+Vulnerability Management
|
Vulnerability Management
Conduct automated vulnerability scanning and assessments on ICT assets. For assets supporting critical or important functions, perform scans and assessments on a weekly basis. Record detected vulnerabilities, monitor their resolution status, and verify the remediation of vulnerabilities. Disclose vulnerabilities responsibly to clients/customers, financial counterparts, and the public when appropriate. Ensure thirdparty service providers report vulnerabilities related to the services they offer. This includes investigating vulnerabilities, determining root causes, and implementing appropriate solutions by the service providers.
*Specific to central securities depositories and central counterparties: perform vulnerability assessments before any deployment or redeployment of new or existing applications and infrastructure components, and ICT services supporting critical or important functions.
1. Ħarsa ġenerali
1.1 Referenzi
1.2 Rekwiżiti identifikati
1.3 Regolamenti relatati
2. Rekwiżiti identifikati
3. Regolamenti relatati
Regolamenti
| Sors |
Regolamentazzjoni |
|
EULAW
|
Artikolu 25 2
2. Id-depożitorji ċentrali tat-titoli u l-kontropartijiet ċentrali għandhom iwettqu valutazzjonijiet tal-vulnerabbiltà qabel kwalunkwe użu jew użu mill-ġdid ta’ applikazzjonijiet u komponenti tal-infrastruttura, u servizzi tal-ICT ġodda jew eżistenti li jappoġġjaw il-funzjonijiet kritiċi jew importanti tal-entità finanzjarja.
|
|
EULAW
|
Artikolu 10 1.
Bħala parti mill-politiki, mill-proċeduri, mill-protokolli u mill-għodod tas-sigurtà tal-ICT imsemmija fl-Artikolu 9(2) tar-Regolament (UE) 2022/2554, l-entitajiet finanzjarji għandhom jiżviluppaw, jiddokumentaw u jimplimentaw proċeduri ta’ ġestjoni tal-vulnerabbiltà.
|
|
EULAW
|
Artikolu 10 2.
Il-proċeduri ta’ ġestjoni tal-vulnerabbiltà msemmija fil-paragrafu 1 għandhom:
(a)
jidentifikaw u jaġġornaw riżorsi ta’ informazzjoni rilevanti u affidabbli biex jibnu u jsostnu s-sensibilizzazzjoni dwar il-vulnerabbiltajiet;
(b)
jiżguraw it-twettiq ta’ skennjar u valutazzjonijiet awtomatizzati għall-vulnerabbiltajiet fuq l-assi tal-ICT, li permezz tagħhom il-frekwenza u l-ambitu ta’ dawk l-attivitajiet għandhom ikunu proporzjonati għall-klassifikazzjoni stabbilita f’konformità mal-Artikolu 8(1) tar-Regolament (UE) 2022/2554 u l-profil tar-riskju ġenerali tal-assi tal-ICT;
(c)
jivverifikaw jekk:
(i)
Il-fornituri terzi ta’ servizzi tal-ICT jittrattawx il-vulnerabbiltajiet relatati mas-servizzi tal-ICT pprovduti lill-entità finanzjarja;
(ii)
jekk dawk il-fornituri ta’ servizzi jirrapportawx lill-entità finanzjarja mill-inqas il-vulnerabbiltajiet kritiċi u l-istatistika u x-xejriet f’waqtu;
(d)
jittraċċaw l-użu ta’:
(i)
libreriji ta’ partijiet terzi, inklużi libreriji b’sors miftuħ, użati minn servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti;
(ii)
servizzi tal-ICT żviluppati mill-entità finanzjarja nnifisha jew speċifikament personalizzati jew żviluppati għall-entità finanzjarja minn fornitur terz ta’ servizzi tal-ICT;
(e)
jistabbilixxu proċeduri għad-divulgazzjoni responsabbli tal-vulnerabbiltajiet lill-klijenti, lill-kontropartijiet u lill-pubbliku;
(f)
jagħtu prijorità lill-varar tal-patches u ta’ miżuri oħrajn ta’ mitigazzjoni biex jiġu indirizzati l-vulnerabbiltajiet identifikati;
(g)
jimmonitorjaw u jivverifikaw ir-rimedju tal-vulnerabbiltajiet;
(h)
jirrikjedu r-reġistrazzjoni ta’ kwalunkwe vulnerabbiltà individwata li taffettwa s-sistemi tal-ICT u l-monitoraġġ tar-riżoluzzjoni tagħhom.
Għall-finijiet tal-punt (b), l-entitajiet finanzjarji għandhom iwettqu mill-inqas darba fil-ġimgħa skennjar u valutazzjonijiet awtomatizzati għall-vulnerabbiltajiet fuq l-assi tal-ICT għall-assi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti. Għall-finijiet tal-punt (c), l-entitajiet finanzjarji għandhom jitolbu li l-fornituri terzi ta’ servizzi tal-ICT jinvestigaw il-vulnerabbiltajiet rilevanti, jiddeterminaw il-kawżi ewlenin u jimplimentaw azzjoni ta’ mitigazzjoni xierqa. Għall-finijiet tal-punt (d), l-entitajiet finanzjarji għandhom, meta jkun xieraq f’kollaborazzjoni mal-fornitur terz ta’ servizzi tal-ICT, jimmonitorjaw il-verżjoni u l-aġġornamenti possibbli tal-libreriji ta’ partijiet terzi. Fil-każ ta’ assi tal-ICT lesti għall-użu (kummerċjalment disponibbli) jew komponenti tal-assi tal-ICT miksuba u użati fl-operat ta’ servizzi tal-ICT li ma jappoġġawx funzjonijiet kritiċi jew importanti, l-entitajiet finanzjarji għandhom jintraċċaw l-użu sa fejn ikun possibbli ta’ libreriji ta’ partijiet terzi, inklużi libreriji b’sors miftuħ. Għall-finijiet tal-punt (f), l-entitajiet finanzjarji għandhom iqisu l-kritikalità tal-vulnerabbiltà, il-klassifikazzjoni stabbilita f’konformità mal-Artikolu 8(1) tar-Regolament (UE) 2022/2554, u l-profil tar-riskju tal-assi tal-ICT affettwati mill-vulnerabbiltajiet identifikati.
|
|
EULAW
|
Artikolu 10 3.
Bħala parti mill-politiki, mill-proċeduri, mill-protokolli u mill-għodod tas-sigurtà tal-ICT imsemmija fl-Artikolu 9(2) tar-Regolament (UE) 2022/2554, l-entitajiet finanzjarji għandhom jiżviluppaw, jiddokumentaw u jimplimentaw proċeduri tal-ġestjoni tal-patches.
|
|
EULAW
|
Artikolu 10 4.
Il-proċeduri tal-ġestjoni tal-patches imsemmija fil-paragrafu 3 għandhom:
(a)
sa fejn ikun possibbli, jidentifikaw u jevalwaw is-software u l-hardware patches disponibbli u l-aġġornamenti bl-użu ta’ għodod awtomatizzati;
(b)
jidentifikaw proċeduri ta’ emerġenza għall-patching u għall-aġġornament tal-assi tal-ICT;
(c)
jittestjaw u jvaraw is-software u l-hardware patches u l-aġġornamenti msemmija fl-Artikolu 8(2), il-punti (b)(v), (vi) u (vii);
(d)
jistabbilixxu skadenzi għall-installazzjoni ta’ software u hardware patches u proċeduri ta’ eskalazzjoni f’każ li dawk l-iskadenzi ma jkunux jistgħu jiġu ssodisfati.
|
- NOREA -
EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.
DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.
|