+Systems Testing Procedures

Systems Testing Procedures

Develop and follow procedures for testing and approval of all ICT systems before use and after maintenance. Determine testing level based on criticality of the business functions and ICT assets. Design and implement testing procedures to verify that new ICT systems are adequate to perform as intended, including the quality of the software developed internally. Perform security testing of software packages no later than the integration phase.

1. Преглед

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани регулации

2. Идентифицирани изисквания

Изисквания

3. Свързани регулации

Регулации
EULAW Член 16 1.

Като част от защитните механизми за запазване на наличността, автентичността, цялостността и поверителността на данните финансовите субекти разработват, документират и прилагат политика, с която се уреждат придобиването, разработването и поддържането на системи на ИКТ. С тази политика се постига следното:

а) 

установяват се практиките и методиките за сигурност, свързани с придобиването, разработването и поддържането на системи на ИКТ;

б) 

изисква се идентифицирането на:

i) 

технически спецификации, както и на технически спецификации за ИКТ, както са определени в член 2, точки 4 и 5 от Регламент (ЕС) № 1025/2012;

ii) 

изисквания, свързани с придобиването, разработването и поддържането на системи на ИКТ, като се поставя специален акцент върху изискванията за сигурност на ИКТ и тяхното одобрение от съответната работна функция и от собственика на актив на ИКТ в съответствие с вътрешните правила за управление на финансовия субект;

в) 

определят се мерки за намаляване на риска от непреднамерена промяна или преднамерено манипулиране на системи на ИКТ по време на разработването, поддържането и внедряването на тези системи на ИКТ в продукционната среда.
EULAW Член 16 2.
Финансовите субекти разработват, документират и прилагат процедура за придобиване, разработване и поддържане на системи на ИКТ за тестване и одобрение на всички системи на ИКТ преди тяхното използване и след поддръжка, в съответствие с член 8, параграф 2, буква б), точки v), vi) и vii). Равнището на тестване е съизмеримо с критичната значимост на съответните работни процедури и съответните активи на ИКТ. Целта на тестването е да се провери дали новите системи на ИКТ са подходящи за своето предназначение, включително качеството на разработения вътрешно софтуер.

В допълнение към посочените в първата алинея изисквания, при проектирането и провеждането на тестването, посочено в първа алинея, централните контрагенти по целесъобразност включват като участници:

а) 

клирингови членове и клиенти;

б) 

оперативно съвместими централни контрагенти;

в) 

други заинтересовани страни.

В допълнение към посочените в първата алинея изисквания при проектирането и провеждането на тестването, посочено в първа алинея, централните депозитари на ценни книжа по целесъобразност включват като участници:

а) 

ползватели;

б) 

доставчици на критични комунални услуги и доставчици на критични услуги;

в) 

други централни депозитари на ценни книжа;

г) 

други пазарни инфраструктури;

д) 

всички други институции, по отношение на които централните депозитари на ценни книжа са установили взаимозависимости в политиката си за осигуряване на непрекъснатост на дейността.
EULAW Член 16 3.

Процедурата, посочена в параграф 2, включва извършването на преглед на първичния код, обхващащ статично и динамично тестване. Това тестване включва тестване на сигурността за системи и приложения, изложени на достъп до интернет, в съответствие с член 8, параграф 2, буква б), точки v), vi) и vii). Финансовите субекти:

а) 

установяват и анализират уязвими места и аномалии в първичния код;

б) 

приемат план за действие за отстраняване на тези уязвими места и аномалии;

в) 

наблюдават прилагането на този план за действие.
EULAW Член 16 4.
В посочената в параграф 2 процедура е включено тестване за сигурност на софтуерни пакети не по-късно от етапа на интегриране в съответствие с член 8, параграф 2, буква б), точки v), vi) и vii).
EULAW Член 16 5.

В посочената в параграф 2 процедура се предвижда, че:

а) 

в непродукционните среди се съхраняват само анонимизирани, псевдонимизирани или произволни данни от продукционната среда;

б) 

финансовите субекти трябва да защитават цялостността и поверителността на данните в непродукционните среди.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.