+Vulnerability Management

Vulnerability Management

Conduct automated vulnerability scanning and assessments on ICT assets. For assets supporting critical or important functions, perform scans and assessments on a weekly basis. Record detected vulnerabilities, monitor their resolution status, and verify the remediation of vulnerabilities. Disclose vulnerabilities responsibly to clients/customers, financial counterparts, and the public when appropriate. Ensure thirdparty service providers report vulnerabilities related to the services they offer. This includes investigating vulnerabilities, determining root causes, and implementing appropriate solutions by the service providers.

*Specific to central securities depositories and central counterparties: perform vulnerability assessments before any deployment or redeployment of new or existing applications and infrastructure components, and ICT services supporting critical or important functions.

1. Pregled

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani predpisi

2. Ugotovljene zahteve

Zahteve

3. Povezani predpisi

Predpisi
EULAW Article 25 2

2.   Central securities depositories and central counterparties shall perform vulnerability assessments before any deployment or redeployment of new or existing applications and infrastructure components, and ICT services supporting critical or important functions of the financial entity.
EULAW Člen 10 1.
Finančni subjekti v okviru varnostnih politik, postopkov, protokolov in orodij na področju IKT iz člena 9(2) Uredbe (EU) 2022/2554 razvijejo, dokumentirajo in izvajajo postopke upravljanja ranljivosti.
EULAW Člen 10 2.

S postopki upravljanja ranljivosti iz odstavka 1 se:

(a) 

identificirajo in posodabljajo ustrezni in zaupanja vredni informacijski viri za krepitev in ohranjanje ozaveščenosti o ranljivostih;

(b) 

zagotovi izvajanje avtomatiziranega pregledovanja in ocenjevanja ranljivosti sredstev IKT, pri čemer sta pogostost in obseg teh dejavnosti sorazmerna z razvrstitvijo, določeno v skladu s členom 8(1) Uredbe (EU) 2022/2554, in splošnim profilom tveganja sredstva IKT;

(c) 

preveri, ali:

(i) 

tretji ponudniki storitev IKT obravnavajo ranljivosti, povezane s storitvami IKT, ki jih opravljajo za finančni subjekt;

(ii) 

ti ponudniki storitev finančnemu subjektu pravočasno poročajo vsaj o kritičnih ranljivostih ter statističnih podatkih in trendih;

(d) 

spremlja uporaba:

(i) 

knjižnic tretjih oseb, vključno z odprtokodnimi knjižnicami, ki jih uporabljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije;

(ii) 

storitev IKT, ki jih je razvil finančni subjekt sam ali jih je za finančni subjekt posebej prilagodil ali razvil tretji ponudnik storitev IKT;

(e) 

vzpostavijo postopki za odgovorno razkritje ranljivosti strankam, nasprotnim strankam in javnosti;

(f) 

daje prednost uvajanju popravkov in drugih blažilnih ukrepov za odpravo prepoznanih ranljivosti;

(g) 

spremlja in preverja sanacijo ranljivosti;

(h) 

zahteva evidentiranje vseh odkritih ranljivosti, ki vplivajo na sisteme IKT, in spremljanje njihovega razreševanja.

Za namene točke (b) finančni subjekti vsaj enkrat tedensko izvajajo avtomatizirano pregledovanje in ocenjevanje ranljivosti sredstev IKT za sredstva IKT, ki podpirajo kritične ali pomembne funkcije.

Za namene točke (c) finančni subjekti od tretjih ponudnikov storitev IKT zahtevajo, da raziščejo zadevne ranljivosti, določijo temeljne vzroke in izvedejo ustrezne blažilne ukrepe.

Za namene točke (d) finančni subjekti, kadar je primerno v sodelovanju s tretjim ponudnikom storitev IKT, spremljajo različico in morebitne posodobitve knjižnic tretjih oseb. V primeru za uporabo pripravljenih (komercialnih) sredstev IKT ali komponent sredstev IKT, pridobljenih in uporabljenih pri delovanju storitev IKT, ki ne podpirajo kritičnih ali pomembnih funkcij, finančni subjekti v največji možni meri spremljajo uporabo knjižnic tretjih oseb, vključno z odprtokodnimi knjižnicami.

Za namene točke (f) finančni subjekti upoštevajo kritičnost ranljivosti, razvrstitev, določeno v skladu s členom 8(1) Uredbe (EU) 2022/2554, in profil tveganja sredstev IKT, ki jih prizadenejo prepoznane ranljivosti.
EULAW Člen 10 3.
Finančni subjekti v okviru varnostnih politik, postopkov, protokolov in orodij na področju IKT iz člena 9(2) Uredbe (EU) 2022/2554 razvijejo, dokumentirajo in izvajajo postopke upravljanja popravkov.
EULAW Člen 10 4.

S postopki upravljanja popravkov iz odstavka 3 se:

(a) 

v največji možni meri identificirajo in ocenijo razpoložljivi popravki in posodobitve programske in strojne opreme z uporabo avtomatiziranih orodij;

(b) 

opredelijo postopki za namestitev popravkov in posodabljanje sredstev IKT v nujnih primerih;

(c) 

testirajo in uvajajo popravki in posodobitve programske in strojne opreme iz člena 8(2), točke (b)(v), (vi) in (vii);

(d) 

določijo roki za namestitev popravkov in posodobitev programske in strojne opreme ter postopki prenosa na višjo raven, če teh rokov ni mogoče upoštevati.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.