Klicken Sie auf den Tag, um die Beschreibung und die Wallix-Empfehlungen aufzurufen.
Artikel 5
Governance und Organisation
Artikel 5.1 - Leitung und Organisation
1. Financial entities shall have in place an internal governance and control framework that ensures an effective and prudent management of ICT risk, in accordance with Article 6(4), in order to achieve a high level of digital operational resilience.
Wallix Empfehlung
PAM kann eine wichtige Rolle bei der Unterstützung eines effektiven IKT-Risikomanagements spielen, wie in Artikel 5 Absatz 1 gefordert. * Zentralisierte Verwaltung: PAM zentralisiert die Verwaltung von privilegierten Konten und Zugriffsrechten und ermöglicht so eine einfachere Identifizierung, Bewertung und Minderung der mit diesen Konten verbundenen Risiken. * Reduzierte Angriffsfläche: Durch die Einschränkung des privilegierten Zugriffs und die Durchsetzung des Prinzips der geringsten Privilegien reduziert PAM die potenziellen Auswirkungen kompromittierter privilegierter Anmeldedaten. * Verbesserte Überwachung und Protokollierung: PAM-Lösungen bieten in der Regel eine umfassende Protokollierung der Aktivitäten privilegierter Benutzer, die zur Überwachung verdächtigen Verhaltens und zur Erkennung potenzieller Bedrohungen genutzt werden kann. * Verbesserte Rechenschaftspflicht: PAM erstellt einen klaren Prüfpfad für den privilegierten Zugriff, der eine bessere Nachvollziehbarkeit ermöglicht und die Untersuchung von Vorfällen erleichtert.
Artikel 5.1, 5.2
Mehr Details ?
Artikel 6
IKT-Risikomanagementrahmen
Artikel 6 - Rahmen für das IKT-Risikomanagement
Finanzunternehmen verfügen über einen soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen, der Teil ihres Gesamtrisikomanagementsystems ist und es ihnen ermöglicht, IKT-Risiken schnell, effizient und umfassend anzugehen und ein hohes Niveau an digitaler operationaler Resilienz zu gewährleisten.
Wallix Empfehlung
Solides, umfassendes und dokumentiertes Framework:
- Privileged Account und Session-Management (PASM) unterstützt einen umfassenden Ansatz, indem es sich auf privilegierten Zugriff konzentriert – ein häufiges Ziel für Angreifer und ein großes IKT-Risiko.
- Die PASM-Dokumentation enthält detaillierte Zugriffs- und Sicherheitsmaßnahmen und trägt damit zu einem gut dokumentierten Framework bei.
Artikel 6.1, 6.2, 6.3, 6.4, 6.5, 6.6, 6.7, 6.8
Mehr Details ?
Artikel 7
IKT-Systeme, Protokolle
und Tools
Artikel 7 - IKT-Systeme, Protokolle und Werkzeuge
Um IKT-Risiken zu bewältigen und zu managen, verwenden und unterhalten Finanzunternehmen stets auf dem neuesten Stand zu haltende IKT-Systeme, -Protokolle und -Tools, die
- dem Umfang von Vorgängen, die die Ausübung ihrer Geschäftstätigkeiten unterstützen, im Einklang mit dem Grundsatz der Verhältnismäßigkeit nach Artikel 4 angemessen sind;
- zuverlässig sind;
- mit ausreichenden Kapazitäten ausgestattet sind, um die Daten, die für die Ausführung von Tätigkeiten und die rechtzeitige Erbringung von Dienstleistungen erforderlich sind, genau zu verarbeiten und Auftragsspitzen, Mitteilungen oder Transaktionen auch bei Einführung neuer Technologien bewältigen zu können;
- technologisch resilient sind, um dem unter angespannten Marktbedingungen oder anderen widrigen Umständen erforderlichen zusätzlichen Bedarf an Informationsverarbeitung angemessen zu begegnen.
Wallix Empfehlung
Kontaktieren Sie uns, um mehr zu erfahren…
Artikel 7
Mehr Details ?
Artikel 8
Identifizierung
Artikel 8 - Identifizierung
Als Teil des IKT-Risikomanagementrahmens gemäß Artikel 6 Absatz 1 ermitteln und klassifizieren Finanzunternehmen alle IKT-gestützten Unternehmensfunktionen, Rollen und Verantwortlichkeiten, die Informations- und IKT-Assets, die diese Funktionen unterstützen, sowie deren Rollen und Abhängigkeiten hinsichtlich der IKT-Risiken und dokumentieren sie angemessen. Finanzunternehmen überprüfen erforderlichenfalls, mindestens jedoch einmal jährlich, ob diese Klassifizierung und jegliche einschlägige Dokumentation angemessen sind.
Wallix Empfehlung
Privileged Access Management (PAM) steht im Einklang mit Artikel 7 des DORA, da es ein zuverlässiges, sicheres und technologisch robustes System für die Verwaltung von privilegiertem Zugang bietet. Die Verschlüsselung der Zugangsprotokolle durch PAM stärkt die allgemeine Sicherheitslage und trägt zur Widerstandsfähigkeit der IKT-Infrastruktur bei, so dass Finanzinstitute ein erträgliches Maß an möglichen Störungen erreichen können.
PAM sollte entsprechend der Größe und Komplexität der IT-Infrastruktur der Organisation und den Anforderungen an den privilegierten Zugang skaliert werden.
PAM-Lösungen sollten zuverlässig sein und eine hohe Verfügbarkeit bieten, um eine konsistente und ununterbrochene Verwaltung des privilegierten Zugangs zu gewährleisten.
- PAM sollte mit robusten Sicherheitsfunktionen ausgestattet sein, einschließlich der Verschlüsselung von Protokollen, die für den Zugriff auf Zielsysteme verwendet werden. Dies trägt dazu bei, sensible privilegierte Zugangsdaten und Daten während der Übertragung vor unbefugtem Zugriff oder Abfangen zu schützen.
- Regelmäßige Aktualisierungen der PAM-Lösung sind von entscheidender Bedeutung, um den sich entwickelnden Bedrohungen und Schwachstellen zu begegnen.
Durch die Minimierung des Risikos von Vorfällen, die durch kompromittierte privilegierte Zugangsdaten verursacht werden, trägt PAM dazu bei, ein tolerierbares Maß an IKT-Unterbrechungen zu erreichen.
Artikel 8.1, 8.2, 8.3, 8.4
Mehr Details ?
Artikel 9
Schutz und Prävention
Artikel 9 - Schutz und Prävention
Um einen angemessenen Schutz von IKT-Systemen zu gewährleisten und Gegenmaßnahmen zu organisieren, überwachen und kontrollieren Finanzunternehmen kontinuierlich die Sicherheit und das Funktionieren der IKT-Systeme und -Tools und minimieren durch den Einsatz angemessener IKT-Sicherheitstools, -Richtlinien und -Verfahren die Auswirkungen von IKT-Risiken auf IKT-Systeme.
Wallix Empfehlung
Kontaktieren Sie uns, um mehr zu erfahren…
Artikel 9.1, 9.2, 9.3, 9.4
Mehr Details ?
Artikel 10
Erkennung
Artikel 10 – Erkennung
Finanzunternehmen verfügen über Mechanismen, um anomale Aktivitäten im Einklang mit Artikel 17, darunter auch Probleme bei der Leistung von IKT-Netzwerken und IKT-bezogene Vorfälle, umgehend zu erkennen und potenzielle einzelne wesentliche Schwachstellen zu ermitteln.
Alle in Unterabsatz 1 aufgeführten Erkennungsmechanismen werden gemäß Artikel 25 regelmäßig getestet.
Wallix Empfehlung
Kontaktieren Sie uns, um mehr zu erfahren…
Artikel 10.1, 10.2, 10.3
Mehr Details ?
Artikel 11
Reaktion und Wiederherstellung
Artikel 11 - Reaktion und Wiederherstellung
Als Teil des in Artikel 6 Absatz 1 genannten IKT-Risikomanagementrahmens und auf der Grundlage der Identifizierungsanforderungen nach Artikel 8 legen Finanzunternehmen eine umfassende IKT-Geschäftsfortführungsleitlinie fest, die als eigenständige spezielle Leitlinie, die fester Bestandteil der allgemeinen Geschäftsfortführungsleitlinie des Finanzunternehmens ist, verabschiedet werden kann.
Wallix Empfehlung
Kontaktieren Sie uns, um mehr zu erfahren…
Artikel 11.1, 11.2
Mehr Details ?
Artikel 13
Lernprozesse und Weiterentwicklung
Artikel 13 - Lernprozesse und Weiterentwicklung
Nach Störungen ihrer Haupttätigkeiten infolge schwerwiegender IKT-bezogener Vorfälle sehen Finanzunternehmen nachträgliche Prüfungen IKT-bezogener Vorfälle vor, die die Ursachen für Störungen untersuchen und die erforderlichen Verbesserungen an IKT-Vorgängen oder im Rahmen der in Artikel 11 genannten IKT-Geschäftsfortführungsleitlinie identifizieren.
Finanzunternehmen, die keine Kleinstunternehmen sind, teilen den zuständigen Behörden auf Verlangen die Änderungen mit, die nach der Prüfung IKT-bezogener Vorfälle gemäß Unterabsatz 1 vorgenommen wurden.
Bei den in Unterabsatz 1 genannten nachträglichen Prüfungen IKT-bezogener Vorfälle wird ermittelt, ob die festgelegten Verfahren befolgt und die ergriffenen Maßnahmen wirksam waren, unter anderem in Bezug auf:
- die Schnelligkeit bei der Reaktion auf Sicherheitswarnungen und bei der Bestimmung der Auswirkungen von IKT-bezogenen Vorfällen und ihrer Schwere;
- die Qualität und Schnelligkeit bei der Durchführung forensischer Analysen, sofern dies als zweckmäßig erachtet wird;
- die Wirksamkeit der Eskalation von Vorfällen innerhalb des Finanzunternehmens;
- die Wirksamkeit interner und externer Kommunikation.
Wallix Empfehlung
Kontaktieren Sie uns, um mehr zu erfahren…
Artikel 13.1, 13.2, 13,7
Mehr Details ?
Artikel 15
Weitere Harmonisierung
von Tools, Methoden,
Prozessen und Richtlinien
für IKT-Risikomanagement
Artikel 15 – Weitere Harmonisierung von Tools, Methoden, Prozessen und Richtlinien für IKT-Risikomanagement
Die ESA entwickeln über den Gemeinsamen Ausschuss in Abstimmung mit der Agentur der Europäischen Union für Cybersicherheit (ENISA) gemeinsame Entwürfe technischer Regulierungsstandards für folgende Zwecke:
- die Festlegung weiterer Elemente, die in die in Artikel 9 Absatz 2 genannten Richtlinien, Verfahren, Protokolle und Tools für IKT-Sicherheit aufzunehmen sind, um die Sicherheit von Netzwerken zu gewährleisten, angemessene Schutzvorrichtungen gegen Eindringen und Missbrauch von Daten zu ermöglichen, die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten, einschließlich kryptografischer Techniken, zu wahren und eine präzise und rasche Datenübermittlung ohne wesentliche Störungen und unangemessene Verzögerungen zu gewährleisten;
- die Entwicklung weiterer Komponenten der Kontrollen von Zugangs- und Zugriffsrechten gemäß Artikel 9 Absatz 4 Buchstabe c und der damit verbundenen Personalpolitik, mit denen Zugangsrechte, Verfahren für Erteilung und Widerruf von Rechten, die Überwachung anomalen Verhaltens in Bezug auf IKT-Risiken durch angemessene Indikatoren — auch für Netzwerknutzungsmuster, Zeiten, IT-Aktivität und unbekannte Geräte — spezifiziert werden;
- […]
Wallix Empfehlung
Kontaktieren Sie uns, um mehr zu erfahren…
Artikel 15
Mehr Details ?
Sie wünschen weitere WALLIX-Empfehlungen zu DORA? Kontaktieren Sie uns!
