56. Toimivaltaisten viranomaisten tulisi arvioida, onko yhtiöllä käytössään ICT:n muutosriskin …

Toimivaltaisten viranomaisten tulisi arvioida, onko yhtiöllä käytössään ICT:n muutosriskin tunnistamiseksi, ymmärtämiseksi, mittaamiseksi ja vähentämiseksi tehokas toimintamalli, joka on oikein suhteutettu yhtiön toimintojen luonteeseen, laajuuteen ja monimuotoisuuteen sekä ICT-riskiprofiiliin. Yhtiön toimintamallin tulisi kattaa riskit, jotka liittyvät ICT-järjestelmien muutosten kehittämiseen, testaukseen ja hyväksymiseen, mukaan lukien ohjelmistokehitys tai -muutokset ennen ohjelmistojen siirtämistä tuotantoympäristöön. Toimintamallin tulisi myös varmistaa tietojärjestelmien asianmukainen elinkaarihallinta. Tässä arvioinnissa toimivaltaisten viranomaisten tulisi ottaa huomioon erityisesti, onko toimintamallissa kiinnitetty huomiota seuraaviin:

• a. dokumentoidut prosessit ICT-järjestelmien (esim. järjestelmän hallinta ja korjausten hallinta) ja datan (esim. virheiden tai tietojen korjaukset) muutosten hallintaa ja kontrollointia varten, jotta voidaan varmistaa ICT-riskienhallinnan riittävä osallistuminen tärkeisiin ICT-muutoksiin, jotka voivat vaikuttaa merkittävästi yhtiön riskiprofiiliin tai kokonaisriskiin;
• b. määritelmät, jotka koskevat tehtävien eriyttämisvaatimuksia ICT:n muutosprosessien eri vaiheissa (esim. ratkaisusuunnittelu ja - kehitys, uusien ohjelmistojen ja/tai muutosten testaus ja hyväksyntä, siirtäminen tuotantoympäristöön ja virheiden korjaaminen) ja joissa tulisi keskittyä toteutettuihin ratkaisuihin ja tehtävien eriyttämiseen tarkoituksena hallita ja valvoa ICT-henkilöstön (esim. kehittäjien, ICT-järjestelmien ja tietokannan valvojien) tai muiden tahojen (esim. yrityskäyttäjien ja palveluntarjoajien) tekemiä muutoksia tuotantojärjestelmiin ja tietoihin;
• c. testausympäristöt, joissa otetaan riittävästi huomioon tuotantoympäristöt;
• d. tuotantoympäristössä sekä testaus- ja kehitysympäristössä olevien nykyisten sovellusten ja ICT-järjestelmien ominaisuudet, jotta tarvittavat muutokset (esim. versioiden päivitykset tai parannukset, järjestelmien korjaukset, määritysten muutokset) voidaan asianmukaisesti toteuttaa ja jotta niitä voidaan asianmukaisesti hallita ja valvoa muutoksenalaisissa ICT-järjestelmissä;
• e. prosessi, jolla seurataan ja hallitaan käytettävien ICT-järjestelmien elinkaarta sen varmistamiseksi, että ne täyttävät edelleen tämänhetkiset liiketoiminnan ja riskienhallinnan vaatimukset, että käytettävien ICT-ratkaisujen ja - järjestelmien myyjät tarjoavat niihin edelleen tukea ja että prosessin tukena on asianmukaiset ohjelmistokehityksen elinkaarta koskevat menettelyt;
• f. ohjelmiston lähdekoodin kontrollit, joilla estetään luvattomat muutokset yhtiön sisällä kehitetyn ohjelmiston lähdekoodiin;
• g. prosessi, jolla suoritetaan uusien tai olennaisesti muutettujen ICT-järjestelmien ja ohjelmistojen turva- ja haavoittuvuusseulonta ennen kuin ne otetaan käyttöön tuotannossa ja ennen kuin ne altistuvat mahdollisille kyberhyökkäyksille;
• h. prosessi ja ratkaisut, joilla estetään pääsy luottamuksellisiin tietoihin ICT-järjestelmien korvaamisen, arkistoinnin, käytöstäpoiston tai tuhoamisen yhteydessä;
• i. riippumaton arviointi- ja validointiprosessi, jolla vähennetään ICT-järjestelmiin tehtävien muutosten yhteydessä inhimillisten virheiden riskiä, joka saattaa heikentää merkittävästi yhtiön toimintavalmiutta, toiminnan jatkuvuutta tai tietoturvaa (esim. merkittävät muutokset palomuurimääritykseen tai palomuureihin).
• (d) Merkittävien ICT-tiedon eheysriskien kontrollit

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

3. Liittyvät standardit

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/