+System Management and Security

System Management and Security

Provide system descriptions that encompass secure installation, maintenance, configuration, and deinstallation/disposal of ICT assets. This includes the management of assets, both automated and manual, and the identification and control of legacy ICT systems.

1. Pregled

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani predpisi

2. Ugotovljene zahteve

Zahteve

3. Povezani predpisi

Predpisi
EULAW Člen 8 1.
Finančni subjekti v okviru varnostnih politik, postopkov, protokolov in orodij na področju IKT iz člena 9(2) Uredbe (EU) 2022/2554 razvijejo, dokumentirajo in izvajajo politike in postopke za upravljanje delovanja IKT. Te politike in postopki določajo, kako finančni subjekti upravljajo, spremljajo, nadzirajo in obnavljajo svoja sredstva IKT, vključno z dokumentiranjem delovanja IKT.
EULAW Člen 8 2.

Politike in postopki za delovanje IKT iz odstavka 1 vsebujejo vse naslednje:

(a) 

opis sredstev IKT, vključno z vsem naslednjim:

(i) 

zahtevami glede varne namestitve, vzdrževanja, konfiguracije in odstranitve sistema IKT;

(ii) 

zahtevami glede upravljanja informacijskih sredstev, ki jih uporabljajo sredstva IKT, vključno z njihovo obdelavo in obravnavo, tako avtomatizirano kot ročno;

(iii) 

zahtevami v zvezi z identifikacijo in nadzorom obstoječih sistemov IKT;

(b) 

kontrole in spremljanje sistemov IKT, vključno z vsem naslednjim:

(i) 

zahtevami za varnostno kopiranje in obnovitev sistemov IKT;

(ii) 

zahtevami glede časovnega razporejanja ob upoštevanju soodvisnosti med sistemi IKT;

(iii) 

protokoli za informacije o revizijski sledi in sistemskem dnevniku;

(iv) 

zahtevami za zagotovitev, da izvajanje notranje revizije in drugega testiranja čim bolj zmanjša motnje v poslovanju;

(v) 

zahtevami glede ločevanja produkcijskih okolij IKT od razvojnih, testnih in drugih neprodukcijskih okolij;

(vi) 

zahtevami za izvajanje razvoja in testiranja v okoljih, ki so ločena od produkcijskega okolja;

(vii) 

zahtevami za izvajanje razvoja in testiranja v produkcijskih okoljih;

(c) 

obravnavanje napak v zvezi s sistemi IKT, vključno z vsem naslednjim:

(i) 

postopki in protokoli za obravnavanje napak;

(ii) 

stiki za podporo in prenos na višjo raven, vključno s stiki za zunanjo podporo v primeru nepričakovanih operativnih ali tehničnih težav;

(iii) 

postopki za ponovni zagon, povrnitev prejšnjega stanja in obnovitev sistema IKT za uporabo v primeru motenj v sistemu IKT.

Za namene točke (b)(v) se pri ločevanju upoštevajo vse komponente okolja, vključno z računi, podatki ali povezavami, kot se zahteva v členu 13(1), točka (a).

Za namene točke (b)(vii) politike in postopki iz odstavka 1 določajo, da so primeri, v katerih se testiranje izvaja v produkcijskem okolju, jasno opredeljeni, utemeljeni, časovno omejeni in odobreni s strani ustrezne funkcije v skladu s členom 16(6). Finančni subjekti zagotovijo razpoložljivost, zaupnost, celovitost in avtentičnost sistemov IKT in produkcijskih podatkov med razvojnimi in testnimi dejavnostmi v produkcijskem okolju.
EULAW Člen 9 1.

Finančni subjekti v okviru varnostnih politik, postopkov, protokolov in orodij na področju IKT iz člena 9(2) Uredbe (EU) 2022/2554 razvijejo, dokumentirajo in izvajajo postopke upravljanja zmogljivosti in učinkovitosti delovanja za naslednje:

(a) 

opredelitev zahtev glede zmogljivostih svojih sistemov IKT;

(b) 

uporabo optimizacije virov;

(c) 

postopke spremljanja za vzdrževanje in izboljševanje:

(i) 

razpoložljivosti podatkov in sistemov IKT;

(ii) 

učinkovitosti sistemov IKT;

(iii) 

preprečevanja pomanjkanja zmogljivosti IKT.
EULAW Člen 9 2.
Postopki upravljanja zmogljivosti in učinkovitosti delovanja iz odstavka 1 zagotavljajo, da finančni subjekti sprejmejo ukrepe, ki so primerni za upoštevanje posebnosti sistemov IKT z dolgimi ali zapletenimi postopki nabave ali odobritve ali sistemi IKT, ki zahtevajo veliko virov.
EULAW Člen 12 2.

Postopki, protokoli in orodja za beleženje v dnevnike iz odstavka 1 vsebujejo vse naslednje:

(a) 

opredelitev dogodkov, ki jih je treba zabeležiti v dnevnike, obdobje hrambe dnevnikov ter ukrepe za zaščito in obravnavo podatkov iz dnevnikov, ob upoštevanju namena, za katerega so dnevniki ustvarjeni;

(b) 

usklajenost ravni podrobnosti dnevnikov z njihovim namenom in uporabo, da se omogoči učinkovito odkrivanje neobičajnega ravnanja iz člena 24;

(c) 

zahtevo po beleženju dogodkov v zvezi z vsem naslednjim v dnevnike:

(i) 

nadzorom logičnega in fizičnega dostopa iz člena 21 ter upravljanjem identitete;

(ii) 

upravljanjem zmogljivosti;

(iii) 

upravljanjem sprememb;

(iv) 

delovanjem IKT, vključno z dejavnostmi sistema IKT;

(v) 

dejavnostmi v zvezi z omrežnim prometom, vključno z zmogljivostjo omrežja IKT;

(d) 

ukrepe za zaščito sistemov beleženja v dnevnike in informacij iz dnevnikov pred nedovoljenim spreminjanjem, brisanjem in nepooblaščenim dostopom v mirovanju, med prenosom in, kadar je primerno, v uporabi;

(e) 

ukrepe za odkrivanje odpovedi v sistemih beleženja v dnevnike;

(f) 

brez poseganja v morebitne veljavne regulativne zahteve v skladu s pravom Unije ali nacionalnim pravom, uskladitev ur vsakega od sistemov IKT finančnega subjekta na podlagi dokumentiranega zanesljivega referenčnega časovnega vira.

Za namene točke (a) finančni subjekti določijo obdobje hrambe ob upoštevanju poslovnih ciljev in ciljev glede informacijske varnosti, razloga za zabeleženje dogodka v dnevnik in rezultatov ocene tveganja na področju IKT.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.