56. Nadležna tijela trebala bi procijeniti postoji li u instituciji učinkovit okvir za utvrđivanje …

Nadležna tijela trebala bi procijeniti postoji li u instituciji učinkovit okvir za utvrđivanje, razumijevanje, mjerenje i smanjenje rizika promjena IKT- a, razmjeran prirodi, opsegu i složenosti aktivnosti institucije i profilu rizičnosti institucije u po gledu IKT-a. Okvir institucije trebao bi obuhvatiti rizike povezane s razvojem, testiranjem i odobravanjem promjena u sustavima IKT- a, uključujući razvoj ili promjenu programske opreme, prije uvođenja u produkcijsko okruženje te osigurati primjereno upravl janje životnim ciklusom IKT - a. Pri toj procjeni nadležna bi tijela ponajprije trebala razmotriti obuhvaća li taj okvir sljedeće:

• a. dokumentirane postupke za upravljanje i kontroliranje promjena u sustavima IKT-a (npr. upravljanje konfiguracijama i zakrpama) te nad podatcima (npr. popravljanje grešaka i ispravak podataka), kojima se osigurava odgovarajuća primjena upravljanja rizikom IKT - a kad je riječ o važnim promjenama IKT- a koje bi mogle znatno utjecati na profil rizičnosti institucije ili njezinu izložen ost riziku;
• b. detalje povezane s potrebnom segregacijom dužnosti tijekom raznih faza postupaka uvođenja promjena IKT- a (npr. osmišljavanje i razvoj rješenja, testiranje i odobravanje novih programa i/ili promjena, migracija i implementacija u produkcijskom o kruženju, popravljanje grešaka), s posebnim naglaskom na implementirana rješenja i podjelu zaduženja radi upravljanja i kontrole promjena koje zaposlenici IKT-a (npr. razvojni programeri, administratori sustava IKT-a, administratori baza podataka) ili neka druga strana (npr. poslovni korisnici, pružatelji usluga) unose u produkcijske sustave IKT i nad pripadnih podacima;
• c. okruženja za testiranje koja primjereno odgovaraju produkcijskim okruženjima;
• d. evidenciju postojećih aplikacija i sustava IKT -a u produkci jskom okruženju, kao i u testnom i razvojnom okruženju, kako bi se potrebne promjene (npr. ažuriranja ili nadogradnje verzija, zakrpe sustava, konfiguracijske promjene) mogle pravilno provesti i pratiti te kako bi se njima moglo upravljati kad je riječ o t im sustavima IKT-a;
• e. postupke upravljanja i praćenja životnog ciklusa sustava IKT -a koji se upotrebljavaju ,kako bi se zajamčilo da i dalje zadovoljavaju i podržavaju stvarne poslovne zahtjeve i zahtjeve povezane s upravljanjem rizicima te kako bi se osigur alo da dobavljači još podržavaju rješenja i sustave IKT -a koji se upotrebljavaju, a ti postupci trebali bi biti popraćeni odgovarajućim postupcima povezanim sa životnim ciklusom razvoja programske podrške;
• f. sustav kontrole izvornog programskog koda i primje rene postupke za sprječavanje neovlaštenih izmjena izvornog programskog koda razvijenog unutar institucije;
• g. postupak za provjeru sigurnosti i ranjivosti novih ili značajno izmijenjenih sustava ili programske podrške IKT - a, prije nego što se uvedu u produkciju i izlože mogućim kibernetičkim napadima;
• h. postupak i rješenja za sprječavanje neovlaštenog ili nenamjernog otkrivanja povjerljivih podataka pri zamjeni, arhiviranju, uklanjanju ili uništavanju sustava IKT -a;
• i. neovisan postupak provjere i validacije kako bi se smanjio rizik ljudske pogreške pri izvršavanju promjena na sustavima IKT- a koje bi mogle imati važan nepovoljan učinak na dostupnost, kontinuitet ili sigurnost poslovanja institucije (npr. važne promjene u konfiguraciji vatrozida) ili samo na sigurnost institucije (npr. promjene vatrozida).
• (d) Kontrole za upravljanje značajnim rizicima IKT -a povezanim s integritetom podataka

1. Pregled

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

3. Povezani standardi

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.