56. Příslušné orgány by měly posoudit, zda má instituce efektivní rámec pro identifikaci, chápání …

Příslušné orgány by měly posoudit, zda má instituce efektivní rámec pro identifikaci, chápání, měření a snižování rizika spojená se změnou IKT, který je úměrný povaze, rozsahu a složitosti činností instituce a jejímu rizikovému profilu IKT. Rámec instituce by měl zahrnovat rizika spojená s vývojem, testováním a schvalováním změn systémů IKT, včetně vývoje nebo změny softwaru, a to před jejich přenesením do produkčního prostředí, s cílem zajistit řádné řízení životního cyklu IKT. V tomto hodnocení by příslušné orgány měly zejména zohlednit, zda daný rámec bere v potaz:

• a. zdokumentované procesy řízení a kontroly změn systémů IKT (např. správa konfigurace a aktualizací) a dat (např. opravy chyb nebo dat), které zajišťují odpovídající zahrnutí řízení rizik IKT do důležitých změn IKT, které by mohly mít významný dopad na rizikový profil nebo expozici instituce;
• b. specifikace týkající se nezbytného oddělení povinností v různých etapách prováděných procesů změn IKT (např. koncepce a vývoj řešení, testování a schvalování nového softwaru a/nebo změn, přenos a realizace v produkčním prostředí a opravy chyb) s důrazem na prováděná řešení a oddělení povinností při řízení a kontrole změn produkčních systémů a dat IKT pracovníky IKT (např. vývojáři, administrátory systémů IKT, administrátory databází) nebo jinou stranou (např. podnikovými uživateli, poskytovateli služeb);
• c. zkušební prostředí, které patřičně odráží prostředí produkční;
• d. inventář aktiv stávajících aplikací a systémů IKT v produkčním a také ve zkušebním a vývojovém prostředí, aby bylo možné potřebné změny (např. aktualizace nebo povýšení na nové verze, systémové aktualizace, změny konfigurace) dotčených systémů IKT řádně řídit, provádět a monitorovat;
• e. proces monitorování a řízení životního cyklu používaných systémů IKT, který zajistí, aby tyto systémy nadále splňovaly a podporovaly současné požadavky v oblasti řízení podnikání a rizik a prověří, zda prodejci používaných řešení a systémů IKT k nim stále ještě poskytují podporu; a zda tento proces doplňují odpovídajícími postupy životního cyklu vývoje softwaru (SDLC);
• f. systém a vhodné postupy na kontrolu zdrojového kódu, jež brání neoprávněným změnám v e zdrojovém kódu interně vyvíjeného softwaru;
• g. proces provádění detekce a kontroly zabezpečení a slabin nových nebo podstatně změněných systémů a softwaru, než jsou uvolněny do produkce a vystaveny možným kybernetickým útokům;
• h. proces a řešení bránící neoprávněnému nebo neúmyslnému zveřejnění důvěrných dat během výměny, archivace, mazání nebo likvidace systémů IKT;
• i. proces nezávislého přezkoumání a validace, který snižuje riziko lidského pochybení při provádění změn systémů IKT, jež by mohlo mít značný nepříznivý dopad na dostupnost, kontinuitu nebo zabezpečení instituce (např. důležité změny konfigurace firewallu) nebo na zabezpečení instituce (např. změny firewallů).
• (d) Kontrolní mechanismy pro řízení podstatných rizik ohrožení integrity dat IKT

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

3. Související standardy

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/