56. Die zuständigen Behörden sollten bewerten, ob das Institut über einen wirksamen Rahmen für die …

Die zuständigen Behörden sollten bewerten, ob das Institut über einen wirksamen Rahmen für die Ermittlung, das Verständnis, die Messung und die Minderung des IKT-Änderungsrisikos verfügt, das der Art, dem Umfang und der Komplexität der Tätigkeiten des Instituts und dem IKT-Risikoprofil des Instituts angemessen ist. Der Rahmen des Instituts sollte die Risiken umfassen, die mit der Entwicklung, dem Testen und der Genehmigung von Änderungen der IKT-Systeme verbunden sind, einschließlich der Entwicklung oder Änderung von Software, bevor sie in die Produktionsumgebung migriert werden, und ein angemessenes IKT-Lebenszyklusmanagement gewährleisten. Bei dieser Bewertung sollten die zuständigen Behörden insbesondere prüfen, ob der Rahmen Folgendes berücksichtigt:

• a. dokumentierte Prozesse zur Verwaltung und Kontrolle von Änderungen an IKT-Systemen (z. B. Konfigurations- und Patch-Management) und Daten (z. B. Fehlerbehebung oder Datenkorrekturen), um eine angemessene Einbindung des IKT-Risikomanagements für wichtige IKT-Änderungen zu gewährleisten, die das Risikoprofil oder die Risikoposition des Instituts erheblich beeinträchtigen können;
• b. Spezifikationen im Hinblick auf die erforderliche Aufgabentrennung in den verschiedenen Phasen der implementierten IKT-Änderungsprozesse (z. B. Lösungskonzept und -entwicklung, Prüfung und Genehmigung neuer Software und/oder Änderungen, Migration und Implementierung in der Produktionsumgebung und Fehlerbehebung) mit Schwerpunkt auf den implementierten Lösungen und der Aufgabentrennung in Verwaltung und Kontrolle von Änderungen an den IKT-Produktionssystemen und -daten durch IKT-Mitarbeiter (z. B. Entwickler, IKT-Systemadministratoren, Datenbankadministratoren) oder eine andere Partei (z. B. geschäftliche Nutzer, Dienstanbieter);
• c. Testumgebungen, die die Produktionsumgebungen angemessen widerspiegeln;
• d. ein Asset-Inventar der bestehenden Anwendungen und IKT-Systeme in der Produktionsumgebung sowie die Test- und Entwicklungsumgebung, so dass erforderliche Änderungen (z. B. Versions-Updates oder -Upgrades, System-Patching, Konfigurationsänderungen) für die beteiligten IKT-Systeme ordnungsgemäß verwaltet, implementiert und überwacht werden können.
• e. ein Prozess für Lebenszyklusmanagement und -überwachung der verwendeten IKT-Systeme, um sicherzustellen, dass sie weiterhin die tatsächlichen Anforderungen an das Geschäfts- und Risikomanagement erfüllen und unterstützen und dafür sorgen, dass die verwendeten IKT-Lösungen und -Systeme weiterhin von ihren Anbietern unterstützt werden; und dass dies mit angemessenen Prozessen zum Softwareentwicklungs-Lebenszyklus einhergeht.
• f. ein Software-Quellcode-Kontrollsystem und entsprechende Verfahren zur Verhütung unbefugter Änderungen im Quellcode der intern entwickelten Software;
• g. ein Prozess zur Durchführung eines Sicherheits- und Sicherheitslücken-Screenings von neuen oder erheblich modifizierten IKT-Systemen und Software, bevor sie zur Produktion freigegeben und möglichen Cyber-Angriffen ausgesetzt werden;
• h. ein Prozess und Lösungen zur Verhinderung der unbefugten oder unbeabsichtigten Freigabe vertraulicher Daten beim Austausch, Archivieren, Entsorgen oder Vernichten von IKT-Systemen;
• i. ein unabhängiger Überprüfungs- und Validierungsprozess zur Reduzierung der Risiken in Bezug auf menschliche Fehler bei der Durchführung von Änderungen an den IKT-Systemen, die erhebliche nachteilige Auswirkungen auf die Verfügbarkeit, Kontinuität oder Sicherheit des Instituts (z. B. wichtige Änderungen an der Firewall-Konfiguration) oder auf die Sicherheit des Instituts (z. B. Änderungen an den Firewalls) haben können.
• (d) Kontrollen für den Umgang mit erheblichen IKT-Datenintegritätsrisiken

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Standards

2. Identifizierte Anforderungen

3. Zugehörige Standards

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/