai vertybinių popierių depozitoriumai ir pagrindinės sandorio šalys atlieka pažeidžiamumo vertinimus prieš įdiegdami ar pakartotinai įdiegdami naujas ar esamas programas ir infrastruktūros komponentus ir IRT paslaugas, kuriais palaikomos finansų sektoriaus subjekto ypatingos svarbos arba svarbios funkcijos.
EULAW 10 straipsnis 1.
Finansų sektoriaus subjektai parengia, dokumentuoja ir įgyvendina pažeidžiamumų valdymo procedūras ir įtraukia jas į savo IRT saugumo politiką, procedūras, protokolus ir priemones, nurodytus Reglamento (ES) 2022/2554 9 straipsnio 2 dalyje.
EULAW 10 straipsnis 2.

Taikant 1 dalyje nurodytas pažeidžiamumų valdymo procedūras:

a) 

nustatomi ir atnaujinami aktualūs ir patikimi informacijos šaltiniai, padedantys plėsti ir atnaujinti žinias apie pažeidžiamumus;

b) 

užtikrinamas automatinis IRT turto pažeidžiamumų skenavimas ir vertinimas, o tos veiklos periodiškumas ir mastas turi būti proporcingi klasifikacijai pagal Reglamento (ES) 2022/2554 8 straipsnio 1 dalį ir bendram IRT turto rizikos profiliui;

c) 

tikrinama, ar:

i) 

IRT paslaugas teikiančios trečiosios šalys valdo pažeidžiamumus, susijusius su finansų sektoriaus subjektui teikiamomis IRT paslaugomis;

ii) 

tie paslaugų teikėjai laiku praneša finansų sektoriaus subjektui bent kritinius pažeidžiamumus ir statistinius duomenis bei tendencijas;

d) 

stebima, kaip naudojamos:

i) 

trečiųjų šalių bibliotekos, įskaitant atvirojo kodo bibliotekas, naudojamos IRT paslaugoms, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos;

ii) 

IRT paslaugos, kurias sukūrė pats finansų sektoriaus subjektas arba kurias konkrečiai jam pritaikė ar sukūrė IRT paslaugas teikianti trečioji šalis;

e) 

nustatomos atsakingo informacijos apie pažeidžiamumus atskleidimo klientams, sandorio šalims ir visuomenei procedūros;

f) 

šalinant aptiktus pažeidžiamumus pirmenybė teikiama pataisų diegimui ir kitoms poveikio mažinimo priemonėms;

g) 

stebimas ir tikrinamas pažeidžiamumų koregavimas;

h) 

reikalaujama registruoti visus aptiktus pažeidžiamumus, darančius poveikį IRT sistemai, ir stebėti jų pašalinimą.

Taikydami b punktą, finansų sektoriaus subjektai automatinį IRT turto, kuriuo palaikomos ypatingos svarbos arba svarbios funkcijos, pažeidžiamumų skenavimą ir vertinimą atlieka bent kartą per savaitę.

Taikydami c punktą, finansų sektoriaus subjektai teikia prašymą IRT paslaugas teikiančioms trečiosioms šalims išnagrinėti atitinkamus pažeidžiamumus, nustatyti pagrindines priežastis ir įgyvendinti tinkamus poveikio mažinimo veiksmus.

Taikydami d punktą, finansų sektoriaus subjektai, atitinkamais atvejais bendradarbiaudami su IRT paslaugas teikiančiomis trečiosiomis šalimis, stebi trečiųjų šalių bibliotekų versijas ir galimus naujinius. Parengto naudoti IRT turto ar IRT turto, įsigyto ir naudojamo teikti IRT paslaugoms, kuriomis nepalaikomos ypatingos svarbos arba svarbios funkcijos, komponentų atveju finansų sektoriaus subjektai kuo įdėmiau stebi trečiųjų šalių bibliotekų, įskaitant atvirojo kodo bibliotekas, naudojimą.

Taikydami f punktą, finansų sektoriaus subjektai įvertina IRT turto, kuriam daro poveikį aptikti pažeidžiamumai, pažeidžiamumo kritiškumą, klasifikaciją pagal Reglamento (ES) 2022/2554 8 straipsnio 1 dalį ir rizikos profilį.
EULAW 10 straipsnis 3.
Finansų sektoriaus subjektai parengia, dokumentuoja ir įgyvendina pataisų valdymo procedūras ir įtraukia jas į savo IRT saugumo politiką, procedūras, protokolus ir priemones, nurodytus Reglamento (ES) 2022/2554 9 straipsnio 2 dalyje.
EULAW 10 straipsnis 4.

Taikant 3 dalyje nurodytas pataisų valdymo procedūras:

a) 

kuo tiksliau automatizuotomis priemonėmis identifikuojamos ir įvertinamos programinės ir aparatinės įrangos pataisos ir naujiniai, kurie yra prieinami;

b) 

nustatomos skubaus IRT turto pataisų diegimo ir naujinimo procedūros;

c) 

testuojamos ir diegiamos programinės ir aparatinės įrangos pataisos ir naujiniai pagal 8 straipsnio 2 dalies b punkto v, vi ir vii papunkčius;

d) 

nustatomi programinės ir aparatinės įrangos pataisų ir naujinių diegimo terminai ir incidentų sprendimo procedūros tiems atvejams, kai terminų laikytis neįmanoma.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.