+Άρθρο 16 2.

Άρθρο 16 2.

Οι χρηματοοικονομικές οντότητες αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν διαδικασία απόκτησης, ανάπτυξης και συντήρησης συστημάτων ΤΠΕ για τις δοκιμές και την έγκριση όλων των συστημάτων ΤΠΕ πριν από τη χρήση τους και μετά τη συντήρησή τους, σύμφωνα με το άρθρο 8 παράγραφος 2 στοιχείο β) σημεία v), vi) και vii). Το επίπεδο των δοκιμών είναι ανάλογο προς την κρισιμότητα των σχετικών επιχειρηματικών διαδικασιών και πόρων ΤΠΕ. Οι δοκιμές σχεδιάζονται έτσι ώστε να επαληθεύεται ότι τα νέα συστήματα ΤΠΕ είναι κατάλληλα να λειτουργούν όπως προβλέπεται, συμπεριλαμβανομένης της ποιότητας του λογισμικού που αναπτύσσεται εσωτερικά.

Οι κεντρικοί αντισυμβαλλόμενοι, πέραν των απαιτήσεων που ορίζονται στο πρώτο εδάφιο, περιλαμβάνουν, κατά περίπτωση, στον σχεδιασμό και στη διεξαγωγή των δοκιμών που αναφέρονται στο πρώτο εδάφιο:

α) 

εκκαθαριστικά μέλη και πελάτες,

β) 

διαλειτουργικούς κεντρικούς αντισυμβαλλομένους,

γ) 

άλλα ενδιαφερόμενα μέρη.

Τα κεντρικά αποθετήρια τίτλων, πέραν των απαιτήσεων που ορίζονται στο πρώτο εδάφιο, περιλαμβάνουν, κατά περίπτωση, στον σχεδιασμό και στη διεξαγωγή των δοκιμών που αναφέρονται στο πρώτο εδάφιο:

α) 

χρήστες,

β) 

παρόχους κρίσιμων υπηρεσιών κοινής ωφέλειας και κρίσιμων υπηρεσιών,

γ) 

άλλα κεντρικά αποθετήρια τίτλων,

δ) 

άλλες υποδομές αγορών,

ε) 

κάθε άλλο ίδρυμα με το οποίο τα κεντρικά αποθετήρια τίτλων έχουν εντοπίσει αλληλεξαρτήσεις στην οικεία πολιτική επιχειρησιακής συνέχειας.

1. Επισκόπηση

,

1.1 Παραπομπές

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικά πρότυπα

2. Εντοπισμένες απαιτήσεις

Απαιτήσεις

3. Σχετικά πρότυπα

Πρότυπα
NOREA Policy Framework
Establish and maintain a policy governing the acquisition, development, and maintenance of ICT systems. Implement security practices and methodologies throughout the acquisition, development, and maintenance lifecycle. Define functional and non-functional requirements for ICT systems, including security aspects. Obtain approval from relevant business functions and asset owners in accordance with internal governance.
NOREA Environment Risk Mitigation Measures

Put in place measures to mitigate the risk of unintentional alteration or intentional manipulation during development, maintenance, and deployment in production. Protect the integrity and confidentiality of data in non-production environments. Store only anonymized, pseudonymized, or randomized production data. 

Production data that are not anonymized, not pseudonymized or not randomized may be stored only for specific testing occasions, for limited periods of time and following the approval by the relevant function and, for financial entities other than microenterprises, the reporting of such occasions to the ICT
risk management function.
NOREA Systems Testing Procedures
Develop and follow procedures for testing and approval of all ICT systems before use and after maintenance. Determine testing level based on criticality of the business functions and ICT assets. Design and implement testing procedures to verify that new ICT systems are adequate to perform as intended, including the quality of the software developed internally. Perform security testing of software packages no later than the integration phase.
NOREA Source Code Reviews

Conduct source code reviews encompassing static and dynamic testing, for the purpose of acquisition, development and maintenance of ICT-systems. Include security testing for internet-exposed systems. Identify and address vulnerabilities and anomalies in the source code and put in place plans to mitigate them. Monitor mitigation efforts. Implement controls to safeguard the integrity of source code, whether developed in-house or by a third-party service provider. Analyze and test source code and proprietary software provided by third-party service providers or from open-source projects for vulnerabilities.