+Security Requirements

Security Requirements

Identify the potential impact of a change on existing security measures and assess whether additional security measures are required for its implementation. Verify that security requirements have been met for all implemented changes. Establish fallback procedures and assign responsibilities for aborting changes or recovering from changes not successfully implemented.

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Regulamentos relacionados

2. Requisitos identificados

Requisitos

3. Regulamentos relacionados

Regulamentos
EULAW Artigo 8.o 1.
No âmbito das políticas, procedimentos, protocolos e ferramentas de segurança no domínio das TIC a que se refere o artigo 9.o, n.o 2, do Regulamento (UE) 2022/2554, as entidades financeiras devem elaborar, documentar e aplicar políticas e procedimentos para gerir o funcionamento das TIC. Essas políticas e procedimentos devem especificar a forma como as entidades financeiras operam, monitorizam, controlam e restauram os seus ativos de TIC, incluindo a documentação relativa ao funcionamento das TIC.
EULAW Artigo 8.o 2.

As políticas e os procedimentos relativos ao funcionamento das TIC referidos no n.o 1 devem incluir todos os elementos seguintes:

a) 

Uma descrição dos ativos de TIC, incluindo todos os elementos seguintes:

i) 

requisitos relativos à instalação, manutenção, configuração e desinstalação seguras de um sistema de TIC,

ii) 

requisitos relativos à gestão dos ativos de informação utilizados pelos ativos de TIC, incluindo o seu tratamento, tanto automatizado como manual,

iii) 

requisitos relativos à identificação e ao controlo dos sistemas de TIC legados;

b) 

Controlos e monitorização dos sistemas de TIC, incluindo todos os elementos seguintes:

i) 

requisitos relativos a cópias de segurança e restauração dos sistemas de TIC,

ii) 

requisitos de calendarização, tendo em conta as interdependências entre os sistemas de TIC,

iii) 

protocolos relativos às pistas de auditoria e ao registo de informações no sistema,

iv) 

requisitos para assegurar que a realização da auditoria interna e de outros testes causa o mínimo de perturbações nas operações comerciais,

v) 

requisitos relativos à separação entre os ambientes de produção de TIC e os ambientes de desenvolvimento, realização de testes e outros ambientes não produtivos,

vi) 

requisitos para proceder ao desenvolvimento e à realização de testes em ambientes separados do ambiente de produção,

vii) 

requisitos para proceder ao desenvolvimento e à realização de testes em ambientes de produção;

c) 

Tratamento de erros relativos aos sistemas de TIC, incluindo todos os elementos seguintes:

i) 

procedimentos e protocolos para o tratamento de erros,

ii) 

contactos de apoio e de ativação, incluindo contactos externos de apoio em caso de problemas operacionais ou técnicos imprevistos,

iii) 

procedimentos para reiniciar, retomar e recuperar o sistema de TIC, a utilizar em caso de perturbação desse mesmo sistema.

Para efeitos da alínea b), subalínea v), a separação deve ter em conta todos os componentes do ambiente, incluindo contas, dados ou ligações, conforme exigido pelo artigo 13.o, primeiro parágrafo, alínea a).

Para efeitos da alínea b), subalínea vii), as políticas e os procedimentos referidos no n.o 1 devem prever que os casos em que os testes são realizados num ambiente de produção sejam claramente identificados e fundamentados, sejam realizados por períodos limitados e aprovados pela função pertinente em conformidade com o artigo 16.o, n.o 6. As entidades financeiras devem assegurar a disponibilidade, confidencialidade, integridade e autenticidade dos sistemas de TIC e dos dados de produção durante as atividades de desenvolvimento e teste no ambiente de produção.
EULAW Artigo 17.o 1.

No âmbito das salvaguardas destinadas a preservar a disponibilidade, autenticidade, integridade e confidencialidade dos dados, as entidades financeiras devem incluir nos procedimentos de gestão das alterações das TIC referidos no artigo 9.o, n.o 4, alínea e), do Regulamento (UE) 2022/2554, no que respeita a todas as alterações de programas informáticos, equipamentos informáticos, componentes de microprogramas, sistemas ou parâmetros de segurança, todos os elementos seguintes:

a) 

Uma verificação do cumprimento dos requisitos de segurança das TIC;

b) 

Mecanismos para assegurar a independência das funções que aprovam as alterações e das funções responsáveis pelo pedido e pela aplicação dessas alterações;

c) 

Uma descrição clara das funções e responsabilidades, a fim de assegurar que:

i) 

as alterações são especificadas e planeadas,

ii) 

foi concebida uma transição adequada,

iii) 

as alterações são testadas e concluídas de forma controlada,

iv) 

existe uma garantia de qualidade eficaz;

d) 

A documentação e a comunicação das especificidades das alterações, nomeadamente:

i) 

o objetivo e o âmbito da alteração,

ii) 

o prazo para a implementação da alteração,

iii) 

os resultados esperados;

e) 

A identificação de procedimentos e responsabilidades alternativos, designadamente procedimentos e responsabilidades para abortar alterações ou recuperar de alterações não implementadas com êxito;

f) 

Procedimentos, protocolos e ferramentas para gerir alterações de emergência que proporcionem salvaguardas adequadas;

g) 

Procedimentos para documentar, reavaliar, avaliar e aprovar alterações de emergência após a sua aplicação, incluindo formas de contornar os problemas e implementar correções informáticas;

h) 

A identificação do potencial impacto de uma alteração nas medidas de segurança das TIC existentes e uma avaliação da necessidade de adotar medidas de segurança das TIC adicionais.
EULAW Artigo 17.o 2.
Após terem introduzido alterações significativas nos seus sistemas de TIC, as contrapartes centrais e as centrais de valores mobiliários devem submeter os seus sistemas de TIC a testes rigorosos, simulando condições de tensão.

As contrapartes centrais devem envolver as seguintes entidades, conforme adequado, na conceção e realização dos testes referidos no primeiro parágrafo:

a) 

Membros compensadores e clientes;

b) 

Contrapartes centrais interoperáveis;

c) 

Outras partes interessadas.

As centrais de valores mobiliários devem envolver as seguintes entidades, conforme adequado, na conceção e realização dos testes referidos no primeiro parágrafo:

a) 

Utilizadores;

b) 

Prestadores de serviços de utilidade pública críticos e de outros serviços críticos;

c) 

Outras centrais de valores mobiliários;

d) 

Outras infraestruturas de mercado;

e) 

Quaisquer outras instituições com as quais as centrais de valores mobiliários tenham identificado interdependências na sua política de continuidade das atividades no domínio das TIC.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.