+Systems Testing Procedures

Systems Testing Procedures

Develop and follow procedures for testing and approval of all ICT systems before use and after maintenance. Determine testing level based on criticality of the business functions and ICT assets. Design and implement testing procedures to verify that new ICT systems are adequate to perform as intended, including the quality of the software developed internally. Perform security testing of software packages no later than the integration phase.

1. Ülevaade

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud regulatsioonid

2. Tuvastatud nõuded

Nõuded

3. Seotud regulatsioonid

Regulatsioonid
EULAW Artikkel 16 1.

Finantssektori ettevõtjad töötavad andmete kättesaadavuse, autentsuse, tervikluse ja konfidentsiaalsuse säilitamiseks kehtestatavate kaitsemeetmete osana välja ja dokumenteerivad IKT-süsteemide soetamise, arendamise ja hooldamise põhimõtted ning rakendavad neid. Neis põhimõtetes

a) 

määratakse kindlaks IKT-süsteemide soetamise, arendamise ja hooldamisega seotud turbetavad ja metoodika;

b) 

sätestatakse kohustus määrata kindlaks

i) 

määruse (EL) nr 1025/2012 artikli 2 punktides 4 ja 5 määratletud tehniline spetsifikatsioon ja IKT tehniline spetsifikatsioon,

ii) 

IKT-süsteemide soetamise, arendamise ja hooldamisega seotud nõuded, pöörates erilist tähelepanu IKT turvanõuetele ja nende heakskiitmisele asjaomase ärifunktsiooni täitja ja IKT-vara omaniku poolt kooskõlas finantssektori ettevõtja sisemise juhtimiskorraga;

c) 

määratakse kindlaks meetmed eesmärgiga maandada riski, et IKT-süsteeme nende arendamise või hooldamise või tootmiskeskkonnas kasutuselevõtu ajal tahtmatult muudetakse või et nendega sel ajal tahtlikult manipuleeritakse.
EULAW Artikkel 16 2.
Finantssektori ettevõtjad töötavad välja, dokumenteerivad ja rakendavad IKT-süsteemide soetamise, arendamise ja hooldamise menetlused, et testida artikli 8 lõike 2 punkti b alapunktide v, vi ja vii kohaselt kõiki IKT-süsteeme ja need heaks kiita enne nende kasutamist ja pärast nende hooldamist. Testimise tase peab olema vastavuses asjaomaste äriprotsesside ja IKT-varade kriitilise tähtsusega. Testimine tuleb kavandada nii, et selle käigus tehakse kindlaks, kas uued IKT-süsteemid on ettenähtud viisil kasutamiseks piisavad, ja kontrollitakse ettevõttes arendatud tarkvara kvaliteeti.

Lisaks esimeses lõigus sätestatud nõuete täitmisele kaasavad kesksed vastaspooled vajaduse korral esimeses lõigus osutatud testimise kavandamisse ja elluviimisesse

a) 

kliirivaid liikmeid ja kliente;

b) 

koostalitlusvõimelisi keskseid vastaspooli;

c) 

teisi huvitatud isikuid.

Lisaks esimeses lõigus sätestatud nõuete täitmisele kaasavad väärtpaberite keskdepositooriumid vajaduse korral esimeses lõigus osutatud testimise kavandamisse ja elluviimisesse

a) 

kasutajaid;

b) 

kriitilise tähtsusega teenuste osutajaid;

c) 

muid väärtpaberite keskdepositooriume;

d) 

muid turutaristuid;

e) 

mis tahes muid asutusi, kellega väärtpaberite keskdepositooriumil on talitluspidevuse põhimõtete kohaselt kindlaks tehtud vastastikune sõltuvus.
EULAW Artikkel 16 3.

Lõikes 2 osutatud menetlus peab sisaldama lähtekoodi ülevaatust, mis hõlmab nii staatilist kui ka dünaamilist testimist. Testitakse internetile avatud süsteemide ja rakenduste turvalisust kooskõlas artikli 8 lõike 2 punkti b alapunktidega v, vi ja vii. Finantssektori ettevõtjad

a) 

teevad kindlaks lähtekoodi nõrkused ja anomaaliad ning analüüsivad neid;

b) 

võtavad vastu tegevuskava nõrkuste ja anomaaliate kõrvaldamiseks;

c) 

seiravad selle tegevuskava rakendamist.
EULAW Artikkel 16 4.
Lõikes 2 osutatud menetlus peab hõlmama tarkvarapakettide turvalisuse testimist hiljemalt integreerimisetapis kooskõlas artikli 8 lõike 2 punkti b alapunktidega v, vi ja vii.
EULAW Artikkel 16 5.

Lõikes 2 osutatud menetlusega tagatakse, et

a) 

tootmisega mitteseotud keskkondades säilitatakse üksnes anonüümitud, pseudonüümitud või randomeeritud tootmisandmeid;

b) 

finantssektori ettevõtjad kaitsevad tootmisega mitteseotud keskkondades andmete terviklust ja konfidentsiaalsust.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.