+Resource Management

Resource Management

Identify and maintain relevant and trustworthy information resources to build and sustain awareness about vulnerabilities. Track the usage of thirdparty libraries, including open source, by monitoring versions and potential updates (see also 28.2-3).

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Regulamentos relacionados

2. Requisitos identificados

Requisitos

3. Regulamentos relacionados

Regulamentos
EULAW Article 25 2

2.   Central securities depositories and central counterparties shall perform vulnerability assessments before any deployment or redeployment of new or existing applications and infrastructure components, and ICT services supporting critical or important functions of the financial entity.
EULAW Artigo 10.o 1.
No âmbito das políticas, procedimentos, protocolos e ferramentas de segurança no domínio das TIC referidas no artigo 9.o, n.o 2, do Regulamento (UE) 2022/2554, as entidades financeiras devem elaborar, documentar e aplicar procedimentos de gestão das vulnerabilidades.
EULAW Artigo 10.o 2.

Os procedimentos de gestão das vulnerabilidades referidos no n.o 1 devem:

a) 

Identificar e atualizar recursos de informação pertinentes e fiáveis para desenvolver e manter a sensibilização para as vulnerabilidades;

b) 

Assegurar a realização de análises automatizadas da vulnerabilidade e de avaliações dos ativos de TIC, devendo a frequência e o âmbito dessas atividades ser proporcionais à classificação estabelecida em conformidade com o artigo 8.o, n.o 1, do Regulamento (UE) 2022/2554 e ao perfil de risco global do ativo de TIC;

c) 

Verificar se:

i) 

os terceiros prestadores de serviços de TIC tratam as vulnerabilidades relacionadas com os serviços de TIC prestados à entidade financeira,

ii) 

esses prestadores de serviços comunicam atempadamente à entidade financeira, pelo menos, as vulnerabilidades críticas, bem como estatísticas e tendências;

d) 

Acompanhar a utilização de:

i) 

bibliotecas de terceiros, incluindo bibliotecas de fonte aberta, utilizadas por serviços de TIC que apoiem funções críticas ou importantes,

ii) 

serviços de TIC desenvolvidos pela própria entidade financeira ou especificamente personalizados ou desenvolvidos para a entidade financeira por um terceiro prestador de serviços de TIC;

e) 

Estabelecer procedimentos para a divulgação responsável das vulnerabilidades aos clientes, às contrapartes e ao público;

f) 

Dar prioridade à implantação de correções e de outras medidas de mitigação para dar resposta às vulnerabilidades identificadas;

g) 

Monitorizar e verificar a correção das vulnerabilidades;

h) 

Exigir o registo de quaisquer vulnerabilidades detetadas que afetem os sistemas de TIC e a monitorização da sua resolução.

Para efeitos da alínea b), as entidades financeiras devem realizar, pelo menos semanalmente, uma análise automatizada da vulnerabilidade e avaliações dos ativos de TIC para os ativos de TIC que apoiam funções críticas ou importantes.

Para efeitos da alínea c), as entidades financeiras devem solicitar que os terceiros prestadores de serviços de TIC investiguem as vulnerabilidades relevantes, determinem as causas profundas e apliquem medidas de mitigação adequadas.

Para efeitos da alínea d), as entidades financeiras devem, se for caso disso em colaboração com o terceiro prestador de serviços de TIC, monitorizar a versão e eventuais atualizações das bibliotecas de terceiros. No caso dos ativos de TIC prontos a utilizar (off-the-shelf) ou de componentes de ativos de TIC adquiridos e utilizados no funcionamento de serviços de TIC que não apoiem funções críticas ou importantes, as entidades financeiras devem acompanhar a utilização, na medida do possível, das bibliotecas de terceiros, incluindo bibliotecas de fonte aberta.

Para efeitos da alínea f), as entidades financeiras devem ter em conta o caráter crítico da vulnerabilidade, a classificação estabelecida em conformidade com o artigo 8.o, n.o 1, do Regulamento (UE) 2022/2554 e o perfil de risco dos ativos de TIC afetados pelas vulnerabilidades identificadas.
EULAW Artigo 10.o 3.
No âmbito das políticas, procedimentos, protocolos e ferramentas de segurança no domínio das TIC a que se refere o artigo 9.o, n.o 2, do Regulamento (UE) 2022/2554, as entidades financeiras devem elaborar, documentar e aplicar procedimentos de gestão das correções.
EULAW Artigo 10.o 4.

Os procedimentos de gestão das correções referidos no n.o 3 devem:

a) 

Identificar e avaliar, na medida do possível, as correções e atualizações dos programas informáticos e equipamentos informáticos disponíveis utilizando ferramentas automatizadas;

b) 

Identificar procedimentos de emergência para a correção e atualização dos ativos de TIC;

c) 

Testar e implantar as correções dos programas informáticos e dos equipamentos informáticos e as atualizações referidas no artigo 8.o, n.o 2, alínea b), subalíneas v), vi) e vii);

d) 

Fixar prazos para a instalação de correções e atualizações de programas informáticos e equipamentos informáticos e procedimentos de ativação caso esses prazos não possam ser cumpridos.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.