+Security Requirements

Security Requirements

Identify the potential impact of a change on existing security measures and assess whether additional security measures are required for its implementation. Verify that security requirements have been met for all implemented changes. Establish fallback procedures and assign responsibilities for aborting changes or recovering from changes not successfully implemented.

1. Przegląd

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane regulacje

2. Zidentyfikowane wymagania

Wymagania

3. Powiązane regulacje

Regulacje
EULAW Artykuł 8 1.
W ramach polityk, procedur, protokołów i narzędzi w zakresie bezpieczeństwa ICT, o których mowa w art. 9 ust. 2 rozporządzenia (UE) 2022/2554, podmioty finansowe opracowują, dokumentują i wdrażają polityki i procedury zarządzania operacjami ICT. Wspomniane polityki i procedury określają sposób, w jaki podmioty finansowe obsługują, monitorują, kontrolują i przywracają swoje zasoby ICT, w tym dokumentację operacji ICT.
EULAW Artykuł 8 2.

Polityki i procedury dotyczące operacji ICT, o których mowa w ust. 1, zawierają wszystkie następujące elementy:

a) 

opis zasobów ICT, zawierający wszystkie poniższe informacje:

(i) 

wymogi dotyczące bezpiecznej instalacji, konserwacji, konfiguracji i demontażu systemu ICT;

(ii) 

wymogi dotyczące zarządzania zasobami informacyjnymi wykorzystywanymi przez zasoby ICT, w tym ich przetwarzania i obsługi, zarówno w sposób zautomatyzowany, jak i ręczny;

(iii) 

wymogi dotyczące identyfikacji i kontroli dotychczasowych systemów ICT;

b) 

kontrole i monitorowanie systemów ICT, uwzględniające wszystkie poniższe elementy:

(i) 

wymogi dotyczące tworzenia kopii zapasowych i przywracania systemów ICT;

(ii) 

wymogi dotyczące ustalania harmonogramu, z uwzględnieniem współzależności między systemami ICT;

(iii) 

protokoły dotyczące ścieżki audytu i informacje zawarte w dzienniku sieciowym;

(iv) 

wymogi mające na celu zapewnienie, aby przeprowadzanie audytu wewnętrznego i innych testów minimalizowało zakłócenia w działalności gospodarczej;

(v) 

wymogi dotyczące oddzielenia środowisk produkcyjnych ICT od środowisk rozwojowych, testowych i innych środowisk nieprodukcyjnych;

(vi) 

wymogi prowadzenia działań z zakresu rozwoju i testowania w środowiskach, które są oddzielone od środowiska produkcyjnego;

(vii) 

wymogi prowadzenia działań z zakresu rozwoju i testowania w środowiskach produkcyjnych;

c) 

obsługę błędów dotyczących systemów ICT, z uwzględnieniem wszystkich poniższych elementów:

(i) 

procedury i protokoły obsługi błędów;

(ii) 

kontakty do celów wsparcia i na wypadek eskalacji, w tym kontakty wsparcia zewnętrznego w przypadku nieoczekiwanych problemów operacyjnych lub technicznych;

(iii) 

procedury ponownego uruchomienia, powrotu do poprzedniej konfiguracji i przywracania sprawności systemu ICT do stosowania w przypadku zakłócenia funkcjonowania systemu ICT.

Do celów lit. b) pkt (v) oddzielenie uwzględnia wszystkie elementy środowiska, w tym konta, dane lub połączenia, zgodnie z wymogami art. 13 akapit pierwszy lit. a).

Do celów lit. b) pkt (vii) w politykach i procedurach, o których mowa w ust. 1, przewiduje się, że przypadki, w których testy są przeprowadzane w środowisku produkcyjnym, są jasno określone, uzasadnione, trwają przez ograniczony czas i zostają zatwierdzone przez odpowiednią funkcję zgodnie z art. 16 ust. 6. Podmioty finansowe zapewniają dostępność, poufność, integralność i autentyczność systemów ICT i danych dotyczących produkcji podczas działań rozwojowych i testowych w środowisku produkcyjnym.
EULAW Artykuł 17 1.

Przy wprowadzaniu zabezpieczeń służących zapewnieniu dostępności, autentyczności, integralności i poufności danych podmioty finansowe uwzględniają w procedurach zarządzania zmianą w systemach ICT, o których mowa w art. 9 ust. 4 lit. e) rozporządzenia (UE) 2022/2554, w odniesieniu do wszystkich zmian w oprogramowaniu, sprzęcie komputerowym, komponentach oprogramowania sprzętowego, parametrach systemowych lub parametrach bezpieczeństwa, wszystkie następujące elementy:

a) 

weryfikację, czy spełniono wymogi bezpieczeństwa ICT;

b) 

mechanizmy zapewniające niezależność funkcji zatwierdzających zmiany oraz funkcji odpowiedzialnych za żądanie wprowadzenia tych zmian i ich wdrażanie;

c) 

jasny opis ról i obowiązków w celu zapewnienia, aby:

(i) 

określono i zaplanowano zmiany;

(ii) 

przewidziano odpowiedni okres przejściowy;

(iii) 

zmiany były poddawane testom i finalizowane w sposób kontrolowany;

(iv) 

prowadzono skuteczne zapewnianie jakości;

d) 

dokumentację i przekazywanie szczegółowych informacji na temat zmiany, w tym:

(i) 

celu i zakresu zmiany;

(ii) 

ram czasowych wdrażania zmiany;

(iii) 

oczekiwanych wyników;

e) 

identyfikacja procedur awaryjnych i związanych z nimi obowiązków, w tym procedur i obowiązków związanych z przerywaniem zmian lub przywracaniem stanu sprzed zmian, które nie zostały pomyślnie wdrożone;

f) 

procedury, protokoły i narzędzia do zarządzania zmianami awaryjnymi, zapewniające odpowiednie zabezpieczenia;

g) 

procedury dokumentowania, ponownej oceny, oceny i zatwierdzania zmian awaryjnych po ich wdrożeniu, z uwzględnieniem obejść i poprawek;

h) 

określenie potencjalnego wpływu zmiany na istniejące środki bezpieczeństwa ICT wraz z oceną, czy taka zmiana wymaga przyjęcia dodatkowych środków bezpieczeństwa ICT.
EULAW Artykuł 17 2.
Po wprowadzeniu znaczących zmian w swoich systemach ICT kontrahenci centralni i centralne depozyty papierów wartościowych poddają te systemy rygorystycznym testom, symulując warunki skrajne.

W stosownych przypadkach kontrahenci centralni angażują następujące podmioty w proces opracowywania i przeprowadzania testów, o których mowa w akapicie pierwszym:

a) 

członków rozliczających i klientów;

b) 

interoperacyjnych kontrahentów centralnych;

c) 

inne zainteresowane strony.

W stosownych przypadkach centralne depozyty papierów wartościowych angażują następujące podmioty w proces opracowywania i przeprowadzania testów, o którym mowa w akapicie pierwszym:

a) 

użytkowników;

b) 

dostawców najważniejszych mediów i usług;

c) 

inne centralne depozyty papierów wartościowych;

d) 

inne infrastruktury rynkowe;

e) 

wszelkie inne instytucje, które centralne depozyty papierów wartościowych wskazały jako powiązane z nimi współzależnościami w swoich strategiach na rzecz ciągłości działania w zakresie ICT.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.