56. Les autorités compétentes devraient évaluer si l’établissement dispose d’un cadre efficace pour …

Les autorités compétentes devraient évaluer si l’établissement dispose d’un cadre efficace pour détecter, comprendre, mesurer et atténuer les risques liés aux changements des TIC, proportionnel à la nature, à l’échelle et à la complexité des activités de l’établissement ainsi qu’au profil de risque lié aux TIC de l’établissement. Le cadre de l’établissement doit couvrir les risques liés au développement, au test et à l’approbation des changements intervenus dans les systèmes de TIC, notamment le développement ou la modification de logiciels avant leur migration vers l’environnement de production, et assurer une gestion adéquate du cycle de vie des TIC. Lors de cette évaluation, les autorités compétentes devraient notamment examiner si ce cadre prévoit:

• a. des processus documentés pour la gestion et le contrôle des changements apportés aux systèmes de TIC (par exemple la configuration et la gestion des correctifs) et des données (par exemple la correction des erreurs ou les corrections de données), assurant une gestion adéquate des risques liés aux TIC lors des changements importants des TIC susceptibles d’avoir une incidence significative sur le profil de risque ou l’exposition au risque de l’établissement;
• b. un cahier des charges concernant la séparation des tâches requise pendant les différentes phases des processus de changement de TIC mis en œuvre (par exemple la conception et le développement de solutions, le test et l’approbation de nouveaux logiciels et/ou des changements de logiciels, la migration et la mise en œuvre dans l’environnement de production et la correction des bogues), avec un accent particulier sur les solutions mises en œuvre et la séparation des tâches établie pour gérer et contrôler les changements apportés aux systèmes et données TIC de production par le personnel responsable des TIC (par exemple les développeurs, les administrateurs du système des TIC, les administrateurs des bases de données) ou par toute autre partie (par exemple les utilisateurs commerciaux, les prestataires de services);
• c. des environnements de test qui ressemblent adéquatement les environnements de production;
• d. un inventaire des ressources des applications et des systèmes de TIC existants dans l’environnement de production, ainsi que l’environnement de test et de développement, de sorte que les changements requis (par exemple les mises à jour ou mises à niveau de versions, correctifs de systèmes, modifications de la configuration) puissent être correctement gérés, mis en œuvre et surveillés pour les systèmes de TIC concernés;
• e. un processus de suivi et de gestion du cycle de vie des systèmes de TIC utilisés, afin de garantir qu’ils continuent de répondre aux exigences réelles en matière de gestion des risques et d’activités et de veiller à ce que les solutions et les systèmes de TIC utilisés soient toujours pris en charge par leurs fournisseurs; et que ce processus soit assorti de procédures appropriées de cycle de vie du développement logiciel (SDLC);
• f. un système de contrôle du code source des logiciels et des procédures appropriées pour empêcher les modifications non autorisées du code source du logiciel développé en interne;
• g. un processus visant à effectuer un examen de la sécurité et de la vulnérabilité des systèmes de TIC et des logiciels nouveaux ou ayant subi des modifications significatives, avant de les rendre disponibles dans l’environnement de production et de les exposer à d’éventuelles cyberattaques;
• h. un processus et des solutions pour empêcher la divulgation non autorisée ou involontaire de données confidentielles lors du remplacement, de l’archivage, de la mise au rebut ou de la destruction des systèmes de TIC;
• i. un processus indépendant de contrôle et de validation pour réduire les risques d’erreurs humaines lors des modifications des systèmes de TIC susceptibles d’avoir un effet négatif important sur la disponibilité, la continuité ou la sécurité de l’établissement (par exemple les changements importants à la configuration du pare-feu) ou sur la sécurité de l’établissement (par exemple les changements apportés aux pare-feu).
• (d) Contrôles visant à gérer les risques significatifs pour l’intégrité des données TIC

1. Vue d’ensemble

1.1 Références

1.2 Exigences identifiées

1.3 Normes associées

2. Exigences identifiées

3. Normes associées

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/