56. Компетентните органи следва да оценят дали институцията има създадена ефективна рамка за …

Компетентните органи следва да оценят дали институцията има създадена ефективна рамка за идентифициране, разбиране, измерване и редуциране на риска от промени на ИКТ, съответстваща на естеството, мащаба и сложността на дейностите на институцията и рисковия профил на ИКТ на институцията. Рамката на институцията трябва да обхваща рисковете, свързани с разработването, тестването и одобряването на промени в ИКТ системите, включително разработката или промяната на софтуера, преди да бъдат мигрирани към производствената среда, и да осигури адекватно управление на жизнения цикъл на ИКТ. За тази оценка компетентните органи следва по - специално да вземат предвид дали рамката включва:

• а) документирани процедури за управление и контрол на промените в ИКТ системите (напр. конфигуриране и управление на софтуерните корекции) и данните (напр. отстраняване на грешки или корекции на данни), осигуряване на адекватно участие на управлението на рисковете за ИКТ при важни промени в ИКТ, които могат да окажат значително въздействие върху рисковия профил или експозиция на институцията;
• б) спецификации по отношение на необходимото разпределение на отговорностите по време на различните етапи на процесите на промяна в областта на ИКТ (напр. проектиране и разработване на решения, тестване и одобрение на нов софтуер и/или промени, миграция и внедряване в производствената среда, както и коригиране на софтуерни дефекти), с акцент върху прилаганите решения и разпределение на отговорностите за управление и контрол на промените в системите за производство и данните за ИКТ от страна на персонала в областта на ИКТ (напр. разработчици, системни администратори на ИКТ, администратори на бази данни) или всяка друга страна (напр. бизнес потребители, доставчици на услуги);
• в) тестови среди, които отразяват по подходящ начин производствените среди;
• г) опис на активите, свързани със съществуващите приложения и ИКТ системи в производствената среда, както и средата за тестване и развитие, така че необходимите промени (напр. актуализиране или осъвременяване на версията, корекции на системи, промени в конфигурацията) да бъдат адекватно управлявани, прилагани и наблюдавани по отношение на включените ИКТ системи;
• д) процес за наблюдение и управление на жизнения цикъл на използваните ИКТ системи, гарантиращ, че те продължават да отговарят на действителните изисквания на бизнеса и на управлението на риска, както и че използваните ИКТ решения и системи все още се поддържат от техните доставчици; и че това е придружено от адекватни процедури за разработване по време на жизнения цикъл на софтуера (SDLC);
• е) система за контрол на изходния код на софтуера и подходящи процедури, които предотвратяват неразрешени промени в изходния код на софтуера, разработен в самата организация;
• ж) процес за провеждане на скрининг на сигурността и уязвимостите на нови или съществено променени ИКТ системи и софтуер, преди да бъдат пуснати в производство и да бъдат изложени на евентуални кибератаки;
• з) процес и решения за предотвратяване на неразрешено или непреднамерено разкриване на поверителни данни при замяна, архивиране, преустановяване на ползването или унищожаване на ИКТ системи;
• и) независими процеси за преглед и валидиране за намаляване на рисковете от човешки грешки при извършване на промени в ИКТ системи, които могат да имат значителен неблагоприятен ефект върху достъпа, непрекъсваемостта или сигурността на институцията (напр. важни промени в конфигурацията на защитната стена), или в сигурността на институцията (напр. промени в защитните стени).

Г) Контролни механизми за управление на съществените рискове за целостта на ИКТ данните

1. Преглед

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани стандарти

2. Идентифицирани изисквания

3. Свързани стандарти

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/