+Source Code Reviews

Source Code Reviews

Conduct source code reviews encompassing static and dynamic testing, for the purpose of acquisition, development and maintenance of ICT-systems. Include security testing for internet-exposed systems. Identify and address vulnerabilities and anomalies in the source code and put in place plans to mitigate them. Monitor mitigation efforts. Implement controls to safeguard the integrity of source code, whether developed in-house or by a third-party service provider. Analyze and test source code and proprietary software provided by third-party service providers or from open-source projects for vulnerabilities.

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede reguleringer

2. Identificerede krav

Krav

3. Relaterede reguleringer

Reguleringer
EULAW Artikel 16 1.

Som led i de sikkerhedsforanstaltninger, der bevarer tilgængeligheden, autenticiteten, integriteten og fortroligheden af data, udvikler, dokumenterer og gennemfører finansielle enheder en politik for anskaffelse, udvikling og vedligeholdelse af IKT-systemer. Denne politik skal:

a) 

identificere sikkerhedspraksis og -metoder i forbindelse med anskaffelse, udvikling og vedligeholdelse af IKT-systemer

b) 

indeholde krav om, at følgende identificeres:

i) 

tekniske specifikationer og IKT-tekniske specifikationer som defineret i artikel 2, nr. 4) og 5), i forordning (EU) nr. 1025/2012

ii) 

krav vedrørende anskaffelse, udvikling og vedligeholdelse af IKT-systemer med særligt fokus på krav til IKT-sikkerhed og godkendelse heraf meddelt af den relevante forretningsfunktion og ejeren af IKT-aktiverne i overensstemmelse med den finansielle enheds interne ledelsesordninger

c) 

præcisere foranstaltninger til at mindske risikoen for utilsigtet ændring eller forsætlig manipulation af IKT-systemer i forbindelse med udviklingen, vedligeholdelsen og ibrugtagningen af disse IKT-systemer i produktionsmiljøet.
EULAW Artikel 16 2.
Finansielle enheder udvikler, dokumenterer og gennemfører en procedure for anskaffelse, udvikling og vedligeholdelse af IKT-systemer med henblik på test og godkendelse af alle IKT-systemer forud for deres anvendelse og efter vedligeholdelse i overensstemmelse med artikel 8, stk. 2, litra b), nr. v), vi) og vii). Testniveauet skal stå i rimeligt forhold til den kritiske betydning af de pågældende forretningsprocedurer og IKT-aktiver. Testen skal udformes med henblik på at efterprøve, om nye IKT-systemer er tilstrækkelige, således at de kan fungere efter hensigten, herunder kvaliteten af den internt udviklede software.

Centrale modparter skal ud over kravene i første afsnit, og alt efter hvad der er relevant, inddrage følgende i udformningen og gennemførelsen af den test, der er omhandlet i første afsnit:

a) 

clearingmedlemmer og kunder

b) 

interoperable centrale modparter

c) 

andre interessenter.

Værdipapircentraler skal ud over kravene i første afsnit, og alt efter hvad der er relevant, inddrage følgende i udformningen og gennemførelsen af den test, der er omhandlet i første afsnit:

a) 

brugere

b) 

udbydere af kritiske hjælpeprogrammer og tjenesteydelser

c) 

andre værdipapircentraler

d) 

andre markedsinfrastrukturer

e) 

andre institutter, med hvilke værdipapircentraler har angivet indbyrdes afhængighed i deres politik for driftsstabilitet.
EULAW Artikel 16 3.

Den i stk. 2 omhandlede procedure skal omfatte resultaterne af gennemgangene af kildekoder, som omfatter både statisk og dynamisk test. Nævnte test skal omfatte sikkerhedstest af interneteksponerede systemer og applikationer i overensstemmelse med artikel 8, stk. 2, litra b), nr. v), vi) og vii). Finansielle enheder skal:

a) 

konstatere og analysere sårbarheder og anomalier i kildekoden

b) 

vedtage en handlingsplan for at afhjælpe disse sårbarheder og anomalier

c) 

overvåge gennemførelsen af denne handlingsplan.
EULAW Artikel 16 4.
Proceduren i stk. 2 skal omfatte sikkerhedstest af softwarepakker senest i integrationsfasen i overensstemmelse med artikel 8, stk. 2, litra b), nr. v), vi) og vii).
EULAW Artikel 16 5.

For proceduren i artikel 2 skal følgende fastsættes.

a) 

ikkeproduktionsmiljøer lagrer kun anonymiserede, pseudonymiserede eller tilfældige produktionsdata

b) 

finansielle enheder skal beskytte integriteten og fortroligheden af data i ikkeproduktionsmiljøer.