56. De kompetente myndigheder bør vurdere, om instituttet har effektive rammer på plads til at …

De kompetente myndigheder bør vurdere, om instituttet har effektive rammer på plads til at identificere, forstå, måle og mindske IKT-ændringsrisici, som står i forhold til arten, omfanget og kompleksiteten af instituttets aktiviteter og instituttets IKT-risikoprofil. Instituttets rammer bør omfatte risici forbundet med udvikling, test og godkendelse af IKT-systemændringer, herunder udvikling eller ændring af software, inden de migreres til produktionsmiljøet samt sikre en passende styring af IKT-livscyklussen. De kompetente myndigheder bør i forbindelse med denne vurdering navnlig tage hensyn til, om rammerne tager højde for:

• a. dokumenterede processer for forvaltning og kontrol af ændringer til IKT-systemer (f.eks. konfiguration og patchstyring) og data (f.eks. fejlretning eller datarettelser), sikring af passende inddragelse af IKT-risikostyringsfunktionen i forbindelse med vigtige IKT-ændringer, som kan påvirke instituttets risikoprofil og -eksponering
• b. specifikationer vedrørende funktionsadskillelse (”segregation of duties”, SoD) i de forskellige faser af de implementerede IKT-ændringsprocesser (f.eks. udformning og udvikling af løsninger, test og godkendelse af ny software og/eller ændringer, migration og implementering i produktionsmiljøet og fejlretning) med fokus på de implementerede løsninger og funktionsadskillelse til styring og kontrol af ændringer i produktions-IKT-systemer og -data for IKT-medarbejdere (f.eks. udviklere, IKT-systemadministratorer, databaseadministratorer) eller andre parter (f.eks. brugere, leverandører)
• c. testmiljøer, der på passende vis afspejler produktionsmiljøet
• d. en fortegnelse over eksisterende applikationer og IKT-systemer i produktionsmiljøet samt test- og udviklingsmiljøet, så de pågældende ændringer (f.eks. versionsopdateringer eller opgraderinger, systemrettelser, konfigurationsændringer) kan styres, gennemføres og overvåges rigtigt for de involverede IKT-systemer
• e. en proces til overvågning og styring af IKT-systemers livscyklus for at sikre, at de fortsat opfylder og støtter de faktiske forretnings- og risikostyringskrav, og for at sikre, at de anvendte IKT-løsninger og -systemer fortsat støttes af leverandøren, og at dette ledsages af passende procedurer til softwareudviklingscyklussen (SDLC)
• f. kontrol af softwarekildekode og passende procedurer til at forebygge uautoriserede ændringer i kildekoden til software som udvikles internt
• g. en proces for sikkerheds- og sårbarhedsscreening af nye eller væsentlige ændrede IKT-systemer og -software, inden de frigives til produktion og eksponeres for mulige cyberangreb
• h. en proces og løsninger, der forebygger uautoriseret eller utilsigtet frigivelse af fortrolige oplysninger ved udskiftning, arkivering, kassering eller ødelæggelse af IKT-systemer
• i. en uafhængig gennemgangs- og valideringsproces, der skal mindske risikoen for menneskelige fejl, når der foretages ændringer til IKT-systemerne, som kan have en stor negativ indvirkning på instituttets tilgængelighed, kontinuitet eller sikkerhed (f.eks. vigtige ændringer til firewallkonfigurationen) eller instituttets sikkerhed (f.eks. ændringer til firewalls).
• d) Kontrol til styring af væsentlige IKT-dataintegritetsrisici

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede standarder

2. Identificerede krav

3. Relaterede standarder

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/