+Source Code Reviews

Source Code Reviews

Conduct source code reviews encompassing static and dynamic testing, for the purpose of acquisition, development and maintenance of ICT-systems. Include security testing for internet-exposed systems. Identify and address vulnerabilities and anomalies in the source code and put in place plans to mitigate them. Monitor mitigation efforts. Implement controls to safeguard the integrity of source code, whether developed in-house or by a third-party service provider. Analyze and test source code and proprietary software provided by third-party service providers or from open-source projects for vulnerabilities.

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související regulace

2. Identifikované požadavky

Požadavky

3. Související regulace

Regulace
EULAW Článek 16 1.

V rámci ochranných opatření pro zachování dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů finanční subjekty vypracují, zdokumentují a zavedou politiku upravující pořizování, vývoj a údržbu systémů IKT. Tato politika:

a) 

identifikuje bezpečnostní postupy a metodiky týkající se pořizování, vývoje a údržby systémů IKT;

b) 

vyžaduje určení:

i) 

technických specifikací a technických specifikací IKT vymezených v čl. 2 bodech 4 a 5 nařízení (EU) č. 1025/2012;

ii) 

požadavků týkajících se pořizování, vývoje a údržby systémů IKT se zvláštním zaměřením na požadavky na bezpečnost IKT a na jejich schválení příslušnou obchodní funkcí a vlastníkem aktiv v oblasti IKT v souladu s interními pravidly správy a řízení finančního subjektu;

c) 

specifikuje opatření ke zmírnění rizika neúmyslné změny nebo úmyslné manipulace se systémy IKT během vývoje, údržby a spuštění těchto systémů IKT v produkčním prostředí.
EULAW Článek 16 2.
Finanční subjekty vypracují, zdokumentují a zavedou postup pořizování, vývoje a údržby systémů IKT pro účely testování a schvalování všech systémů IKT před jejich použitím a po jejich údržbě v souladu s čl. 8 odst. 2 písm. b) body v), vi) a vii). Úroveň testování musí být úměrná významu příslušných obchodních postupů a aktiv v oblasti IKT. Testování musí být navrženo tak, aby ověřilo, že nové systémy IKT jsou vhodné k tomu, aby fungovaly tak, jak je zamýšleno, a že je zajištěna kvalita interně vyvinutého softwaru.

Ústřední protistrany nad rámec požadavků stanovených v prvním pododstavci podle potřeby zapojí do přípravy a provádění testování uvedeného v prvním pododstavci:

a) 

členy clearingového systému a klienty;

b) 

interoperabilní ústřední protistrany;

c) 

ostatní zúčastněné strany.

Centrální depozitáře cenných papírů nad rámec požadavků stanovených v prvním pododstavci podle potřeby zapojí do přípravy a provádění testování uvedeného v prvním pododstavci:

a) 

uživatele;

b) 

poskytovatele kritické technické infrastruktury a kritických služeb;

c) 

jiné centrální depozitáře cenných papírů;

d) 

jiné tržní infrastruktury;

e) 

všechny ostatní instituce, s nimiž centrální depozitáře cenných papírů ve své politice zachování provozu identifikovaly vzájemné závislosti.
EULAW Článek 16 3.

Postup uvedený v odstavci 2 musí obsahovat provádění revizí zdrojového kódu, jež zahrnují statické i dynamické testování. Toto testování musí zahrnovat bezpečnostní testy systémů a aplikací, které jsou vystaveny vlivům internetu, v souladu s čl. 8 odst. 2 písm. b) body v), vi) a vii). Finanční subjekty:

a) 

identifikují a analyzují zranitelnosti a anomálie ve zdrojovém kódu;

b) 

přijmou akční plán k řešení těchto zranitelností a anomálií;

c) 

sledují provádění tohoto akčního plánu.
EULAW Článek 16 4.
Postup uvedený v odstavci 2 zahrnuje bezpečnostní testování softwarových balíčků nejpozději ve fázi integrace v souladu s čl. 8 odst. 2 písm. b) body v), vi) a vii).
EULAW Článek 16 5.

Postup uvedený v odstavci 2 stanoví, že:

a) 

v neprodukčních prostředích jsou uchovávána pouze anonymizovaná, pseudonymizovaná nebo náhodně vybraná produkční data;

b) 

finanční subjekty mají chránit integritu a důvěrnost dat v neprodukčních prostředích.