56. Οι αρμόδιες αρχές θα πρέπει να αξιολογούν εάν το ίδρυμα εφαρμόζει αποτελεσματικό πλαίσιο για …

Οι αρμόδιες αρχές θα πρέπει να αξιολογούν εάν το ίδρυμα εφαρμόζει αποτελεσματικό πλαίσιο για τον προσδιορισμό, την κατανόηση, τη μέτρηση και τον μετριασμό του κινδύνου αλλαγών των ΤΠΕ, ανάλογο της φύσης, της κλίμακας και της πολυπλοκότητας των δραστηριοτήτων του ιδρύματος και του προφίλ κινδύνου ΤΠΕ του ιδρύματος. Το πλαίσιο του ιδρύματος θα πρέπει να καλύπτει τους κινδύνους που σχετίζονται με την ανάπτυξη, τη δοκιμή και την έγκριση αλλαγών στα συστήματα ΤΠΕ, συμπεριλαμβανομένης της ανάπτυξης ή της αλλαγής λογισμικού, πριν από τη μεταφορά τους σε περιβάλλον παραγωγής, και να εξασφαλίζει κατάλληλη διαχείριση των κύκλου ζωής των ΤΠΕ. Για την εν λόγω αξιολόγηση, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν υπόψη ιδιαιτέρως εάν το πλαίσιο λαμβάνει υπόψη:

• α. τεκμηριωμένες διαδικασίες για τη διαχείριση και τον έλεγχο αλλαγών σε συστήματα ΤΠΕ (π.χ. διαμόρφωση και διαχείριση πρόχειρων διορθώσεων) και δεδομένα ΤΠΕ (π.χ. διόρθωση σφαλμάτων προγραμματισμού ή διορθώσεις δεδομένων), οι οποίες εξασφαλίζουν την επαρκή διαχείριση των κινδύνων ΤΠΕ σε περίπτωση σημαντικών αλλαγών ΤΠΕ που μπορεί να επηρεάσουν σημαντικά το προφίλ κινδύνου του ιδρύματος ή την έκθεσή του στον κίνδυνο·
• β. προδιαγραφές σχετικά με τον απαιτούμενο διαχωρισμό καθηκόντων κατά τα διάφορα στάδια των εφαρμοζόμενων διαδικασιών αλλαγής των ΤΠΕ (π.χ. σχεδιασμός και ανάπτυξη λύσεων, δοκιμή και έγκριση νέου λογισμικού και/ή αλλαγών, μεταφορά και εφαρμογή στο περιβάλλον παραγωγής και διόρθωση σφαλμάτων προγραμματισμού), με έμφαση στις εφαρμοζόμενες λύσεις και τον διαχωρισμό καθηκόντων για τη διαχείριση και τον έλεγχο αλλαγών στα συστήματα και τα δεδομένα ΤΠΕ παραγωγής από το προσωπικό ΤΠΕ (π.χ. σχεδιαστές, διαχειριστές συστημάτων ΤΠΕ, διαχειριστές βάσεων δεδομένων) ή οποιοδήποτε άλλο μέρος (π.χ. επαγγελματικούς χρήστες, παρόχους υπηρεσιών)·
• γ. περιβάλλοντα δοκιμής που αποτυπώνουν επαρκώς τα περιβάλλοντα παραγωγής·
• δ. κατάλογο των υφιστάμενων εφαρμογών και συστημάτων ΤΠΕ στο περιβάλλον παραγωγής, καθώς και το περιβάλλον δοκιμής και ανάπτυξης, ώστε να είναι δυνατή η κατάλληλη διαχείριση, εφαρμογή και παρακολούθηση των απαιτούμενων αλλαγών (π.χ. ενημερώσεων εκδόσεων ή αναβαθμίσεων, πρόχειρων διορθώσεων συστημάτων, αλλαγών διαμόρφωσης) για τα εμπλεκόμενα συστήματα ΤΠΕ·
• ε. διαδικασία παρακολούθησης και διαχείρισης του κύκλου ζωής των χρησιμοποιούμενων συστημάτων ΤΠΕ, ώστε να εξασφαλίζεται ότι εξακολουθούν να πληρούν και να υποστηρίζουν τις πραγματικές απαιτήσεις διαχείρισης δραστηριοτήτων και κινδύνων. Επίσης πρέπει να διασφαλίζεται ότι οι λύσεις και τα συστήματα ΤΠΕ που χρησιμοποιούνται εξακολουθούν να υποστηρίζονται από τους προμηθευτές τους και ότι η εν λόγω υποστήριξη συνοδεύεται από κατάλληλες διαδικασίες κύκλου ζωής ανάπτυξης λογισμικού (SDLC)·

στ. σύστημα ελέγχου του πηγαίου κώδικα λογισμικού και κατάλληλες διαδικασίες για την πρόληψη μη εξουσιοδοτημένων αλλαγών στον πηγαίο κώδικα λογισμικού που αναπτύσσεται εσωτερικά·

• ζ. διαδικασία διεξαγωγής ελέγχου ασφάλειας και τρωτότητας νέων ή σημαντικά τροποποιημένων συστημάτων ΤΠΕ και λογισμικού, πριν την έγκρισή τους για παραγωγή και την έκθεσή τους σε πιθανές κυβερνοεπιθέσεις·
• η. διαδικασία και λύσεις για την πρόληψη της μη εξουσιοδοτημένης ή ακούσιας κοινολόγησης εμπιστευτικών δεδομένων, κατά την αντικατάσταση, αρχειοθέτηση, απόρριψη ή καταστροφή συστημάτων ΤΠΕ·
• θ. ανεξάρτητο έλεγχο και διαδικασίες επικύρωσης για τη μείωση των κινδύνων πρόκλησης ανθρώπινων σφαλμάτων κατά την πραγματοποίηση αλλαγών στα συστήματα ΤΠΕ που μπορεί να έχουν σοβαρές δυσμενείς επιπτώσεις στη διαθεσιμότητα, τη συνέχεια ή την ασφάλεια του ιδρύματος (π.χ. σημαντικές αλλαγές στη διαμόρφωση του τείχους προστασίας) ή στην ασφάλεια του ιδρύματος (π.χ. αλλαγές στα τείχη προστασίας).
• (δ) Έλεγχοι για τη διαχείριση ουσιωδών κινδύνων ακεραιότητας δεδομένων ΤΠΕ

1. Επισκόπηση

1.1 Παραπομπές

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικά πρότυπα

2. Εντοπισμένες απαιτήσεις

3. Σχετικά πρότυπα

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/