56. Pädevad asutused peaksid hindama, kas krediidiasutusel või investeerimisühingul on …

Pädevad asutused peaksid hindama, kas krediidiasutusel või investeerimisühingul on IKT-muutustega seotud riskide tuvastamiseks, mõistmiseks, mõõtmiseks ja maandamiseks kehtestatud tõhus ning oma tegevuse laadi, ulatust ja keerukust ning IKT-riskiprofiili arvestades proportsionaalne raamistik. Krediidiasutuse või investeerimisühingu raamistik peaks hõlmama riske, mis seonduvad IKT-süsteemides tehtavate muutuste arenduse, testimise ja heakskiitmisega, sealhulgas tarkvara arendamise või muutmisega enne selle kasutuselevõttu tootmiskeskkonnas, ning tagama IKT elutsükli piisava halduse. Hindamisel peaksid pädevad asutused eelkõige uurima, kas raamistik hõlmab järgmist:

• a. dokumenteeritud protsessid muutuste haldamiseks ja kontrollimiseks IKT-süsteemides (näiteks seadistuse ja paikade haldamine) ning andmetes (näiteks veaparandused ja andmeparandused), mis tagavad IKT-riskide piisava juhtimise oluliste IKT-muutuste korral, mis võivad krediidiasutuse või investeerimisühingu riskiprofiili või riskide suurust oluliselt mõjutada;
• b. tehnilised kirjeldused koos vajaliku ülesannete lahususega rakendatavate IKT-muutustega seotud protsesside eri etappides (näiteks lahenduste kavandamine ja arendamine, uue tarkvara ja/või muutuste testimine ja heakskiitmine, üle viimine ja juurutamine tootmiskeskkonda ning veaparandused), keskendudes rakendatavatele lahendustele ja ülesannete lahususele IKT tootmissüsteemides ja andmetes töötajate (nt arendajate, IKT-süsteemihaldurite, andmebaasihaldurite) või teiste osapoolte (näiteks äriklientide ja teenusepakkujate) tehtavate muutuste haldamisel ja kontrollimisel;
• c. testimiskeskkonnad, mis kajastavad piisavalt hästi tootmiskeskkondi;
• d. tootmiskeskkonnas ning testimis- ja arenduskeskkonnas olemasolevate rakenduste ja IKT-süsteemide inventuur, et vajalikke muutusi (näiteks versiooni ajakohastusi või täiustusi, süsteemide paikamist, seadistuste muutmist) oleks võimalik seonduvates IKT-süsteemides korralikult hallata, rakendada ja jälgida;
• e. protsess, mis võimaldab kasutatavate IKT-süsteemide elutsüklit jälgida ja hallata, et tagada nende jätkuv vastavus tegelikele äri- ja riskijuhtimisvajadustele ning kindlustada kasutatavate IKT-lahenduste ja -süsteemide jätkuv toetamine nende pakkujate poolt; see protsess peab hõlmama asjakohast tarkvaraarenduse elutsükli protseduuri;
• f. tarkvara lähtekoodi kontrollisüsteem ja asjakohased menetlused volitamata muutuste ärahoidmiseks organisatsioonisiseselt arendatava tarkvara lähtekoodis;
• g. protsess, mille käigus kontrollitakse uute või oluliselt muudetud IKT-süsteemide ja tarkvara turvalisust ja haavatavust enne nende tootmiskeskkonnas kasutuselevõttu ja avamist võimalikele küberrünnetele;
• h. protsess ja lahendused konfidentsiaalsete andmete volitamata või soovimatu avaldamise vältimiseks IKT-süsteemide asendamise, arhiveerimise, kasutuselt kõrvaldamise või hävitamise käigus;
• i. sõltumatud läbivaatus- ja valideerimisprotsessid, et vähendada IKT-süsteemide muutuste rakendamisel inimvigade riski, mis võivad avaldada olulist negatiivset mõju krediidiasutuse või investeerimisühingu IKT käideldavusele, talitluspidevusele või turvalisusele (näiteks tulemüüri seadistuste olulised muutused) või krediidiasutuse või investeerimisühingu julgeolekule (näiteks tulemüüri muutused).
• (d) Oluliste IKT andmetervikluse riskide juhtimise kontrollimeetmed

1. Ülevaade

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud standardid

2. Tuvastatud nõuded

3. Seotud standardid

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/