+Resource Management

Resource Management

Identify and maintain relevant and trustworthy information resources to build and sustain awareness about vulnerabilities. Track the usage of thirdparty libraries, including open source, by monitoring versions and potential updates (see also 28.2-3).

1. Översikt

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade regleringar

2. Identifierade krav

Krav

3. Relaterade regleringar

Regleringar
EULAW Artikel 25 2

2.   Värdepapperscentraler och centrala motparter ska utföra sårbarhetsbedömningar före eventuellt införande eller återinförande av nya eller befintliga tillämpningar och infrastrukturkomponenter, och IKT-tjänster som stöder den finansiella entitetens kritiska eller viktiga funktioner,.
EULAW Artikel 10 1.
Som en del av de IKT-relaterade säkerhetsstrategier, förfaranden, protokoll och verktyg som avses i artikel 9.2 i förordning (EU) 2022/2554 ska finansiella entiteter utarbeta, dokumentera och genomföra förfaranden för sårbarhetshantering.
EULAW Artikel 10 2.

De förfaranden för sårbarhetshantering som avses i punkt 1 ska

a) 

identifiera och uppdatera relevanta och tillförlitliga informationsresurser för att bygga upp och upprätthålla medvetenheten om sårbarheter,

b) 

säkerställa utförandet av automatiserade sårbarhetsbedömningar och bedömningar av IKT-tillgångar, varvid frekvensen för och omfattningen av dessa aktiviteter ska stå i proportion till den klassificering som fastställts i enlighet med artikel 8.1 i förordning (EU) 2022/2554 och IKT-tillgångens allmänna riskprofil,

c) 

kontrollera huruvida

i) 

tredjepartsleverantörer av IKT-tjänster hanterar sårbarheter relaterade till de IKT-tjänster som tillhandahålls den finansiella entiteten,

ii) 

dessa tjänsteleverantörer i god tid rapporterar till den finansiella entiteten åtminstone de kritiska sårbarheterna och statistik och trender,

d) 

spåra användningen av

i) 

tredjepartsbibliotek, inklusive bibliotek med öppen källkod, som används av IKT-tjänster som stöder kritiska eller viktiga funktioner,

ii) 

IKT-tjänster som utvecklats av den finansiella entiteten själv eller som specifikt anpassats eller utvecklats för den finansiella entiteten av en tredjepartsleverantör av IKT-tjänster,

e) 

upprätta förfaranden för ansvarsfullt offentliggörande av sårbarheter till kunder, motparter och till allmänheten,

f) 

prioritera införandet av programfixar och andra begränsningsåtgärder för att hantera de identifierade sårbarheterna,

g) 

övervaka och kontrollera avhjälpandet av sårbarheter,

h) 

kräva registrering av alla upptäckta sårbarheter som berör IKT-system och övervakning av hur de åtgärdas.

Vid tillämpning av led b ska finansiella entiteter utföra automatiserade sårbarhetsbedömningar och bedömningar av IKT-tillgångar för de IKT-tillgångar som stöder kritiska eller viktiga funktioner minst en gång i veckan.

Vid tillämpning av led c ska finansiella entiteter begära att tredjepartsleverantörer av IKT-tjänster undersöker de relevanta sårbarheterna, fastställer grundorsakerna och genomför lämpliga begränsningsåtgärder.

Vid tillämpning av led d ska finansiella entiteter, när så är lämpligt i samarbete med tredjepartsleverantören av IKT-tjänster, övervaka versionen och potentiella uppdateringar av tredjepartsbiblioteken. När det gäller IKT-tillgångar som är färdiga att använda (från lager) eller delar av IKT-tillgångar som förvärvats och används för IKT-tjänster som inte stöder kritiska eller viktiga funktioner, ska finansiella entiteter i möjligaste mån spåra användningen av tredjepartsbibliotek, inklusive bibliotek med öppen källkod.

Vid tillämpning av led f ska finansiella entiteter beakta sårbarhetens kritikalitet, den klassificering som fastställts i enlighet med artikel 8.1 i förordning (EU) 2022/2554 och riskprofilen för de IKT-tillgångar som berörs av de identifierade sårbarheterna.
EULAW Artikel 10 3.
Som en del av de IKT-relaterade säkerhetsstrategier, förfaranden, protokoll och verktyg som avses i artikel 9.2 i förordning (EU) 2022/2554 ska finansiella entiteter utarbeta, dokumentera och genomföra förfaranden för hantering av programfixar.
EULAW Artikel 10 4.

De förfaranden för hantering av programfixar som avses i punkt 3 ska

a) 

i möjligaste mån identifiera och utvärdera tillgängliga program- och hårdvarufixar och program- och hårdvaruuppdateringar med hjälp av automatiserade verktyg,

b) 

identifiera nödförfaranden för fixning och uppdatering av IKT-tillgångar,

c) 

testa och införa de program- och hårdvarufixar och de program- och hårdvaruuppdateringar som avses i artikel 8.2 b v, vi och vii,

d) 

fastställa tidsfrister för installation av program- och hårdvarufixar och program- och hårdvaruuppdateringar samt eskaleringsförfaranden om dessa tidsfrister inte kan hållas.