+OTAP Implementation

OTAP Implementation

Ensure segregation of production environments from development, testing, and other non-production environments, encompassing all components of an environment. This also includes requirements to conduct the development and testing in production environments. Ensure that the instances in which testing is performed in production environment are clearly identified, justified, for limited periods of time approved by the relevant function.

1. Ülevaade

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud regulatsioonid

2. Tuvastatud nõuded

Nõuded

3. Seotud regulatsioonid

Regulatsioonid
EULAW Artikkel 8 1.
Finantssektori ettevõtjad töötavad määruse (EL) 2022/2554 artikli 9 lõikes 2 osutatud IKT turvalisuse põhimõtete, menetluste, protokollide ja vahendite osana välja ja dokumenteerivad IKT-toimingute haldamise põhimõtted ja menetlused ning rakendavad neid. Neis põhimõtetes ja menetlustes määratakse kindlaks, kuidas finantssektori ettevõtjad käitavad, seiravad, kontrollivad ja taastavad oma IKT-varasid, sealhulgas IKT-toimingute dokumenteerimine.
EULAW Artikkel 8 2.

IKT-toimingute põhimõtted ja menetlused, millele on osutatud lõikes 1, peavad hõlmama kõike järgmist:

a) 

IKT-varade kirjeldus, sealhulgas kõik järgmine:

i) 

IKT-süsteemide turvalise paigaldamise, hooldamise, konfigureerimise ja eemaldamise nõuded,

ii) 

IKT-varade kasutatavate teabevarade haldamise, sealhulgas nende automatiseeritud ja käsitsi töötlemise ja käsitsemise nõuded,

iii) 

IKT pärandsüsteemide kindlakstegemise ja kontrollimise nõuded;

b) 

IKT-süsteemide kontroll ja seire, sealhulgas kõik järgmine:

i) 

IKT-süsteemide varundamise ja taastamise nõuded,

ii) 

ajakava koostamise nõuded, kus on arvesse võetud IKT-süsteemide vastastikust sõltuvust,

iii) 

kontrolljälje ja süsteemi logiteabe protokollid,

iv) 

nõuded, millega tagatakse, et siseauditite ja muu testimise puhul minimeeritakse häired äritegevuses,

v) 

nõuded, mis käsitlevad IKT tootmise keskkondade lahus hoidmist arendamis-, testimis- ja muudest tootmisega mitteseotud keskkondadest,

vi) 

nõuded arendustegevuseks ja testimiseks tootmiskeskkonnast eraldatud keskkonnas,

vii) 

nõuded arendustegevuseks ja testimiseks tootmiskeskkonnas;

c) 

IKT-süsteemide vigade käsitlemine, sealhulgas kõik järgmine:

i) 

vigade käsitlemise menetlused ja protokollid,

ii) 

tugi- ja eskalatsioonikontaktid, sealhulgas välised tugikontaktid ootamatute tegevus- või tehniliste probleemide puhuks,

iii) 

IKT-süsteemide taaskäivitamise, tagasikerimise ja taastamise menetlused IKT-süsteemide häirete puhuks.

Punkti b alapunkti v kohaldamisel peab lahus hoidmise nõue kehtima kõikide asjaomaste keskkondade komponentide, sealhulgas arvepidamise, andmete ja ühenduste suhtes, nagu on ette nähtud artikli 13 lõike 1 punktiga a.

Punkti b alapunkti vii kohaldamisel nähakse lõikes 1 osutatud põhimõtetes ja menetlustes ette, et juhud, mil testimine toimub tootmiskeskkonnas, peavad olema selgelt määratletud, põhjendatud ja ajaliselt piiratud ning asjaomase funktsiooni täitja peab olema need vastavalt artikli 16 lõikele 6 heaks kiitnud. Finantssektori ettevõtjad tagavad tootmiskeskkonnas toimuva arendustegevuse ja testimise ajal IKT-süsteemide ja tootmisandmete kättesaadavuse, konfidentsiaalsuse, tervikluse ja autentsuse.
EULAW Artikkel 17 1.

Finantssektori ettevõtjad lisavad andmete kättesaadavuse, autentsuse, tervikluse ja konfidentsiaalsuse säilitamiseks kehtestatavate kaitsemeetmete osana IKT-muudatuste juhtimisse määruse (EL) 2022/2554 artikli 9 lõike 4 punktis e osutatud menetlused kõigi tarkvaras, riistvaras, püsivara komponentides, süsteemides või turvaparameetrites tehtavate muudatuste jaoks kõik järgmise:

a) 

IKT turvanõuete täitmise kontrollimine;

b) 

mehhanismid, millega tagatakse muudatuste heakskiitjate ning nende muudatuste taotlejate ja rakendajate sõltumatus;

c) 

rollide ja vastutusvaldkondade selge kirjeldus, kandmaks hoolt selle eest, et

i) 

muudatused määratakse täpselt kindlaks ja kavandatakse,

ii) 

kavandatakse asjakohane üleminek,

iii) 

muudatusi testitakse ja viimistletakse kontrollitud viisil;

iv) 

toimub tõhus kvaliteedi tagamine;

d) 

muudatuse üksikasjade dokumenteerimine ja edastamine, mis hõlmab

i) 

muudatuse eesmärki ja ulatust,

ii) 

muudatuse rakendamise ajakava,

iii) 

oodatavaid tulemusi;

e) 

varumenetlused ja vastutusvaldkonnad, sealhulgas menetlused ja vastutusvaldkonnad muudatuse tegemisest loobumise puhuks või taastumiseks muudatustest, mille rakendamine ebaõnnestus;

f) 

hädaolukorras tehtavate muudatuste haldamise menetlused, protokollid ja vahendid, millega tagatakse piisavad kaitsemeetmed;

g) 

menetlused hädaolukorras tehtavate muudatuste dokumenteerimiseks, ümberhindamiseks, hindamiseks ja heakskiitmiseks pärast nende rakendamist, sealhulgas hädalahendused ja paigad;

h) 

muudatusest olemasolevatele IKT-turvameetmetele tuleneva võimaliku mõju kindlakstegemine ning muudatuse tõttu täiendavate IKT-turvameetmete võtmise vajaduse hindamine.
EULAW Artikkel 17 2.
Kesksed vastaspooled ja väärtpaberite keskdepositooriumid testivad pärast seda, kui nad on teinud oma IKT-süsteemidesse olulisi muudatusi, oma IKT-süsteeme rangelt, simuleerides stressiolukorda.

Kesksed vastaspooled kaasavad vajaduse korral esimeses lõigus osutatud testimise kavandamisse ja elluviimisesse

a) 

kliirivaid liikmeid ja kliente;

b) 

koostalitlusvõimelisi keskseid vastaspooli;

c) 

teisi huvitatud isikuid.

Väärtpaberite keskdepositooriumid kaasavad vajaduse korral esimeses lõigus osutatud testimise kavandamisse ja elluviimisesse

a) 

kasutajaid;

b) 

kriitilise tähtsusega teenuste osutajaid;

c) 

muid väärtpaberite keskdepositooriume;

d) 

muid turutaristuid;

e) 

mis tahes muid asutusi, kellega väärtpaberite keskdepositooriumil on IKT talitluspidevuse põhimõtete kohaselt kindlaks tehtud vastastikune sõltuvus.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.