56. De kompetente myndigheder bør vurdere, om instituttet har effektive rammer på plads til at …

De kompetente myndigheder bør vurdere, om instituttet har effektive rammer på plads til at identificere, forstå, måle og mindske IKT-ændringsrisici, som står i forhold til arten, omfanget og kompleksiteten af instituttets aktiviteter og instituttets IKT-risikoprofil. Instituttets rammer bør omfatte risici forbundet med udvikling, test og godkendelse af IKT-systemændringer, herunder udvikling eller ændring af software, inden de migreres til produktionsmiljøet samt sikre en passende styring af IKT-livscyklussen. De kompetente myndigheder bør i forbindelse med denne vurdering navnlig tage hensyn til, om rammerne tager højde for:

• a. dokumenterede processer for forvaltning og kontrol af ændringer til IKT-systemer (f.eks. konfiguration og patchstyring) og data (f.eks. fejlretning eller datarettelser), sikring af passende inddragelse af IKT-risikostyringsfunktionen i forbindelse med vigtige IKT-ændringer, som kan påvirke instituttets risikoprofil og -eksponering
• b. specifikationer vedrørende funktionsadskillelse (”segregation of duties”, SoD) i de forskellige faser af de implementerede IKT-ændringsprocesser (f.eks. udformning og udvikling af løsninger, test og godkendelse af ny software og/eller ændringer, migration og implementering i produktionsmiljøet og fejlretning) med fokus på de implementerede løsninger og funktionsadskillelse til styring og kontrol af ændringer i produktions-IKT-systemer og -data for IKT-medarbejdere (f.eks. udviklere, IKT-systemadministratorer, databaseadministratorer) eller andre parter (f.eks. brugere, leverandører)
• c. testmiljøer, der på passende vis afspejler produktionsmiljøet
• d. en fortegnelse over eksisterende applikationer og IKT-systemer i produktionsmiljøet samt test- og udviklingsmiljøet, så de pågældende ændringer (f.eks. versionsopdateringer eller opgraderinger, systemrettelser, konfigurationsændringer) kan styres, gennemføres og overvåges rigtigt for de involverede IKT-systemer
• e. en proces til overvågning og styring af IKT-systemers livscyklus for at sikre, at de fortsat opfylder og støtter de faktiske forretnings- og risikostyringskrav, og for at sikre, at de anvendte IKT-løsninger og -systemer fortsat støttes af leverandøren, og at dette ledsages af passende procedurer til softwareudviklingscyklussen (SDLC)
• f. kontrol af softwarekildekode og passende procedurer til at forebygge uautoriserede ændringer i kildekoden til software som udvikles internt
• g. en proces for sikkerheds- og sårbarhedsscreening af nye eller væsentlige ændrede IKT-systemer og -software, inden de frigives til produktion og eksponeres for mulige cyberangreb
• h. en proces og løsninger, der forebygger uautoriseret eller utilsigtet frigivelse af fortrolige oplysninger ved udskiftning, arkivering, kassering eller ødelæggelse af IKT-systemer
• i. en uafhængig gennemgangs- og valideringsproces, der skal mindske risikoen for menneskelige fejl, når der foretages ændringer til IKT-systemerne, som kan have en stor negativ indvirkning på instituttets tilgængelighed, kontinuitet eller sikkerhed (f.eks. vigtige ændringer til firewallkonfigurationen) eller instituttets sikkerhed (f.eks. ændringer til firewalls).
• d) Kontrol til styring af væsentlige IKT-dataintegritetsrisici

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede standarder

2. Identificerede krav

3. Relaterede standarder

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.