+Patch Management

Patch Management

Identify and evaluate available ICT assets (e.g., software and hardware) patches and updates using automated tools, to the extent possible. Deploy patches to address identified vulnerabilities. Prioritize the deployment of patches and other mitigation measures based on the criticality of the vulnerability and the classification and risk profile of the affected assets. Establish emergency procedures for patching and updating ICT assets. Test and deploy ICT asset patches and updates. Set due dates for the installation of ICT asset patches and updates, and establish escalation procedures in case the due dates cannot be met. In cases where no patches can be applied or are available, identify and implement alternative mitigation measures within the set due dates.

1. Apžvalga

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję teisės aktai

2. Nustatyti reikalavimai

Reikalavimai

3. Susiję teisės aktai

Teisės aktai
EULAW 25 straipsnis 2

2.   Centriniai vertybinių popierių depozitoriumai ir pagrindinės sandorio šalys atlieka pažeidžiamumo vertinimus prieš įdiegdami ar pakartotinai įdiegdami naujas ar esamas programas ir infrastruktūros komponentus ir IRT paslaugas, kuriais palaikomos finansų sektoriaus subjekto ypatingos svarbos arba svarbios funkcijos.
EULAW 10 straipsnis 1.
Finansų sektoriaus subjektai parengia, dokumentuoja ir įgyvendina pažeidžiamumų valdymo procedūras ir įtraukia jas į savo IRT saugumo politiką, procedūras, protokolus ir priemones, nurodytus Reglamento (ES) 2022/2554 9 straipsnio 2 dalyje.
EULAW 10 straipsnis 2.

Taikant 1 dalyje nurodytas pažeidžiamumų valdymo procedūras:

a) 

nustatomi ir atnaujinami aktualūs ir patikimi informacijos šaltiniai, padedantys plėsti ir atnaujinti žinias apie pažeidžiamumus;

b) 

užtikrinamas automatinis IRT turto pažeidžiamumų skenavimas ir vertinimas, o tos veiklos periodiškumas ir mastas turi būti proporcingi klasifikacijai pagal Reglamento (ES) 2022/2554 8 straipsnio 1 dalį ir bendram IRT turto rizikos profiliui;

c) 

tikrinama, ar:

i) 

IRT paslaugas teikiančios trečiosios šalys valdo pažeidžiamumus, susijusius su finansų sektoriaus subjektui teikiamomis IRT paslaugomis;

ii) 

tie paslaugų teikėjai laiku praneša finansų sektoriaus subjektui bent kritinius pažeidžiamumus ir statistinius duomenis bei tendencijas;

d) 

stebima, kaip naudojamos:

i) 

trečiųjų šalių bibliotekos, įskaitant atvirojo kodo bibliotekas, naudojamos IRT paslaugoms, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos;

ii) 

IRT paslaugos, kurias sukūrė pats finansų sektoriaus subjektas arba kurias konkrečiai jam pritaikė ar sukūrė IRT paslaugas teikianti trečioji šalis;

e) 

nustatomos atsakingo informacijos apie pažeidžiamumus atskleidimo klientams, sandorio šalims ir visuomenei procedūros;

f) 

šalinant aptiktus pažeidžiamumus pirmenybė teikiama pataisų diegimui ir kitoms poveikio mažinimo priemonėms;

g) 

stebimas ir tikrinamas pažeidžiamumų koregavimas;

h) 

reikalaujama registruoti visus aptiktus pažeidžiamumus, darančius poveikį IRT sistemai, ir stebėti jų pašalinimą.

Taikydami b punktą, finansų sektoriaus subjektai automatinį IRT turto, kuriuo palaikomos ypatingos svarbos arba svarbios funkcijos, pažeidžiamumų skenavimą ir vertinimą atlieka bent kartą per savaitę.

Taikydami c punktą, finansų sektoriaus subjektai teikia prašymą IRT paslaugas teikiančioms trečiosioms šalims išnagrinėti atitinkamus pažeidžiamumus, nustatyti pagrindines priežastis ir įgyvendinti tinkamus poveikio mažinimo veiksmus.

Taikydami d punktą, finansų sektoriaus subjektai, atitinkamais atvejais bendradarbiaudami su IRT paslaugas teikiančiomis trečiosiomis šalimis, stebi trečiųjų šalių bibliotekų versijas ir galimus naujinius. Parengto naudoti IRT turto ar IRT turto, įsigyto ir naudojamo teikti IRT paslaugoms, kuriomis nepalaikomos ypatingos svarbos arba svarbios funkcijos, komponentų atveju finansų sektoriaus subjektai kuo įdėmiau stebi trečiųjų šalių bibliotekų, įskaitant atvirojo kodo bibliotekas, naudojimą.

Taikydami f punktą, finansų sektoriaus subjektai įvertina IRT turto, kuriam daro poveikį aptikti pažeidžiamumai, pažeidžiamumo kritiškumą, klasifikaciją pagal Reglamento (ES) 2022/2554 8 straipsnio 1 dalį ir rizikos profilį.
EULAW 10 straipsnis 3.
Finansų sektoriaus subjektai parengia, dokumentuoja ir įgyvendina pataisų valdymo procedūras ir įtraukia jas į savo IRT saugumo politiką, procedūras, protokolus ir priemones, nurodytus Reglamento (ES) 2022/2554 9 straipsnio 2 dalyje.
EULAW 10 straipsnis 4.

Taikant 3 dalyje nurodytas pataisų valdymo procedūras:

a) 

kuo tiksliau automatizuotomis priemonėmis identifikuojamos ir įvertinamos programinės ir aparatinės įrangos pataisos ir naujiniai, kurie yra prieinami;

b) 

nustatomos skubaus IRT turto pataisų diegimo ir naujinimo procedūros;

c) 

testuojamos ir diegiamos programinės ir aparatinės įrangos pataisos ir naujiniai pagal 8 straipsnio 2 dalies b punkto v, vi ir vii papunkčius;

d) 

nustatomi programinės ir aparatinės įrangos pataisų ir naujinių diegimo terminai ir incidentų sprendimo procedūros tiems atvejams, kai terminų laikytis neįmanoma.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.