+Source Code Reviews

Source Code Reviews

Conduct source code reviews encompassing static and dynamic testing, for the purpose of acquisition, development and maintenance of ICT-systems. Include security testing for internet-exposed systems. Identify and address vulnerabilities and anomalies in the source code and put in place plans to mitigate them. Monitor mitigation efforts. Implement controls to safeguard the integrity of source code, whether developed in-house or by a third-party service provider. Analyze and test source code and proprietary software provided by third-party service providers or from open-source projects for vulnerabilities.

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät säädökset

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät säädökset

Säädökset
EULAW 16 artikla 1.

Finanssiyhteisöjen on osana suojatoimia, joilla säilytetään tietojen saatavuus, aitous, eheys ja luottamuksellisuus, laadittava, dokumentoitava ja otettava käyttöön TVT-järjestelmien hankintaa, kehittämistä ja ylläpitoa koskevat toimintaperiaatteet. Toimintaperiaatteissa on

a) 

määritettävä TVT-järjestelmien hankintaan, kehittämiseen ja ylläpitoon liittyvät turvallisuuskäytännöt ja menetelmät;

b) 

edellytettävä, että määritetään

i) 

asetuksen (EU) N:o 1025/2012 2 artiklan 4 ja 5 alakohdassa määritellyt tekniset eritelmät ja tieto- ja viestintätekniikan tekniset eritelmät;

ii) 

TVT-järjestelmien hankintaa, kehittämistä ja ylläpitoa koskevat vaatimukset huomioiden erityisesti TVT-turvallisuutta koskevat vaatimukset ja se, että asianomainen liiketoiminto ja TVT-omaisuuden omistaja hyväksyvät ne finanssiyhteisön sisäisten hallintojärjestelyjen mukaisesti;

c) 

määritettävä toimenpiteet, joilla TVT-järjestelmien tuotantoympäristössä tapahtuvan kehittämisen, ylläpidon ja käyttöönoton aikana lievennetään riskiä kyseisten TVT-järjestelmien tahattomasta muuttamisesta tai tarkoituksellisesta manipuloinnista.
EULAW 16 artikla 2.
Finanssiyhteisöjen on 8 artiklan 2 kohdan b alakohdan v, vi ja vii alakohdan mukaisesti laadittava, dokumentoitava ja otettava käyttöön TVT-järjestelmien hankintaa, kehittämistä ja ylläpitoa koskeva menettely kaikkien TVT-järjestelmien käyttöä edeltävää ja ylläpitotoimien jälkeistä testausta ja hyväksymistä varten. Testauksen tason on oltava oikeassa suhteessa kyseisten liiketoimintamenettelyjen ja TVT-omaisuuden kriittisyyteen. Testauksella on varmistettava, että uudet TVT-järjestelmät, mukaan lukien sisäisesti kehitettyjen ohjelmistojen laatu, ovat riittäviä niiden käyttötarkoitukseen nähden.

Keskusvastapuolten on ensimmäisessä alakohdassa säädettyjen vaatimusten lisäksi otettava tarvittaessa mukaan ensimmäisessä alakohdassa tarkoitettujen testien suunnitteluun ja toteuttamiseen

a) 

selvitysosapuolet ja asiakkaat;

b) 

yhteentoimivat keskusvastapuolet;

c) 

muut asiaan liittyvät osapuolet.

Arvopaperikeskusten on ensimmäisessä alakohdassa säädettyjen vaatimusten lisäksi tarvittaessa otettava mukaan ensimmäisessä alakohdassa tarkoitettujen testien suunnitteluun ja toteuttamiseen

a) 

käyttäjät;

b) 

keskeisten yleishyödyllisten palvelujen ja muiden keskeisten palvelujen tarjoajat;

c) 

muut arvopaperikeskukset;

d) 

muut markkinainfrastruktuurit;

e) 

muut laitokset, joiden kanssa arvopaperikeskukset ovat havainneet keskinäisiä riippuvuussuhteita liiketoiminnan jatkuvuutta koskevissa toimintaperiaatteissaan.
EULAW 16 artikla 3.

Edellä 2 kohdassa tarkoitettuun menettelyyn on sisällyttävä lähdekoodin tarkastus, johon sisältyy sekä staattinen että dynaaminen testaus. Testaukseen on sisällyttävä internetiin yhteydessä olevien järjestelmien ja sovellusten turvallisuustestaus 8 artiklan 2 kohdan b alakohdan v, vi ja vii alakohdan mukaisesti. Finanssiyhteisöjen on

a) 

tunnistettava ja analysoitava lähdekoodin haavoittuvuuksia ja poikkeavuuksia;

b) 

hyväksyttävä toimintasuunnitelma näiden haavoittuvuuksien ja poikkeavuuksien korjaamiseksi;

c) 

seurattava toimintasuunnitelman täytäntöönpanoa.
EULAW 16 artikla 4.
Edellä 2 kohdassa tarkoitettuun menettelyyn on sisällyttävä ohjelmistopakettien turvallisuustestaus viimeistään integrointivaiheessa 8 artiklan 2 kohdan b alakohdan v, vi ja vii alakohdan mukaisesti.
EULAW 16 artikla 5.

Edellä 2 kohdassa tarkoitetussa menettelyssä on määrättävä, että

a) 

tuotannon ulkopuolisissa ympäristöissä säilytetään ainoastaan anonymisoituja, pseudonymisoituja tai satunnaistettuja tuotantotietoja;

b) 

finanssiyhteisöt suojelevat tietojen eheyttä ja luottamuksellisuutta tuotannon ulkopuolisissa ympäristöissä.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.