+Vulnerability Management

Vulnerability Management

Conduct automated vulnerability scanning and assessments on ICT assets. For assets supporting critical or important functions, perform scans and assessments on a weekly basis. Record detected vulnerabilities, monitor their resolution status, and verify the remediation of vulnerabilities. Disclose vulnerabilities responsibly to clients/customers, financial counterparts, and the public when appropriate. Ensure thirdparty service providers report vulnerabilities related to the services they offer. This includes investigating vulnerabilities, determining root causes, and implementing appropriate solutions by the service providers.

*Specific to central securities depositories and central counterparties: perform vulnerability assessments before any deployment or redeployment of new or existing applications and infrastructure components, and ICT services supporting critical or important functions.

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace predpisy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace predpisy

Predpisy
EULAW Článok 25 2

2.   Centrálni depozitári cenných papierov a centrálne protistrany vykonávajú posúdenia zraniteľnosti pred akýmkoľvek nasadením alebo opätovným nasadením nových alebo existujúcich aplikácií a zložiek infraštruktúry a IKT služieb podporujúcich kritické alebo dôležité funkcie finančného subjektu.
EULAW Článok 10 1.
V rámci politík, postupov, protokolov a nástrojov v oblasti bezpečnosti IKT uvedených v článku 9 ods. 2 nariadenia (EÚ) 2022/2554 finančné subjekty vypracujú, zdokumentujú a vykonávajú postupy riadenia zraniteľnosti.
EULAW Článok 10 2.

Postupmi riadenia zraniteľnosti uvedenými v odseku 1 sa:

a) 

identifikujú a aktualizujú relevantné a dôveryhodné informačné zdroje na účely budovania a udržiavania povedomia o zraniteľných miestach;

b) 

zabezpečuje vykonávanie automatizovaného skenovania zraniteľnosti a posudzovaní IKT aktív, pričom frekvencia a rozsah týchto činností zodpovedajú klasifikácii stanovenej v súlade s článkom 8 ods. 1 nariadenia (EÚ) 2022/2554 a celkovému rizikovému profilu IKT aktíva;

c) 

overuje, či:

i) 

externí poskytovatelia IKT služieb riešia zraniteľné miesta súvisiace s IKT službami poskytovanými finančnému subjektu;

ii) 

uvedení poskytovatelia služieb včas oznamujú finančnému subjektu aspoň kritické zraniteľné miesta, štatistické údaje a trendy;

d) 

sleduje používanie:

i) 

knižníc tretích strán vrátane knižníc s otvoreným zdrojovým kódom, ktoré sú využívané IKT službami podporujúcimi kritické alebo dôležité funkcie;

ii) 

IKT služieb, ktoré vyvinul samotný finančný subjekt alebo ktoré pre finančný subjekt osobitne prispôsobil či vyvinul externý poskytovateľ IKT služieb;

e) 

stanovujú postupy na zodpovedné zverejňovanie zraniteľných miest klientom, protistranám a verejnosti;

f) 

uprednostňuje zavedenie bezpečnostných záplat a iných zmierňujúcich opatrení na riešenie identifikovaných zraniteľných miest;

g) 

monitoruje a overuje náprava zraniteľných miest;

h) 

požaduje, aby sa všetky odhalené zraniteľné miesta ovplyvňujúce IKT systémy zaznamenávali a ich riešenia monitorovali.

Na účely písmena b) finančné subjekty vykonávajú automatizované skenovanie a posudzovanie zraniteľnosti IKT aktív v prípade IKT aktív podporujúcich kritické alebo dôležité funkcie aspoň raz týždenne.

Na účely písmena c) finančné subjekty požadujú, aby externí poskytovatelia IKT služieb preskúmali príslušné zraniteľné miesta, zistili základné príčiny a vykonali vhodné zmierňujúce opatrenia.

Na účely písmena d) finančné subjekty v náležitých prípadoch v spolupráci s externým poskytovateľom IKT služieb monitorujú verziu a možné aktualizácie knižníc tretích strán. V prípade IKT aktív alebo zložiek IKT aktív pripravených na použitie (off-the-shelf) a nadobudnutých a používaných pri prevádzke IKT služieb, ktoré nie sú určené na podporu kritických alebo dôležitých funkcií, finančné subjekty v čo najväčšej možnej miere sledujú využívanie knižníc tretích strán vrátane knižníc s otvoreným zdrojovým kódom.

Na účely písmena f) finančné subjekty zohľadňujú kritickosť zraniteľnosti, klasifikáciu stanovenú v súlade s článkom 8 ods. 1 nariadenia (EÚ) 2022/2554 a rizikový profil IKT aktív ovplyvnených identifikovanými zraniteľnými miestami.
EULAW Článok 10 3.
V rámci politík, postupov, protokolov a nástrojov v oblasti bezpečnosti IKT uvedených v článku 9 ods. 2 nariadenia (EÚ) 2022/2554 finančné subjekty vypracujú, zdokumentujú a vykonávajú postupy riadenia bezpečnostných záplat.
EULAW Článok 10 4.

Postupmi riadenia bezpečnostných záplat uvedenými v odseku 3 sa:

a) 

v čo najväčšej možnej miere identifikujú a vyhodnocujú dostupné softvérové a hardvérové bezpečnostné záplaty a aktualizácie prostredníctvom používania automatizovaných nástrojov;

b) 

identifikujú núdzové postupy na používanie bezpečnostných záplat a aktualizáciu IKT aktív;

c) 

testujú a zavádzajú softvérové a hardvérové bezpečnostné záplaty a aktualizácie uvedené v článku 8 ods. 2 písm. b) bodoch v), vi) a vii);

d) 

stanujú lehoty na inštaláciu softvérových a hardvérových bezpečnostných záplat a aktualizácií a eskalačné postupy, ak tieto lehoty nemožno dodržať.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.