+Environment Risk Mitigation Measures

Environment Risk Mitigation Measures

Put in place measures to mitigate the risk of unintentional alteration or intentional manipulation during development, maintenance, and deployment in production. Protect the integrity and confidentiality of data in non-production environments. Store only anonymized, pseudonymized, or randomized production data. 

Production data that are not anonymized, not pseudonymized or not randomized may be stored only for specific testing occasions, for limited periods of time and following the approval by the relevant function and, for financial entities other than microenterprises, the reporting of such occasions to the ICT
risk management function.

1. Επισκόπηση

1.1 Παραπομπές

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικοί κανονισμοί

2. Εντοπισμένες απαιτήσεις

Απαιτήσεις

3. Σχετικοί κανονισμοί

Κανονισμοί
EULAW Άρθρο 16 1.

Στο πλαίσιο των διασφαλίσεων για τη διατήρηση της διαθεσιμότητας, της γνησιότητας, της ακεραιότητας και της εμπιστευτικότητας των δεδομένων, οι χρηματοοικονομικές οντότητες αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν πολιτική που διέπει την απόκτηση, την ανάπτυξη και τη συντήρηση συστημάτων ΤΠΕ. Η πολιτική αυτή:

α) 

προσδιορίζει πρακτικές ασφαλείας και μεθοδολογίες που σχετίζονται με την απόκτηση, την ανάπτυξη και τη συντήρηση συστημάτων ΤΠΕ·

β) 

απαιτεί τον προσδιορισμό:

i) 

τεχνικών προδιαγραφών και τεχνικών προδιαγραφών των ΤΠΕ, όπως ορίζονται στο άρθρο 2 σημεία 4) και 5) του κανονισμού (ΕΕ) αριθ. 1025/2012·

ii) 

απαιτήσεων σχετικά με την απόκτηση, την ανάπτυξη και τη συντήρηση συστημάτων ΤΠΕ, με ιδιαίτερη έμφαση στις απαιτήσεις ασφάλειας ΤΠΕ και στην έγκρισή τους από τη σχετική επιχειρηματική λειτουργία και τον ιδιοκτήτη πόρων ΤΠΕ σύμφωνα με τις ρυθμίσεις εσωτερικής διακυβέρνησης της χρηματοοικονομικής οντότητας·

γ) 

προσδιορίζει μέτρα για τον μετριασμό του κινδύνου ακούσιας τροποποίησης ή εσκεμμένης χειραγώγησης των συστημάτων ΤΠΕ κατά την ανάπτυξη, τη συντήρηση και την εγκατάσταση των εν λόγω συστημάτων ΤΠΕ στο περιβάλλον παραγωγής.
EULAW Άρθρο 16 2.
Οι χρηματοοικονομικές οντότητες αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν διαδικασία απόκτησης, ανάπτυξης και συντήρησης συστημάτων ΤΠΕ για τις δοκιμές και την έγκριση όλων των συστημάτων ΤΠΕ πριν από τη χρήση τους και μετά τη συντήρησή τους, σύμφωνα με το άρθρο 8 παράγραφος 2 στοιχείο β) σημεία v), vi) και vii). Το επίπεδο των δοκιμών είναι ανάλογο προς την κρισιμότητα των σχετικών επιχειρηματικών διαδικασιών και πόρων ΤΠΕ. Οι δοκιμές σχεδιάζονται έτσι ώστε να επαληθεύεται ότι τα νέα συστήματα ΤΠΕ είναι κατάλληλα να λειτουργούν όπως προβλέπεται, συμπεριλαμβανομένης της ποιότητας του λογισμικού που αναπτύσσεται εσωτερικά.

Οι κεντρικοί αντισυμβαλλόμενοι, πέραν των απαιτήσεων που ορίζονται στο πρώτο εδάφιο, περιλαμβάνουν, κατά περίπτωση, στον σχεδιασμό και στη διεξαγωγή των δοκιμών που αναφέρονται στο πρώτο εδάφιο:

α) 

εκκαθαριστικά μέλη και πελάτες,

β) 

διαλειτουργικούς κεντρικούς αντισυμβαλλομένους,

γ) 

άλλα ενδιαφερόμενα μέρη.

Τα κεντρικά αποθετήρια τίτλων, πέραν των απαιτήσεων που ορίζονται στο πρώτο εδάφιο, περιλαμβάνουν, κατά περίπτωση, στον σχεδιασμό και στη διεξαγωγή των δοκιμών που αναφέρονται στο πρώτο εδάφιο:

α) 

χρήστες,

β) 

παρόχους κρίσιμων υπηρεσιών κοινής ωφέλειας και κρίσιμων υπηρεσιών,

γ) 

άλλα κεντρικά αποθετήρια τίτλων,

δ) 

άλλες υποδομές αγορών,

ε) 

κάθε άλλο ίδρυμα με το οποίο τα κεντρικά αποθετήρια τίτλων έχουν εντοπίσει αλληλεξαρτήσεις στην οικεία πολιτική επιχειρησιακής συνέχειας.
EULAW Άρθρο 16 3.

Η διαδικασία που αναφέρεται στην παράγραφο 2 περιλαμβάνει τις επιδόσεις των επανεξετάσεων πηγαίου κώδικα που καλύπτουν τόσο τις στατικές όσο και τις δυναμικές δοκιμές. Οι εν λόγω δοκιμές περιλαμβάνουν δοκιμές ασφαλείας για τα συστήματα και τις εφαρμογές που είναι εκτεθειμένα στο διαδίκτυο σύμφωνα με το άρθρο 8 παράγραφος 2 στοιχείο β) σημεία v), vi) και vii). Οι χρηματοοικονομικές οντότητες:

α) 

εντοπίζουν και αναλύουν τις ευπάθειες και τις ανωμαλίες του πηγαίου κώδικα·

β) 

εγκρίνουν σχέδιο δράσης για την αντιμετώπιση των εν λόγω ευπαθειών και ανωμαλιών·

γ) 

παρακολουθούν την εφαρμογή του εν λόγω σχεδίου δράσης.
EULAW Άρθρο 16 4.
Η διαδικασία που αναφέρεται στην παράγραφο 2 περιλαμβάνει δοκιμές ασφαλείας των πακέτων λογισμικού το αργότερο κατά τη φάση της ενοποίησης, σύμφωνα με το άρθρο 8 παράγραφος 2 στοιχείο β) σημεία v), vi) και vii).
EULAW Άρθρο 16 5.

Η διαδικασία που αναφέρεται στην παράγραφο 2 προβλέπει ότι:

α) 

τα μη παραγωγικά περιβάλλοντα αποθηκεύουν μόνον ανωνυμοποιημένα, ψευδωνυμοποιημένα ή τυχαιοποιημένα δεδομένα παραγωγής·

β) 

οι χρηματοοικονομικές οντότητες πρέπει να προστατεύουν την ακεραιότητα και την εμπιστευτικότητα των δεδομένων σε μη παραγωγικά περιβάλλοντα.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.