+System Management and Security

System Management and Security

Provide system descriptions that encompass secure installation, maintenance, configuration, and deinstallation/disposal of ICT assets. This includes the management of assets, both automated and manual, and the identification and control of legacy ICT systems.

1. Apžvalga

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję teisės aktai

2. Nustatyti reikalavimai

Reikalavimai

3. Susiję teisės aktai

Teisės aktai
EULAW 8 straipsnis 1.
Finansų sektoriaus subjektai parengia, dokumentuoja ir įgyvendina IRT operacijų valdymo procedūras ir įtraukia jas į savo IRT saugumo politiką, procedūras, protokolus ir priemones, nurodytus Reglamento (ES) 2022/2554 9 straipsnio 2 dalyje. Ta politika ir procedūromis nustatoma, kaip finansų sektoriaus subjektai valdo, stebi, kontroliuoja ir atkuria savo IRT turtą ir, be kita ko, dokumentuoja IRT operacijas.
EULAW 8 straipsnis 2.

1 dalyje nurodyta IRT operacijų politika ir procedūros apima visus šiuos elementus:

a) 

IRT turto aprašymą, apimantį visus šiuos elementus:

i) 

saugaus IRT sistemos diegimo, priežiūros, konfigūravimo ir išinstaliavimo reikalavimus;

ii) 

informacinio turto, kurį naudoja IRT turtas, valdymo reikalavimus, įskaitant to informacinio turto automatinio ir rankinio apdorojimo ir tvarkymo reikalavimus;

iii) 

senųjų IRT sistemų nustatymo ir kontrolės reikalavimus;

(b) 

IRT sistemų kontrolės ir stebėsenos reikalavimus, apimančius visus šiuos elementus:

i) 

IRT sistemų atsarginių kopijų kūrimo ir atkūrimo reikalavimus;

ii) 

chronologijos reikalavimus atsižvelgiant į IRT sistemų tarpusavio priklausomybę;

iii) 

audito sekos ir sistemos registracijos žurnalų informacijos protokolus;

iv) 

reikalavimus, kuriais užtikrinama, kad atliekant vidaus auditą ir kitokį testavimą būtų kuo labiau sumažinama veiklos operacijų sutrikimų tikimybė;

v) 

reikalavimus, pagal kuriuos IRT produkcinė aplinka atskiriama nuo kūrimo, testavimo ar kitokios neprodukcinės aplinkos;

vi) 

reikalavimus kūrimo ir testavimo užduotis vykdyti nuo produkcinės aplinkos atskirtose aplinkose;

vii) 

reikalavimus kūrimo ir testavimo užduotis vykdyti produkcinėse aplinkose;

c) 

IRT sistemų klaidų valdymą, apimantį visus šiuos elementus:

i) 

klaidų valdymo procedūras ir protokolus;

ii) 

aptarnavimo ir incidentų sprendimo kontaktinius duomenis, įskaitant išorės aptarnavimo kontaktinius duomenis tam atvejui, jei kiltų nenumatytų operacinių ar techninių problemų;

iii) 

IRT sistemos paleidimo iš naujo, ankstesnės būklės atkūrimo ir veiklos atkūrimo procedūras, taikytinas IRT sistemos sutrikimo atveju.

Taikant b punkto v papunktį, atskyrimas apima visus aplinkos komponentus, įskaitant paskyras, duomenis ir jungtis, kaip reikalaujama pagal 13 straipsnio pirmos pastraipos a punktą.

Taikant b punkto vii papunktį, 1 dalyje nurodytoje politikoje ir procedūrose turėtų būti nustatyta, kad atvejai, kai testavimas atliekamas produkcinėje aplinkoje, turi būti aiškiai nustatyti, pagrįsti ir ribotos trukmės, taip pat juos turi patvirtinti atitinkamas funkcijas pagal 16 straipsnio 6 dalį einantis darbuotojas. Kūrimo ir testavimo veiklos produkcinėje aplinkoje metu finansų sektoriaus subjektai užtikrina IRT sistemų ir produkcinės aplinkos duomenų prieinamumą, konfidencialumą, vientisumą ir autentiškumą.
EULAW 9 straipsnis 1.

Finansų sektoriaus subjektai parengia, dokumentuoja, įgyvendina ir į savo IRT saugumo politiką, procedūras, protokolus ir priemones, nurodytus Reglamento (ES) 2022/2554 9 straipsnio 2 dalyje, įtraukia pajėgumo ir veiklos rezultatų valdymo procedūras, taikytinas:

a) 

nustatant jų IRT sistemų pajėgumo reikalavimus;

b) 

vykdant išteklių optimizavimą;

c) 

stebėsenos procedūroms, kuriomis siekiama palaikyti ir gerinti:

i) 

duomenų ir IRT sistemų prieinamumą;

ii) 

IRT sistemų veiksmingumą;

iii) 

IRT pajėgumo trūkumo prevenciją.
EULAW 9 straipsnis 2.
1 dalyje nurodytomis pajėgumo ir veiklos rezultatų valdymo procedūromis užtikrinama, kad finansų sektoriaus subjektai imtųsi tinkamų priemonių, kad atsižvelgtų į IRT sistemų, kurioms taikomi ilgai trunkantys ar sudėtingi viešųjų pirkimų ar patvirtinimo procesai arba kurios naudoja daug išteklių, ypatumus.
EULAW 12 straipsnis 2.

1 dalyje nurodytos registravimo procedūros, protokolai ir priemonės apima visus šiuos elementus:

a) 

registruotinų įvykių nustatymą, registracijos žurnalų saugojimo laikotarpį ir priemones registracijos žurnalų duomenims apsaugoti ir tvarkyti, atsižvelgiant į paskirtį, dėl kurios registracijos žurnalai buvo sukurti;

b) 

registracijos žurnalų detalumo lygio suderinimą su jų paskirtimi ir naudojimu, kad būtų lengviau veiksmingai aptikti neįprastą veiklą, kaip nurodyta 24 straipsnyje;

c) 

reikalavimą registruoti įvykius, susijusius su:

i) 

loginės ir fizinės prieigos kontrole, nurodyta 21 straipsnyje, ir tapatybės duomenų tvarkymu;

ii) 

pajėgumų valdymu;

iii) 

pakeitimų valdymu;

iv) 

IRT operacijomis, įskaitant IRT sistemos veiklą;

v) 

tinklo duomenų srauto veiklą, įskaitant IRT tinklo veikimą;

d) 

priemones registravimo sistemoms ir registracijos žurnalų informacijai apsaugoti nuo neteisėto keitimo, pašalinimo ir neteisėtos prieigos saugojimo, perdavimo ir prireikus naudojimo metu;

e) 

priemones registravimo sistemų gedimui aptikti;

f) 

(nedarant poveikio jokiems taikytiniems reguliavimo reikalavimams pagal Sąjungos ar nacionalinę teisę) visų finansų sektoriaus subjekto IRT sistemų laikrodžių sinchronizavimą pagal dokumentuotą patikimą atskaitinio laiko šaltinį.

Taikydami a punktą, finansų sektoriaus subjektai nustato saugojimo laikotarpį atsižvelgdami į veiklos ir informacijos saugumo tikslus, įvykio registravimo registracijos žurnaluose priežastį ir IRT rizikos vertinimo rezultatus.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.