+Source Code Reviews

Source Code Reviews

Conduct source code reviews encompassing static and dynamic testing, for the purpose of acquisition, development and maintenance of ICT-systems. Include security testing for internet-exposed systems. Identify and address vulnerabilities and anomalies in the source code and put in place plans to mitigate them. Monitor mitigation efforts. Implement controls to safeguard the integrity of source code, whether developed in-house or by a third-party service provider. Analyze and test source code and proprietary software provided by third-party service providers or from open-source projects for vulnerabilities.

1. Vue d’ensemble

1.1 Références

1.2 Exigences identifiées

1.3 Réglementations associées

2. Exigences identifiées

Exigences

3. Réglementations associées

Réglementations
EULAW Article 16 1.

Dans le cadre des garanties visant à préserver la disponibilité, l’authenticité, l’intégrité et la confidentialité des données, les entités financières élaborent, documentent et mettent en œuvre une politique régissant l’acquisition, le développement et la maintenance des systèmes de TIC. Cette politique:

a) 

identifie les pratiques en matière de sécurité et les méthodes relatives à l’acquisition, au développement et à la maintenance des systèmes de TIC;

b) 

exige l’identification:

i) 

des spécifications techniques et des spécifications techniques des TIC, au sens de l’article 2, points 4) et 5), du règlement (UE) no 1025/2012;

ii) 

des exigences relatives à l’acquisition, au développement et à la maintenance des systèmes de TIC, en accordant une attention particulière aux exigences en matière de sécurité des TIC et à leur approbation par la fonction «métier» concernée et par le propriétaire des actifs de TIC conformément aux dispositifs de gouvernance interne de l’entité financière;

c) 

précise les mesures visant à atténuer le risque d’altération involontaire ou de manipulation intentionnelle des systèmes de TIC lors du développement, de la maintenance et du déploiement de ces systèmes dans l’environnement de production.
EULAW Article 16 2.
Les entités financières élaborent, documentent et mettent en œuvre une procédure d’acquisition, de développement et de maintenance des systèmes de TIC pour les tests et l’approbation de tous les systèmes de TIC avant leur utilisation et après les opérations de maintenance, conformément à l’article 8, paragraphe 2, point b) v), vi) et vii). Le niveau des tests doit être proportionné à la criticité des procédures opérationnelles et des actifs de TIC concernés. Les tests sont conçus pour permettre de vérifier que les nouveaux systèmes de TIC sont aptes à fonctionner comme prévu, ainsi que la qualité du logiciel développé en interne.

En plus de respecter les exigences prévues au premier alinéa, les contreparties centrales associent, s’il y a lieu, à la conception et à la conduite des tests visés au premier alinéa:

a) 

les membres compensateurs et leurs clients;

b) 

les contreparties centrales interopérables;

c) 

les autres parties intéressées.

En plus de respecter les exigences énoncées au premier alinéa, les dépositaires centraux de titres associent, s’il y a lieu, à la conception et à la conduite des tests visés au premier alinéa:

a) 

les utilisateurs;

b) 

les prestataires de services et fournisseurs de services de réseau essentiels;

c) 

d’autres dépositaires centraux de titres;

d) 

d’autres infrastructures de marché;

e) 

d’autres établissements avec lesquels les dépositaires centraux de titres ont constaté des interdépendances dans le cadre de leur politique de continuité des activités.
EULAW Article 16 3.

La procédure visée au paragraphe 2 comprend la réalisation d’examens du code source comprenant des tests aussi bien statiques que dynamiques. Ces tests comprennent des tests de sécurité pour les systèmes et applications exposés à l’internet conformément à l’article 8, paragraphe 2, point b) v), vi) et vii). Les entités financières:

a) 

identifient et analysent les vulnérabilités et les anomalies dans le code source;

b) 

adoptent un plan d’action pour remédier à ces vulnérabilités et anomalies;

c) 

suivent la mise en œuvre de ce plan d’action.
EULAW Article 16 4.
La procédure visée au paragraphe 2 comprend des tests de sécurité des progiciels au plus tard lors de la phase d’intégration, conformément à l’article 8, paragraphe 2, point b) v), vi) et vii).
EULAW Article 16 5.

La procédure visée au paragraphe 2 prévoit que:

a) 

les environnements hors production ne stockent que des données de production anonymisées, pseudonymisées ou randomisées;

b) 

les entités financières doivent protéger l’intégrité et la confidentialité des données dans les environnements hors production.