+Inventory Management

Inventory Management

Keep an inventory of (ICT) assets, monitor their life-cycle and update it periodically and upon every major change in the network, the IT infrastructure, and processes and procedures supporting business functions. Keep records of the following for each ICT asset: unique identifier, location (physical or logical), asset classification, identity of asset owner, information for specific risk assessment on legacy systems, business functions or services supported, business continuity requirements (e.g., RTO, RPO), exposure to external networks, including the internet, links and interdependencies among assets and business functions using each asset, and the end dates of the ICT third-party service provider’s regular, extended and custom support services after which it is no longer supported by its supplier or by an ICT third-party service provider.

Ideally, inventory management is perfomed in an automated and continuous fashion.

1. Apžvalga

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję teisės aktai

2. Nustatyti reikalavimai

Reikalavimai

3. Susiję teisės aktai

Teisės aktai
EULAW 7 straipsnis IRT sistemos, protokolai ir priemonės

Siekdami mažinti ir valdyti IRT riziką, finansų sektoriaus subjektai naudoja ir nuolat atnaujina IRT sistemas, protokolus ir priemones, kurie:
EULAW 8 straipsnis 1

1.   Pagal 6 straipsnio 1 dalyje nurodytą IRT rizikos valdymo sistemą finansų sektoriaus subjektai nustato, klasifikuoja ir tinkamai pagrindžia dokumentais visas IRT palaikomas veiklos funkcijas, vaidmenis ir pareigas, informacinį turtą ir IRT turtą, kuriais palaikomos šios funkcijos, taip pat jų vaidmenis ir priklausomybę, kiek tai susiję su IRT rizika. Prireikus ir bent kartą per metus finansų sektoriaus subjektai peržiūri šio klasifikavimo ir atitinkamų dokumentų tinkamumą.
EULAW 8 straipsnis 5

5.   Finansų sektoriaus subjektai nustato ir dokumentais pagrindžia visus procesus, kurie priklauso nuo IRT paslaugas teikiančių trečiųjų šalių, ir nustato tarpusavio sąsajas su IRT paslaugas teikiančiomis trečiosiomis šalimis, kurios teikia paslaugas, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos.
EULAW 8 straipsnis 6

6.   1, 4 ir 5 dalių tikslais finansų sektoriaus subjektai tvarko atitinkamus aprašus ir juos atnaujina reguliariai ir kiekvieną kartą, kai padaromas esminis pakeitimas, kaip nurodyta 3 dalyje.
EULAW 4 straipsnis 1.
Finansų sektoriaus subjektai parengia, dokumentuoja ir įgyvendina IRT turto valdymo politiką ir įtraukia ją į savo IRT saugumo politiką, procedūras, protokolus ir priemones, nurodytus Reglamento (ES) 2022/2554 9 straipsnio 2 dalyje.
EULAW 4 straipsnis 2.

1 dalyje nurodyta ICT turto valdymo politika:

a) 

nurodoma vykdyti pagal Reglamento (ES) 2022/2554 8 straipsnio 1 dalį identifikuoto ir suklasifikuoto IRT turto stebėseną ir valdymą per gyvavimo ciklą;

b) 

finansų sektoriaus subjektas įpareigojamas registruoti visą šią informaciją:

i) 

kiekvieno IRT turto objekto unikalų identifikatorių;

ii) 

informaciją apie fizinę arba loginę kiekvieno IRT turto objekto vietą;

iii) 

viso IRT turto klasifikaciją, kaip nurodyta Reglamento (ES) 2022/2554 8 straipsnio 1 dalyje;

iv) 

IRT turto savininkų tapatybes;

v) 

IRT turto palaikomas veiklos funkcijas ar paslaugas;

vi) 

IRT veiklos tęstinumo reikalavimus, įskaitant veiklos atkūrimo laiko ir veiklos atkūrimo taško tikslus;

vii) 

tai, ar IRT turtas gali būti arba yra pasiekiamas per išorės tinklus, įskaitant internetą;

viii) 

IRT turto ir veiklos funkcijų, kurioms naudojamas tas IRT turtas, sąsajas ir tarpusavio priklausomybę;

ix) 

atitinkamais atvejais šią informaciją apie kiekvieną IRT turto objektą – IRT paslaugas teikiančios trečiosios šalies vykdomo įprastų, išplėstinių ir pritaikytųjų palaikymo paslaugų teikimo pabaigos datas, po kurių jo tiekėjas ar IRT paslaugas teikianti trečioji šalis to IRT turto nebepalaikys;

c) 

finansų sektoriaus subjektai, išskyrus labai mažas įmones, įpareigojami registruoti informaciją, reikalingą Reglamento (ES) 2022/2554 8 straipsnio 7 dalyje nurodytam specialiam visų senųjų IRT sistemų IRT rizikos vertinimui atlikti.
EULAW 5 straipsnis 1.
Finansų sektoriaus subjektai parengia, dokumentuoja ir įgyvendina IRT turto valdymo procedūrą.
EULAW 5 straipsnis 2.

1 dalyje nurodytoje IRT turto valdymo procedūroje nustatomi informacinio turto ir IRT turto, kuriuo palaikomos veiklos funkcijos, ypatingos svarbos vertinimo kriterijai. Atliekant tą vertinimą atsižvelgiama į:

a) 

su tomis veiklos funkcijomis susijusią IRT riziką ir jų priklausomybę nuo informacinio turto ar IRT turto;

b) 

poveikį, kurį informacinio turto ar IRT turto duomenų konfidencialumo, vientisumo ir prieinamumo praradimas padarytų finansų sektoriaus subjektų veiklos procesams ir veiklai.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.