+Systems Testing Procedures

Systems Testing Procedures

Develop and follow procedures for testing and approval of all ICT systems before use and after maintenance. Determine testing level based on criticality of the business functions and ICT assets. Design and implement testing procedures to verify that new ICT systems are adequate to perform as intended, including the quality of the software developed internally. Perform security testing of software packages no later than the integration phase.

1. Pregled

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani propisi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani propisi

Propisi
EULAW Članak 16. 1.

Financijski subjekti u sklopu zaštitnih mjera za očuvanje dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka izrađuju, dokumentiraju i provode politiku o nabavi, razvoju i održavanju IKT sustava. Tom se politikom:

(a) 

utvrđuju sigurnosne prakse i metodologije povezane s nabavom, razvojem i održavanjem IKT sustavâ;

(b) 

zahtijeva utvrđivanje:

i. 

tehničkih specifikacija i tehničkih specifikacija IKT-a, kako je definirano u članku 2. točkama 4. i 5. Uredbe (EU) br. 1025/2012;

ii. 

zahtjeva za nabavu, razvoj i održavanje IKT sustavâ uz poseban fokus na zahtjeve za sigurnost IKT-a i njihovo odobrenje koje daju relevantna poslovna funkcija i vlasnik IKT imovine u skladu s aranžmanima za unutarnje upravljanje financijskog subjekta;

(c) 

utvrđuju mjere za smanjenje rizika od nenamjerne izmjene IKT sustavâ ili njihove namjerne manipulacije tijekom razvoja, održavanja i uvođenja tih IKT sustava u produkcijsko okruženje.
EULAW Članak 16. 2.
Financijski subjekti izrađuju, dokumentiraju i provode postupak za nabavu, razvoj i održavanje IKT sustavâ koji se odnosi na testiranje i odobrenje svih IKT sustava prije njihove upotrebe i nakon održavanja u skladu s člankom 8. stavkom 2. točkom (b) podtočkama v., vi. i vii. Razina testiranja razmjerna je ključnosti relevantnih poslovnih postupaka i IKT imovine. Testiranje se osmišljava za provjeru jesu li novi IKT sustavi primjereni za predviđeni rad, što uključuje provjeru kvalitete softvera razvijenog unutar samog subjekta.

Središnje druge ugovorne strane uz zahtjeve utvrđene u prvom podstavku u osmišljavanje i provedbu testiranja iz prvog podstavka prema potrebi uključuju:

(a) 

članove sustava poravnanja i klijente;

(b) 

interoperabilne središnje druge ugovorne strane;

(c) 

druge zainteresirane strane.

Središnji depozitoriji vrijednosnih papira uz zahtjeve utvrđene u prvom podstavku u osmišljavanje i provedbu testiranja iz prvog podstavka prema potrebi uključuju:

(a) 

korisnike;

(b) 

pružatelje ključnih javnih i drugih usluga;

(c) 

druge središnje depozitorije vrijednosnih papira;

(d) 

druge tržišne infrastrukture;

(e) 

sve ostale institucije s kojima su središnji depozitoriji vrijednosnih papira utvrdile međuovisnosti u politici kontinuiteta poslovanja.
EULAW Članak 16. 3.

Postupci iz stavka 2. uključuju provedbu preispitivanja izvornog koda koja obuhvaćaju statičko i dinamičko testiranje. To uključuje testiranje sigurnosti sustava i aplikacija izloženih internetu u skladu s člankom 8. stavkom 2. točkom (b) podtočkama v., vi. i vii. Financijski subjekti:

(a) 

utvrđuju i analiziraju ranjivosti i neobične pojave u izvornom kodu;

(b) 

donose akcijski plan za otklanjanje tih ranjivosti i neobičnih pojava;

(c) 

prate provedbu tog akcijskog plana.
EULAW Članak 16. 4.
Postupak iz stavka 2. uključuje testiranje softverskih paketa najkasnije u fazi integracije u skladu s člankom 8. stavkom 2. točkom (b) podtočkama v., vi. i vii.
EULAW Članak 16. 5.

Postupkom iz stavka 2. osigurava se sljedeće:

(a) 

u neprodukcijskim okruženjima pohranjuju se samo anonimizirani, pseudonimizirani ili randomizirani produkcijski podaci;

(b) 

financijski subjekti osiguravaju cjelovitost i povjerljivost podataka u neprodukcijskim okruženjima.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.