+OTAP Implementation

OTAP Implementation

Ensure segregation of production environments from development, testing, and other non-production environments, encompassing all components of an environment. This also includes requirements to conduct the development and testing in production environments. Ensure that the instances in which testing is performed in production environment are clearly identified, justified, for limited periods of time approved by the relevant function.

1. Vue d’ensemble

1.1 Références

1.2 Exigences identifiées

1.3 Réglementations associées

2. Exigences identifiées

Exigences

3. Réglementations associées

Réglementations
EULAW Article 8 1.
Dans le cadre des politiques, procédures, protocoles et outils de sécurité des TIC visés à l’article 9, paragraphe 2, du règlement (UE) 2022/2554, les entités financières élaborent, documentent et mettent en œuvre des politiques et des procédures pour gérer les opérations de TIC. Ces politiques et procédures précisent la manière dont les entités financières gèrent, suivent, contrôlent et restaurent leurs actifs de TIC, y compris la documentation relative aux opérations de TIC.
EULAW Article 8 2.

Les politiques et procédures relatives aux opérations de TIC visées au paragraphe 1 contiennent l’ensemble des éléments suivants:

a) 

une description des actifs de TIC, comprenant l’ensemble des éléments suivants:

i) 

des exigences relatives à la sécurité de l’installation, de la maintenance, de la configuration et de la désinstallation d’un système de TIC;

ii) 

des exigences relatives à la gestion des actifs informationnels utilisés par les actifs de TIC, y compris leur traitement et leur gestion, tant automatisés que manuels;

iii) 

des exigences relatives à l’identification et au contrôle des systèmes de TIC hérités;

b) 

des contrôles et un suivi des systèmes de TIC, comprenant l’ensemble des éléments suivants:

i) 

des exigences de sauvegarde et de restauration des systèmes de TIC;

ii) 

des exigences de programmation dans le temps, tenant compte des interdépendances entre les systèmes de TIC;

iii) 

des protocoles pour les informations de la piste d’audit et du journal du système;

iv) 

des exigences visant à garantir que la réalisation d’audits internes et d’autres tests perturbe le moins possible les activités;

v) 

des exigences relatives à la séparation entre les environnements de production des TIC, d’une part, et les environnements de développement, de tests et les autres environnements hors production, d’autre part;

vi) 

des exigences imposant que le développement et les tests aient lieu dans des environnements séparés de l’environnement de production;

vii) 

les exigences à respecter pour développer et tester en environnement de production;

c) 

le traitement des erreurs concernant les systèmes de TIC, comprenant l’ensemble des éléments suivants:

i) 

des procédures et protocoles de traitement des erreurs;

ii) 

les interlocuteurs à contacter pour un appui technique et la remontée d’informations, y compris les interlocuteurs à contacter pour un appui technique externe en cas de problèmes opérationnels ou techniques imprévus;

iii) 

les procédures de redémarrage, de reprise et de rétablissement des systèmes de TIC à appliquer en cas de dysfonctionnement des systèmes de TIC.

Aux fins du point b) v), la séparation tient compte de toutes les composantes de l’environnement, notamment des comptes, données ou connexions, comme l’exige l’article 13, paragraphe 1, point a).

Aux fins du point b) vii), les politiques et procédures visées au paragraphe 1 prévoient que les cas de réalisation de tests dans un environnement de production soient clairement identifiés et motivés, d’une durée limitée et approuvés par la fonction compétente conformément à l’article 16, paragraphe 6. Les entités financières garantissent la disponibilité, la confidentialité, l’intégrité et l’authenticité des systèmes de TIC et des données de production lors des activités de développement et de test dans l’environnement de production.
EULAW Article 17 1.

Dans le cadre des garanties visant à préserver la disponibilité, l’authenticité, l’intégrité et la confidentialité des données, les entités financières incluent dans les procédures de gestion des changements dans les TIC visées à l’article 9, paragraphe 4, point e), du règlement (UE) 2022/2554, en ce qui concerne tous les changements apportés aux logiciels, au matériel, aux composants de micrologiciels, aux systèmes ou aux paramètres de sécurité, l’ensemble des éléments suivants:

a) 

une vérification du respect des exigences en matière de sécurité des TIC;

b) 

des mécanismes visant à garantir l’indépendance des fonctions qui approuvent les changements et des fonctions responsables de la demande et de la mise en œuvre de ces changements;

c) 

une description claire des rôles et des responsabilités afin de garantir:

i) 

que les changements sont définis et planifiés;

ii) 

qu’une transition adéquate est conçue;

iii) 

que les changements sont testés et finalisés de manière contrôlée;

iv) 

qu’il existe une assurance de la qualité efficace;

d) 

la documentation et la communication des détails des changements, notamment:

i) 

de l’objectif et de la portée du changement;

ii) 

du calendrier de mise en œuvre du changement;

iii) 

des résultats attendus;

e) 

l’identification des procédures et responsabilités de repli, notamment des procédures et responsabilités pour l’abandon des changements ou le rétablissement à la suite de changements qui n’ont pas été mis en œuvre avec succès;

f) 

des procédures, protocoles et outils de gestion des changements d’urgence qui offrent des garanties adéquates;

g) 

des procédures de documentation, de réévaluation, d’évaluation et d’approbation des changements d’urgence après leur mise en œuvre, y compris des solutions de contournement et des correctifs;

h) 

l’identification de l’incidence potentielle d’un changement sur les mesures existantes en matière de sécurité des TIC et une évaluation visant à déterminer si ce changement nécessite l’adoption de mesures supplémentaires en matière de sécurité des TIC.
EULAW Article 17 2.
Après avoir apporté des changements importants à leurs systèmes de TIC, les contreparties centrales et les dépositaires centraux de titres soumettent leurs systèmes de TIC à des tests rigoureux, en simulant des situations de crise.

Les contreparties centrales associent, s’il y a lieu, à la conception et à la conduite des tests visés au premier alinéa:

a) 

les membres compensateurs et leurs clients;

b) 

les contreparties centrales interopérables;

c) 

les autres parties intéressées.

Les dépositaires centraux de titres associent, s’il y a lieu, à la conception et à la conduite des tests visés au premier alinéa:

a) 

les utilisateurs;

b) 

les prestataires de services et fournisseurs de services de réseau essentiels;

c) 

d’autres dépositaires centraux de titres;

d) 

d’autres infrastructures de marché;

e) 

d’autres établissements avec lesquels les dépositaires centraux de titres ont constaté des interdépendances dans le cadre de leur politique de continuité des activités de TIC.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.