+Systems Testing Procedures

Systems Testing Procedures

Develop and follow procedures for testing and approval of all ICT systems before use and after maintenance. Determine testing level based on criticality of the business functions and ICT assets. Design and implement testing procedures to verify that new ICT systems are adequate to perform as intended, including the quality of the software developed internally. Perform security testing of software packages no later than the integration phase.

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät säädökset

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät säädökset

Säädökset
EULAW 16 artikla 1.

Finanssiyhteisöjen on osana suojatoimia, joilla säilytetään tietojen saatavuus, aitous, eheys ja luottamuksellisuus, laadittava, dokumentoitava ja otettava käyttöön TVT-järjestelmien hankintaa, kehittämistä ja ylläpitoa koskevat toimintaperiaatteet. Toimintaperiaatteissa on

a) 

määritettävä TVT-järjestelmien hankintaan, kehittämiseen ja ylläpitoon liittyvät turvallisuuskäytännöt ja menetelmät;

b) 

edellytettävä, että määritetään

i) 

asetuksen (EU) N:o 1025/2012 2 artiklan 4 ja 5 alakohdassa määritellyt tekniset eritelmät ja tieto- ja viestintätekniikan tekniset eritelmät;

ii) 

TVT-järjestelmien hankintaa, kehittämistä ja ylläpitoa koskevat vaatimukset huomioiden erityisesti TVT-turvallisuutta koskevat vaatimukset ja se, että asianomainen liiketoiminto ja TVT-omaisuuden omistaja hyväksyvät ne finanssiyhteisön sisäisten hallintojärjestelyjen mukaisesti;

c) 

määritettävä toimenpiteet, joilla TVT-järjestelmien tuotantoympäristössä tapahtuvan kehittämisen, ylläpidon ja käyttöönoton aikana lievennetään riskiä kyseisten TVT-järjestelmien tahattomasta muuttamisesta tai tarkoituksellisesta manipuloinnista.
EULAW 16 artikla 2.
Finanssiyhteisöjen on 8 artiklan 2 kohdan b alakohdan v, vi ja vii alakohdan mukaisesti laadittava, dokumentoitava ja otettava käyttöön TVT-järjestelmien hankintaa, kehittämistä ja ylläpitoa koskeva menettely kaikkien TVT-järjestelmien käyttöä edeltävää ja ylläpitotoimien jälkeistä testausta ja hyväksymistä varten. Testauksen tason on oltava oikeassa suhteessa kyseisten liiketoimintamenettelyjen ja TVT-omaisuuden kriittisyyteen. Testauksella on varmistettava, että uudet TVT-järjestelmät, mukaan lukien sisäisesti kehitettyjen ohjelmistojen laatu, ovat riittäviä niiden käyttötarkoitukseen nähden.

Keskusvastapuolten on ensimmäisessä alakohdassa säädettyjen vaatimusten lisäksi otettava tarvittaessa mukaan ensimmäisessä alakohdassa tarkoitettujen testien suunnitteluun ja toteuttamiseen

a) 

selvitysosapuolet ja asiakkaat;

b) 

yhteentoimivat keskusvastapuolet;

c) 

muut asiaan liittyvät osapuolet.

Arvopaperikeskusten on ensimmäisessä alakohdassa säädettyjen vaatimusten lisäksi tarvittaessa otettava mukaan ensimmäisessä alakohdassa tarkoitettujen testien suunnitteluun ja toteuttamiseen

a) 

käyttäjät;

b) 

keskeisten yleishyödyllisten palvelujen ja muiden keskeisten palvelujen tarjoajat;

c) 

muut arvopaperikeskukset;

d) 

muut markkinainfrastruktuurit;

e) 

muut laitokset, joiden kanssa arvopaperikeskukset ovat havainneet keskinäisiä riippuvuussuhteita liiketoiminnan jatkuvuutta koskevissa toimintaperiaatteissaan.
EULAW 16 artikla 3.

Edellä 2 kohdassa tarkoitettuun menettelyyn on sisällyttävä lähdekoodin tarkastus, johon sisältyy sekä staattinen että dynaaminen testaus. Testaukseen on sisällyttävä internetiin yhteydessä olevien järjestelmien ja sovellusten turvallisuustestaus 8 artiklan 2 kohdan b alakohdan v, vi ja vii alakohdan mukaisesti. Finanssiyhteisöjen on

a) 

tunnistettava ja analysoitava lähdekoodin haavoittuvuuksia ja poikkeavuuksia;

b) 

hyväksyttävä toimintasuunnitelma näiden haavoittuvuuksien ja poikkeavuuksien korjaamiseksi;

c) 

seurattava toimintasuunnitelman täytäntöönpanoa.
EULAW 16 artikla 4.
Edellä 2 kohdassa tarkoitettuun menettelyyn on sisällyttävä ohjelmistopakettien turvallisuustestaus viimeistään integrointivaiheessa 8 artiklan 2 kohdan b alakohdan v, vi ja vii alakohdan mukaisesti.
EULAW 16 artikla 5.

Edellä 2 kohdassa tarkoitetussa menettelyssä on määrättävä, että

a) 

tuotannon ulkopuolisissa ympäristöissä säilytetään ainoastaan anonymisoituja, pseudonymisoituja tai satunnaistettuja tuotantotietoja;

b) 

finanssiyhteisöt suojelevat tietojen eheyttä ja luottamuksellisuutta tuotannon ulkopuolisissa ympäristöissä.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.