56. Las autoridades competentes evaluarán si la entidad cuenta con un marco eficaz para …

Las autoridades competentes evaluarán si la entidad cuenta con un marco eficaz para identificar, entender, medir y mitigar el riesgo de cambio de las TIC de acuerdo con la naturaleza, la escala y la complejidad de las actividades de la entidad y su perfil de riesgo de TIC. El marco de la entidad cubrirá los riesgos asociados con el desarrollo, la prueba y la aprobación de los cambios en los sistemas de TIC, incluyendo el desarrollo o el cambio de software , antes de migrar al entorno de producción y asegurará una gestión adecuada del ciclo de vida de las TIC. Al llevar a cabo esta evaluación, las autoridades competentes tendrán en cuenta, en particular, si el marco contempla:

• a. procesos documentados para gestionar y controlar los cambios en los sistemas de TIC (por ejemplo, configuración y gestión de parches) y en los datos (por ejemplo, corrección de errores o correcciones de datos), que garanticen una implicación adecuada de la función de gestión del riesgo de TIC en aquellos cambios importantes en las TIC que puedan afectar significativamente al perfil de riesgo de TIC o a la exposición al riesgo de la entidad;
• b. especificaciones sobre la necesaria separación de funciones durante las diferentes fases de los procesos de cambio de las TIC llevados a cabo (por ejemplo, diseño y desarrollo de soluciones, pruebas y aprobación de nuevos programas o cambios, migración e implementación en el entorno de producción y corrección de errores), con especial atención a la segregación de tareas y las soluciones implementadas para gestionar y controlar los cambios en los sistemas y datos de producción en materia de TIC por parte del personal de TIC (por ejemplo, desarrolladores, administradores de sistemas de TIC, administradores de bases de datos) o cualquier otra parte implicada (por ejemplo, usuarios de negocio, proveedores de servicios);
• c. entornos de prueba que reflejen adecuadamente los entornos de producción;
• d. un inventario de activos de las aplicaciones y los sistemas de TIC existentes en el entorno de producción, así como en el entorno de prueba y desarrollo, para que los cambios requeridos (por ejemplo, actualizaciones de versiones, parches de sistemas y cambios de configuración) puedan ser gestionados, aplicados y monitorizados de manera adecuada para los sistemas de TIC implicados;
• e. un proceso de seguimiento y gestión del ciclo de vida de los sistemas de TIC utilizados, para garantizar que continúan cumpliendo y dando soporte a las exigencias reales de gestión de riesgos y del negocio y para asegurar que las soluciones y sistemas de TIC utilizados siguen recibiendo soporte de sus proveedores, y que todo ello viene acompañado de procedimientos adecuados de ciclo de vida de desarrollo de software (SDLC).
• f. un sistema de control de código fuente de software y procedimientos apropiados para prevenir cambios no autorizados en el código fuente del software que se desarrolle a nivel interno;
• g. un proceso para llevar a cabo un análisis de seguridad y vulnerabilidad de sistemas y software de TIC modificados y nuevos, antes de ponerlos en producción y exponerlos a posibles ciberataques;
• h. un proceso y soluciones para prevenir la divulgación no autorizada o no deseada de datos confidenciales, al reemplazar, archivar, descartar o destruir sistemas de TIC;
• i. un proceso independiente de revisión y validación para reducir los riesgos de errores humanos al realizar cambios en los sistemas de TIC que puedan tener un efecto negativo importante en la disponibilidad, continuidad o seguridad de la entidad (por ejemplo, cambios importantes en la configuración de los cortafuegos).
• (d) Controles para la gestión de los riesgos materiales de integridad de datos TIC

1. Resumen

1.1 Referencias

1.2 Requisitos identificados

1.3 Estándares relacionados

2. Requisitos identificados

3. Estándares relacionados

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/