+ICT Monitoring

ICT Monitoring

Develop, document and implement capacity and performance management procedures to identify capacity requirements of their ICT systems and apply resource optimisation and monitoring procedures to maintain and improve the availability of data and ICT systems and efficiency of ICT systems and prevent ICT capacity shortages.

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Regulamentos relacionados

2. Requisitos identificados

Requisitos

3. Regulamentos relacionados

Regulamentos
EULAW Artigo 8.o 1.
No âmbito das políticas, procedimentos, protocolos e ferramentas de segurança no domínio das TIC a que se refere o artigo 9.o, n.o 2, do Regulamento (UE) 2022/2554, as entidades financeiras devem elaborar, documentar e aplicar políticas e procedimentos para gerir o funcionamento das TIC. Essas políticas e procedimentos devem especificar a forma como as entidades financeiras operam, monitorizam, controlam e restauram os seus ativos de TIC, incluindo a documentação relativa ao funcionamento das TIC.
EULAW Artigo 8.o 2.

As políticas e os procedimentos relativos ao funcionamento das TIC referidos no n.o 1 devem incluir todos os elementos seguintes:

a) 

Uma descrição dos ativos de TIC, incluindo todos os elementos seguintes:

i) 

requisitos relativos à instalação, manutenção, configuração e desinstalação seguras de um sistema de TIC,

ii) 

requisitos relativos à gestão dos ativos de informação utilizados pelos ativos de TIC, incluindo o seu tratamento, tanto automatizado como manual,

iii) 

requisitos relativos à identificação e ao controlo dos sistemas de TIC legados;

b) 

Controlos e monitorização dos sistemas de TIC, incluindo todos os elementos seguintes:

i) 

requisitos relativos a cópias de segurança e restauração dos sistemas de TIC,

ii) 

requisitos de calendarização, tendo em conta as interdependências entre os sistemas de TIC,

iii) 

protocolos relativos às pistas de auditoria e ao registo de informações no sistema,

iv) 

requisitos para assegurar que a realização da auditoria interna e de outros testes causa o mínimo de perturbações nas operações comerciais,

v) 

requisitos relativos à separação entre os ambientes de produção de TIC e os ambientes de desenvolvimento, realização de testes e outros ambientes não produtivos,

vi) 

requisitos para proceder ao desenvolvimento e à realização de testes em ambientes separados do ambiente de produção,

vii) 

requisitos para proceder ao desenvolvimento e à realização de testes em ambientes de produção;

c) 

Tratamento de erros relativos aos sistemas de TIC, incluindo todos os elementos seguintes:

i) 

procedimentos e protocolos para o tratamento de erros,

ii) 

contactos de apoio e de ativação, incluindo contactos externos de apoio em caso de problemas operacionais ou técnicos imprevistos,

iii) 

procedimentos para reiniciar, retomar e recuperar o sistema de TIC, a utilizar em caso de perturbação desse mesmo sistema.

Para efeitos da alínea b), subalínea v), a separação deve ter em conta todos os componentes do ambiente, incluindo contas, dados ou ligações, conforme exigido pelo artigo 13.o, primeiro parágrafo, alínea a).

Para efeitos da alínea b), subalínea vii), as políticas e os procedimentos referidos no n.o 1 devem prever que os casos em que os testes são realizados num ambiente de produção sejam claramente identificados e fundamentados, sejam realizados por períodos limitados e aprovados pela função pertinente em conformidade com o artigo 16.o, n.o 6. As entidades financeiras devem assegurar a disponibilidade, confidencialidade, integridade e autenticidade dos sistemas de TIC e dos dados de produção durante as atividades de desenvolvimento e teste no ambiente de produção.
EULAW Artigo 9.o 1.

No âmbito das políticas, procedimentos, protocolos e ferramentas de segurança no domínio das TIC a que se refere o artigo 9.o, n.o 2, do Regulamento (UE) 2022/2554, as entidades financeiras devem elaborar, documentar e aplicar procedimentos para gerir a capacidade e o desempenho em relação ao seguinte:

a) 

A identificação dos requisitos de capacidade dos seus sistemas de TIC;

b) 

A aplicação da otimização dos recursos;

c) 

Os procedimentos de monitorização para manter e melhorar:

i) 

a disponibilidade de dados e os sistemas de TIC,

ii) 

a eficiência dos sistemas de TIC,

iii) 

a prevenção da escassez de capacidade no domínio das TIC.
EULAW Artigo 9.o 2.
Os procedimentos de gestão da capacidade e do desempenho referidos no n.o 1 devem assegurar que as entidades financeiras tomam as medidas adequadas para ter em conta as especificidades dos sistemas de TIC com processos de adjudicação ou aprovação longos ou complexos ou de sistemas de TIC com utilização intensiva de recursos.
EULAW Artigo 12.o 2.

Os procedimentos, protocolos e ferramentas de registo referidos no n.o 1 devem conter todos os elementos seguintes:

a) 

A identificação dos eventos a registar, o período de conservação dos registos e as medidas para proteger e tratar os dados dos registos, tendo em conta a finalidade para a qual os registos são criados;

b) 

O alinhamento do nível de pormenor dos registos com a sua finalidade e utilização, a fim de permitir a deteção eficaz de atividades anómalas, tal como referido no artigo 24.o;

c) 

O requisito de registar eventos relacionados com todos os elementos seguintes:

i) 

controlo lógico e físico do acesso, tal como referido no artigo 21.o, e gestão da identidade,

ii) 

gestão da capacidade,

iii) 

gestão das alterações,

iv) 

funcionamento das TIC, incluindo as atividades dos sistemas de TIC,

v) 

atividades de tráfego da rede, incluindo o desempenho da rede de TIC;

d) 

Medidas para proteger os sistemas de registo e as informações que constam dos registos contra a manipulação, a supressão e o acesso não autorizado aos dados conservados, em trânsito e, se for caso disso, em utilização;

e) 

Medidas para detetar uma falha nos sistemas de registo;

f) 

Sem prejuízo de quaisquer requisitos regulamentares aplicáveis ao abrigo do direito da União ou nacional, a sincronização dos relógios de cada um dos sistemas de TIC da entidade financeira com base numa referência temporal fiável e documentada.

Para efeitos da alínea a), as entidades financeiras devem estabelecer o período de conservação, tendo em conta os objetivos empresariais e de segurança da informação, o motivo para registar o evento nos registos e os resultados da avaliação do risco associado às TIC.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.