+Environment Risk Mitigation Measures

Environment Risk Mitigation Measures

Put in place measures to mitigate the risk of unintentional alteration or intentional manipulation during development, maintenance, and deployment in production. Protect the integrity and confidentiality of data in non-production environments. Store only anonymized, pseudonymized, or randomized production data. 

Production data that are not anonymized, not pseudonymized or not randomized may be stored only for specific testing occasions, for limited periods of time and following the approval by the relevant function and, for financial entities other than microenterprises, the reporting of such occasions to the ICT
risk management function.

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät säädökset

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät säädökset

Säädökset
EULAW 16 artikla 1.

Finanssiyhteisöjen on osana suojatoimia, joilla säilytetään tietojen saatavuus, aitous, eheys ja luottamuksellisuus, laadittava, dokumentoitava ja otettava käyttöön TVT-järjestelmien hankintaa, kehittämistä ja ylläpitoa koskevat toimintaperiaatteet. Toimintaperiaatteissa on

a) 

määritettävä TVT-järjestelmien hankintaan, kehittämiseen ja ylläpitoon liittyvät turvallisuuskäytännöt ja menetelmät;

b) 

edellytettävä, että määritetään

i) 

asetuksen (EU) N:o 1025/2012 2 artiklan 4 ja 5 alakohdassa määritellyt tekniset eritelmät ja tieto- ja viestintätekniikan tekniset eritelmät;

ii) 

TVT-järjestelmien hankintaa, kehittämistä ja ylläpitoa koskevat vaatimukset huomioiden erityisesti TVT-turvallisuutta koskevat vaatimukset ja se, että asianomainen liiketoiminto ja TVT-omaisuuden omistaja hyväksyvät ne finanssiyhteisön sisäisten hallintojärjestelyjen mukaisesti;

c) 

määritettävä toimenpiteet, joilla TVT-järjestelmien tuotantoympäristössä tapahtuvan kehittämisen, ylläpidon ja käyttöönoton aikana lievennetään riskiä kyseisten TVT-järjestelmien tahattomasta muuttamisesta tai tarkoituksellisesta manipuloinnista.
EULAW 16 artikla 2.
Finanssiyhteisöjen on 8 artiklan 2 kohdan b alakohdan v, vi ja vii alakohdan mukaisesti laadittava, dokumentoitava ja otettava käyttöön TVT-järjestelmien hankintaa, kehittämistä ja ylläpitoa koskeva menettely kaikkien TVT-järjestelmien käyttöä edeltävää ja ylläpitotoimien jälkeistä testausta ja hyväksymistä varten. Testauksen tason on oltava oikeassa suhteessa kyseisten liiketoimintamenettelyjen ja TVT-omaisuuden kriittisyyteen. Testauksella on varmistettava, että uudet TVT-järjestelmät, mukaan lukien sisäisesti kehitettyjen ohjelmistojen laatu, ovat riittäviä niiden käyttötarkoitukseen nähden.

Keskusvastapuolten on ensimmäisessä alakohdassa säädettyjen vaatimusten lisäksi otettava tarvittaessa mukaan ensimmäisessä alakohdassa tarkoitettujen testien suunnitteluun ja toteuttamiseen

a) 

selvitysosapuolet ja asiakkaat;

b) 

yhteentoimivat keskusvastapuolet;

c) 

muut asiaan liittyvät osapuolet.

Arvopaperikeskusten on ensimmäisessä alakohdassa säädettyjen vaatimusten lisäksi tarvittaessa otettava mukaan ensimmäisessä alakohdassa tarkoitettujen testien suunnitteluun ja toteuttamiseen

a) 

käyttäjät;

b) 

keskeisten yleishyödyllisten palvelujen ja muiden keskeisten palvelujen tarjoajat;

c) 

muut arvopaperikeskukset;

d) 

muut markkinainfrastruktuurit;

e) 

muut laitokset, joiden kanssa arvopaperikeskukset ovat havainneet keskinäisiä riippuvuussuhteita liiketoiminnan jatkuvuutta koskevissa toimintaperiaatteissaan.
EULAW 16 artikla 3.

Edellä 2 kohdassa tarkoitettuun menettelyyn on sisällyttävä lähdekoodin tarkastus, johon sisältyy sekä staattinen että dynaaminen testaus. Testaukseen on sisällyttävä internetiin yhteydessä olevien järjestelmien ja sovellusten turvallisuustestaus 8 artiklan 2 kohdan b alakohdan v, vi ja vii alakohdan mukaisesti. Finanssiyhteisöjen on

a) 

tunnistettava ja analysoitava lähdekoodin haavoittuvuuksia ja poikkeavuuksia;

b) 

hyväksyttävä toimintasuunnitelma näiden haavoittuvuuksien ja poikkeavuuksien korjaamiseksi;

c) 

seurattava toimintasuunnitelman täytäntöönpanoa.
EULAW 16 artikla 4.
Edellä 2 kohdassa tarkoitettuun menettelyyn on sisällyttävä ohjelmistopakettien turvallisuustestaus viimeistään integrointivaiheessa 8 artiklan 2 kohdan b alakohdan v, vi ja vii alakohdan mukaisesti.
EULAW 16 artikla 5.

Edellä 2 kohdassa tarkoitetussa menettelyssä on määrättävä, että

a) 

tuotannon ulkopuolisissa ympäristöissä säilytetään ainoastaan anonymisoituja, pseudonymisoituja tai satunnaistettuja tuotantotietoja;

b) 

finanssiyhteisöt suojelevat tietojen eheyttä ja luottamuksellisuutta tuotannon ulkopuolisissa ympäristöissä.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.