+Source Code Reviews

Source Code Reviews

Conduct source code reviews encompassing static and dynamic testing, for the purpose of acquisition, development and maintenance of ICT-systems. Include security testing for internet-exposed systems. Identify and address vulnerabilities and anomalies in the source code and put in place plans to mitigate them. Monitor mitigation efforts. Implement controls to safeguard the integrity of source code, whether developed in-house or by a third-party service provider. Analyze and test source code and proprietary software provided by third-party service providers or from open-source projects for vulnerabilities.

1. Pregled

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani propisi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani propisi

Propisi
EULAW Članak 16. 1.

Financijski subjekti u sklopu zaštitnih mjera za očuvanje dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka izrađuju, dokumentiraju i provode politiku o nabavi, razvoju i održavanju IKT sustava. Tom se politikom:

(a) 

utvrđuju sigurnosne prakse i metodologije povezane s nabavom, razvojem i održavanjem IKT sustavâ;

(b) 

zahtijeva utvrđivanje:

i. 

tehničkih specifikacija i tehničkih specifikacija IKT-a, kako je definirano u članku 2. točkama 4. i 5. Uredbe (EU) br. 1025/2012;

ii. 

zahtjeva za nabavu, razvoj i održavanje IKT sustavâ uz poseban fokus na zahtjeve za sigurnost IKT-a i njihovo odobrenje koje daju relevantna poslovna funkcija i vlasnik IKT imovine u skladu s aranžmanima za unutarnje upravljanje financijskog subjekta;

(c) 

utvrđuju mjere za smanjenje rizika od nenamjerne izmjene IKT sustavâ ili njihove namjerne manipulacije tijekom razvoja, održavanja i uvođenja tih IKT sustava u produkcijsko okruženje.
EULAW Članak 16. 2.
Financijski subjekti izrađuju, dokumentiraju i provode postupak za nabavu, razvoj i održavanje IKT sustavâ koji se odnosi na testiranje i odobrenje svih IKT sustava prije njihove upotrebe i nakon održavanja u skladu s člankom 8. stavkom 2. točkom (b) podtočkama v., vi. i vii. Razina testiranja razmjerna je ključnosti relevantnih poslovnih postupaka i IKT imovine. Testiranje se osmišljava za provjeru jesu li novi IKT sustavi primjereni za predviđeni rad, što uključuje provjeru kvalitete softvera razvijenog unutar samog subjekta.

Središnje druge ugovorne strane uz zahtjeve utvrđene u prvom podstavku u osmišljavanje i provedbu testiranja iz prvog podstavka prema potrebi uključuju:

(a) 

članove sustava poravnanja i klijente;

(b) 

interoperabilne središnje druge ugovorne strane;

(c) 

druge zainteresirane strane.

Središnji depozitoriji vrijednosnih papira uz zahtjeve utvrđene u prvom podstavku u osmišljavanje i provedbu testiranja iz prvog podstavka prema potrebi uključuju:

(a) 

korisnike;

(b) 

pružatelje ključnih javnih i drugih usluga;

(c) 

druge središnje depozitorije vrijednosnih papira;

(d) 

druge tržišne infrastrukture;

(e) 

sve ostale institucije s kojima su središnji depozitoriji vrijednosnih papira utvrdile međuovisnosti u politici kontinuiteta poslovanja.
EULAW Članak 16. 3.

Postupci iz stavka 2. uključuju provedbu preispitivanja izvornog koda koja obuhvaćaju statičko i dinamičko testiranje. To uključuje testiranje sigurnosti sustava i aplikacija izloženih internetu u skladu s člankom 8. stavkom 2. točkom (b) podtočkama v., vi. i vii. Financijski subjekti:

(a) 

utvrđuju i analiziraju ranjivosti i neobične pojave u izvornom kodu;

(b) 

donose akcijski plan za otklanjanje tih ranjivosti i neobičnih pojava;

(c) 

prate provedbu tog akcijskog plana.
EULAW Članak 16. 4.
Postupak iz stavka 2. uključuje testiranje softverskih paketa najkasnije u fazi integracije u skladu s člankom 8. stavkom 2. točkom (b) podtočkama v., vi. i vii.
EULAW Članak 16. 5.

Postupkom iz stavka 2. osigurava se sljedeće:

(a) 

u neprodukcijskim okruženjima pohranjuju se samo anonimizirani, pseudonimizirani ili randomizirani produkcijski podaci;

(b) 

financijski subjekti osiguravaju cjelovitost i povjerljivost podataka u neprodukcijskim okruženjima.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.