+Asset Classification and Documentation

Asset Classification and Documentation

Identify, classify and document all ICT-supported business functions, including the assets supporting them, and detail the roles and dependencies of these assets in relation to ICT risk. Additionally, identify and document all ICT-supported business functions dependent on ICT third-party service providers, and identify the services provided by third-party providers that support critical or important business functions. Make a mapping of critical (ICT) assets based on a criticality assessment, which must include network resources, hardware equipment, and resources on remote sites. This mapping should also incorporate the configuration of assets and their links and interdependencies with other assets. The criticality assessment should follow clear criteria to evaluate the ICT risk related to business functions, taking into account the potential impact of confidentiality, integrity, and availability losses. Review the adequacy of this classification and documentation at least on a yearly basis, ensuring it meets the requirements for maintaining accurate and up-to-date asset records.

 

1. Apžvalga

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję teisės aktai

2. Nustatyti reikalavimai

Reikalavimai

3. Susiję teisės aktai

Teisės aktai
EULAW 7 straipsnis IRT sistemos, protokolai ir priemonės

Siekdami mažinti ir valdyti IRT riziką, finansų sektoriaus subjektai naudoja ir nuolat atnaujina IRT sistemas, protokolus ir priemones, kurie:
EULAW 8 straipsnis 1

1.   Pagal 6 straipsnio 1 dalyje nurodytą IRT rizikos valdymo sistemą finansų sektoriaus subjektai nustato, klasifikuoja ir tinkamai pagrindžia dokumentais visas IRT palaikomas veiklos funkcijas, vaidmenis ir pareigas, informacinį turtą ir IRT turtą, kuriais palaikomos šios funkcijos, taip pat jų vaidmenis ir priklausomybę, kiek tai susiję su IRT rizika. Prireikus ir bent kartą per metus finansų sektoriaus subjektai peržiūri šio klasifikavimo ir atitinkamų dokumentų tinkamumą.
EULAW 8 straipsnis 5

5.   Finansų sektoriaus subjektai nustato ir dokumentais pagrindžia visus procesus, kurie priklauso nuo IRT paslaugas teikiančių trečiųjų šalių, ir nustato tarpusavio sąsajas su IRT paslaugas teikiančiomis trečiosiomis šalimis, kurios teikia paslaugas, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos.
EULAW 8 straipsnis 6

6.   1, 4 ir 5 dalių tikslais finansų sektoriaus subjektai tvarko atitinkamus aprašus ir juos atnaujina reguliariai ir kiekvieną kartą, kai padaromas esminis pakeitimas, kaip nurodyta 3 dalyje.
EULAW 4 straipsnis 1.
Finansų sektoriaus subjektai parengia, dokumentuoja ir įgyvendina IRT turto valdymo politiką ir įtraukia ją į savo IRT saugumo politiką, procedūras, protokolus ir priemones, nurodytus Reglamento (ES) 2022/2554 9 straipsnio 2 dalyje.
EULAW 4 straipsnis 2.

1 dalyje nurodyta ICT turto valdymo politika:

a) 

nurodoma vykdyti pagal Reglamento (ES) 2022/2554 8 straipsnio 1 dalį identifikuoto ir suklasifikuoto IRT turto stebėseną ir valdymą per gyvavimo ciklą;

b) 

finansų sektoriaus subjektas įpareigojamas registruoti visą šią informaciją:

i) 

kiekvieno IRT turto objekto unikalų identifikatorių;

ii) 

informaciją apie fizinę arba loginę kiekvieno IRT turto objekto vietą;

iii) 

viso IRT turto klasifikaciją, kaip nurodyta Reglamento (ES) 2022/2554 8 straipsnio 1 dalyje;

iv) 

IRT turto savininkų tapatybes;

v) 

IRT turto palaikomas veiklos funkcijas ar paslaugas;

vi) 

IRT veiklos tęstinumo reikalavimus, įskaitant veiklos atkūrimo laiko ir veiklos atkūrimo taško tikslus;

vii) 

tai, ar IRT turtas gali būti arba yra pasiekiamas per išorės tinklus, įskaitant internetą;

viii) 

IRT turto ir veiklos funkcijų, kurioms naudojamas tas IRT turtas, sąsajas ir tarpusavio priklausomybę;

ix) 

atitinkamais atvejais šią informaciją apie kiekvieną IRT turto objektą – IRT paslaugas teikiančios trečiosios šalies vykdomo įprastų, išplėstinių ir pritaikytųjų palaikymo paslaugų teikimo pabaigos datas, po kurių jo tiekėjas ar IRT paslaugas teikianti trečioji šalis to IRT turto nebepalaikys;

c) 

finansų sektoriaus subjektai, išskyrus labai mažas įmones, įpareigojami registruoti informaciją, reikalingą Reglamento (ES) 2022/2554 8 straipsnio 7 dalyje nurodytam specialiam visų senųjų IRT sistemų IRT rizikos vertinimui atlikti.
EULAW 5 straipsnis 1.
Finansų sektoriaus subjektai parengia, dokumentuoja ir įgyvendina IRT turto valdymo procedūrą.
EULAW 5 straipsnis 2.

1 dalyje nurodytoje IRT turto valdymo procedūroje nustatomi informacinio turto ir IRT turto, kuriuo palaikomos veiklos funkcijos, ypatingos svarbos vertinimo kriterijai. Atliekant tą vertinimą atsižvelgiama į:

a) 

su tomis veiklos funkcijomis susijusią IRT riziką ir jų priklausomybę nuo informacinio turto ar IRT turto;

b) 

poveikį, kurį informacinio turto ar IRT turto duomenų konfidencialumo, vientisumo ir prieinamumo praradimas padarytų finansų sektoriaus subjektų veiklos procesams ir veiklai.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.