+Policy Framework

Policy Framework

Establish and maintain a policy governing the acquisition, development, and maintenance of ICT systems. Implement security practices and methodologies throughout the acquisition, development, and maintenance lifecycle. Define functional and non-functional requirements for ICT systems, including security aspects. Obtain approval from relevant business functions and asset owners in accordance with internal governance.

1. Ülevaade

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud regulatsioonid

2. Tuvastatud nõuded

Nõuded

3. Seotud regulatsioonid

Regulatsioonid
EULAW Artikkel 16 1.

Finantssektori ettevõtjad töötavad andmete kättesaadavuse, autentsuse, tervikluse ja konfidentsiaalsuse säilitamiseks kehtestatavate kaitsemeetmete osana välja ja dokumenteerivad IKT-süsteemide soetamise, arendamise ja hooldamise põhimõtted ning rakendavad neid. Neis põhimõtetes

a) 

määratakse kindlaks IKT-süsteemide soetamise, arendamise ja hooldamisega seotud turbetavad ja metoodika;

b) 

sätestatakse kohustus määrata kindlaks

i) 

määruse (EL) nr 1025/2012 artikli 2 punktides 4 ja 5 määratletud tehniline spetsifikatsioon ja IKT tehniline spetsifikatsioon,

ii) 

IKT-süsteemide soetamise, arendamise ja hooldamisega seotud nõuded, pöörates erilist tähelepanu IKT turvanõuetele ja nende heakskiitmisele asjaomase ärifunktsiooni täitja ja IKT-vara omaniku poolt kooskõlas finantssektori ettevõtja sisemise juhtimiskorraga;

c) 

määratakse kindlaks meetmed eesmärgiga maandada riski, et IKT-süsteeme nende arendamise või hooldamise või tootmiskeskkonnas kasutuselevõtu ajal tahtmatult muudetakse või et nendega sel ajal tahtlikult manipuleeritakse.
EULAW Artikkel 16 2.
Finantssektori ettevõtjad töötavad välja, dokumenteerivad ja rakendavad IKT-süsteemide soetamise, arendamise ja hooldamise menetlused, et testida artikli 8 lõike 2 punkti b alapunktide v, vi ja vii kohaselt kõiki IKT-süsteeme ja need heaks kiita enne nende kasutamist ja pärast nende hooldamist. Testimise tase peab olema vastavuses asjaomaste äriprotsesside ja IKT-varade kriitilise tähtsusega. Testimine tuleb kavandada nii, et selle käigus tehakse kindlaks, kas uued IKT-süsteemid on ettenähtud viisil kasutamiseks piisavad, ja kontrollitakse ettevõttes arendatud tarkvara kvaliteeti.

Lisaks esimeses lõigus sätestatud nõuete täitmisele kaasavad kesksed vastaspooled vajaduse korral esimeses lõigus osutatud testimise kavandamisse ja elluviimisesse

a) 

kliirivaid liikmeid ja kliente;

b) 

koostalitlusvõimelisi keskseid vastaspooli;

c) 

teisi huvitatud isikuid.

Lisaks esimeses lõigus sätestatud nõuete täitmisele kaasavad väärtpaberite keskdepositooriumid vajaduse korral esimeses lõigus osutatud testimise kavandamisse ja elluviimisesse

a) 

kasutajaid;

b) 

kriitilise tähtsusega teenuste osutajaid;

c) 

muid väärtpaberite keskdepositooriume;

d) 

muid turutaristuid;

e) 

mis tahes muid asutusi, kellega väärtpaberite keskdepositooriumil on talitluspidevuse põhimõtete kohaselt kindlaks tehtud vastastikune sõltuvus.
EULAW Artikkel 16 3.

Lõikes 2 osutatud menetlus peab sisaldama lähtekoodi ülevaatust, mis hõlmab nii staatilist kui ka dünaamilist testimist. Testitakse internetile avatud süsteemide ja rakenduste turvalisust kooskõlas artikli 8 lõike 2 punkti b alapunktidega v, vi ja vii. Finantssektori ettevõtjad

a) 

teevad kindlaks lähtekoodi nõrkused ja anomaaliad ning analüüsivad neid;

b) 

võtavad vastu tegevuskava nõrkuste ja anomaaliate kõrvaldamiseks;

c) 

seiravad selle tegevuskava rakendamist.
EULAW Artikkel 16 4.
Lõikes 2 osutatud menetlus peab hõlmama tarkvarapakettide turvalisuse testimist hiljemalt integreerimisetapis kooskõlas artikli 8 lõike 2 punkti b alapunktidega v, vi ja vii.
EULAW Artikkel 16 5.

Lõikes 2 osutatud menetlusega tagatakse, et

a) 

tootmisega mitteseotud keskkondades säilitatakse üksnes anonüümitud, pseudonüümitud või randomeeritud tootmisandmeid;

b) 

finantssektori ettevõtjad kaitsevad tootmisega mitteseotud keskkondades andmete terviklust ja konfidentsiaalsust.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.