+Emergency Change Management

Emergency Change Management

Define procedures for documenting, reevaluating, assessing, and approving the implementation of emergency changes, including workarounds and patches.

1. Apžvalga

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję teisės aktai

2. Nustatyti reikalavimai

Reikalavimai

3. Susiję teisės aktai

Teisės aktai
EULAW 8 straipsnis 1.
Finansų sektoriaus subjektai parengia, dokumentuoja ir įgyvendina IRT operacijų valdymo procedūras ir įtraukia jas į savo IRT saugumo politiką, procedūras, protokolus ir priemones, nurodytus Reglamento (ES) 2022/2554 9 straipsnio 2 dalyje. Ta politika ir procedūromis nustatoma, kaip finansų sektoriaus subjektai valdo, stebi, kontroliuoja ir atkuria savo IRT turtą ir, be kita ko, dokumentuoja IRT operacijas.
EULAW 8 straipsnis 2.

1 dalyje nurodyta IRT operacijų politika ir procedūros apima visus šiuos elementus:

a) 

IRT turto aprašymą, apimantį visus šiuos elementus:

i) 

saugaus IRT sistemos diegimo, priežiūros, konfigūravimo ir išinstaliavimo reikalavimus;

ii) 

informacinio turto, kurį naudoja IRT turtas, valdymo reikalavimus, įskaitant to informacinio turto automatinio ir rankinio apdorojimo ir tvarkymo reikalavimus;

iii) 

senųjų IRT sistemų nustatymo ir kontrolės reikalavimus;

(b) 

IRT sistemų kontrolės ir stebėsenos reikalavimus, apimančius visus šiuos elementus:

i) 

IRT sistemų atsarginių kopijų kūrimo ir atkūrimo reikalavimus;

ii) 

chronologijos reikalavimus atsižvelgiant į IRT sistemų tarpusavio priklausomybę;

iii) 

audito sekos ir sistemos registracijos žurnalų informacijos protokolus;

iv) 

reikalavimus, kuriais užtikrinama, kad atliekant vidaus auditą ir kitokį testavimą būtų kuo labiau sumažinama veiklos operacijų sutrikimų tikimybė;

v) 

reikalavimus, pagal kuriuos IRT produkcinė aplinka atskiriama nuo kūrimo, testavimo ar kitokios neprodukcinės aplinkos;

vi) 

reikalavimus kūrimo ir testavimo užduotis vykdyti nuo produkcinės aplinkos atskirtose aplinkose;

vii) 

reikalavimus kūrimo ir testavimo užduotis vykdyti produkcinėse aplinkose;

c) 

IRT sistemų klaidų valdymą, apimantį visus šiuos elementus:

i) 

klaidų valdymo procedūras ir protokolus;

ii) 

aptarnavimo ir incidentų sprendimo kontaktinius duomenis, įskaitant išorės aptarnavimo kontaktinius duomenis tam atvejui, jei kiltų nenumatytų operacinių ar techninių problemų;

iii) 

IRT sistemos paleidimo iš naujo, ankstesnės būklės atkūrimo ir veiklos atkūrimo procedūras, taikytinas IRT sistemos sutrikimo atveju.

Taikant b punkto v papunktį, atskyrimas apima visus aplinkos komponentus, įskaitant paskyras, duomenis ir jungtis, kaip reikalaujama pagal 13 straipsnio pirmos pastraipos a punktą.

Taikant b punkto vii papunktį, 1 dalyje nurodytoje politikoje ir procedūrose turėtų būti nustatyta, kad atvejai, kai testavimas atliekamas produkcinėje aplinkoje, turi būti aiškiai nustatyti, pagrįsti ir ribotos trukmės, taip pat juos turi patvirtinti atitinkamas funkcijas pagal 16 straipsnio 6 dalį einantis darbuotojas. Kūrimo ir testavimo veiklos produkcinėje aplinkoje metu finansų sektoriaus subjektai užtikrina IRT sistemų ir produkcinės aplinkos duomenų prieinamumą, konfidencialumą, vientisumą ir autentiškumą.
EULAW 17 straipsnis 1.

Finansų sektoriaus subjektai į apsaugos priemones, kuriomis siekiama išsaugoti duomenų prieinamumą, autentiškumą, vientisumą ir konfidencialumą, įtraukia IRT pakeitimų valdymo procedūras, nurodytas Reglamento (ES) 2022/2554 9 straipsnio 4 dalies e punkte, taikomas visiems programinės įrangos, aparatinės įrangos, aparatinės programinės įrangos komponentų, sistemos ar saugumo parametrų pakeitimams ir apimančias visus šiuos elementus:

a) 

patikrinimą, ar įvykdyti IRT saugumo reikalavimai;

b) 

mechanizmus, kuriais užtikrinamas pakeitimų tvirtinimo funkcijų ir pakeitimų užsakymo bei jų įgyvendinimo funkcijų nepriklausomumas;

c) 

aiškiai aprašytus vaidmenis ir pareigas, kuriais užtikrinama, kad:

i) 

pakeitimai būtų įvardyti ir suplanuoti;

ii) 

būtų suplanuotas tinkamas pereinamasis laikotarpis;

iii) 

pakeitimai būtų testuojami ir finalizuojami kontroliuojamu būdu;

iv) 

būtų vykdomas veiksmingas kokybės užtikrinimas;

d) 

informacijos apie pakeitimus dokumentavimą ir perdavimą, be kita ko, nurodant:

i) 

pakeitimo paskirtį ir apimtį;

ii) 

pakeitimo įgyvendinimo tvarkaraštį;

iii) 

numatomus rezultatus;

e) 

atsarginių procedūrų ir pareigų nustatymą, be kita ko, nustatant procedūras ir pareigas, susijusias su pakeitimų diegimo nutraukimu ar atkūrimu tuo atveju, kai pakeitimų įgyvendinti nepavyksta;

f) 

procedūras, protokolus ir priemones, pagal kurias valdant neatidėliotinus pakeitimus nustatomos tinkamos apsaugos priemonės;

g) 

procedūras, pagal kurias dokumentuojami, pakartotinai įvertinami, vertinami ir patvirtinami neatidėliotini pakeitimai po jų įgyvendinimo, įskaitant aplinkinius sprendimus ir pataisas;

h) 

pakeitimo galimo poveikio taikomoms IRT apsaugos priemonėms nustatymą ir įvertinimą, ar dėl tokio pakeitimo reikia priimti papildomų IRT apsaugos priemonių.
EULAW 17 straipsnis 2.
Atlikę reikšmingus savo IRT sistemų pakeitimus, pagrindinės sandorio šalys ir centriniai vertybinių popierių depozitoriumai savo IRT sistemas visapusiškai testuoja imituodami nepalankiausias sąlygas.

Pagrindinės sandorių šalys į pirmoje pastraipoje nurodyto testavimo planavimą ir atlikimą, kai tinkama, įtraukia:

a) 

tarpuskaitos narius ir klientus;

b) 

sąveikias pagrindines sandorių šalis;

c) 

kitas suinteresuotąsias šalis.

Centriniai vertybinių popierių depozitoriumai į pirmoje pastraipoje nurodyto testavimo planavimą ir atlikimą, kai tinkama, įtraukia:

a) 

naudotojus;

b) 

ypatingos svarbos komunalinių paslaugų ir ypatingos svarbos paslaugų teikėjus;

c) 

kitus centrinius vertybinių popierių depozitoriumus;

d) 

kitas rinkos infrastruktūras;

e) 

visas kitas įstaigas, su kuriomis centrinių vertybinių popierių depozitoriumus, kaip nustatyta jų IRT veiklos tęstinumo politikoje, sieja tarpusavio priklausomybės ryšiai.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.