56. Nadležna tijela trebala bi procijeniti postoji li u instituciji učinkovit okvir za utvrđivanje …

Nadležna tijela trebala bi procijeniti postoji li u instituciji učinkovit okvir za utvrđivanje, razumijevanje, mjerenje i smanjenje rizika promjena IKT- a, razmjeran prirodi, opsegu i složenosti aktivnosti institucije i profilu rizičnosti institucije u po gledu IKT-a. Okvir institucije trebao bi obuhvatiti rizike povezane s razvojem, testiranjem i odobravanjem promjena u sustavima IKT- a, uključujući razvoj ili promjenu programske opreme, prije uvođenja u produkcijsko okruženje te osigurati primjereno upravl janje životnim ciklusom IKT - a. Pri toj procjeni nadležna bi tijela ponajprije trebala razmotriti obuhvaća li taj okvir sljedeće:

• a. dokumentirane postupke za upravljanje i kontroliranje promjena u sustavima IKT-a (npr. upravljanje konfiguracijama i zakrpama) te nad podatcima (npr. popravljanje grešaka i ispravak podataka), kojima se osigurava odgovarajuća primjena upravljanja rizikom IKT - a kad je riječ o važnim promjenama IKT- a koje bi mogle znatno utjecati na profil rizičnosti institucije ili njezinu izložen ost riziku;
• b. detalje povezane s potrebnom segregacijom dužnosti tijekom raznih faza postupaka uvođenja promjena IKT- a (npr. osmišljavanje i razvoj rješenja, testiranje i odobravanje novih programa i/ili promjena, migracija i implementacija u produkcijskom o kruženju, popravljanje grešaka), s posebnim naglaskom na implementirana rješenja i podjelu zaduženja radi upravljanja i kontrole promjena koje zaposlenici IKT-a (npr. razvojni programeri, administratori sustava IKT-a, administratori baza podataka) ili neka druga strana (npr. poslovni korisnici, pružatelji usluga) unose u produkcijske sustave IKT i nad pripadnih podacima;
• c. okruženja za testiranje koja primjereno odgovaraju produkcijskim okruženjima;
• d. evidenciju postojećih aplikacija i sustava IKT -a u produkci jskom okruženju, kao i u testnom i razvojnom okruženju, kako bi se potrebne promjene (npr. ažuriranja ili nadogradnje verzija, zakrpe sustava, konfiguracijske promjene) mogle pravilno provesti i pratiti te kako bi se njima moglo upravljati kad je riječ o t im sustavima IKT-a;
• e. postupke upravljanja i praćenja životnog ciklusa sustava IKT -a koji se upotrebljavaju ,kako bi se zajamčilo da i dalje zadovoljavaju i podržavaju stvarne poslovne zahtjeve i zahtjeve povezane s upravljanjem rizicima te kako bi se osigur alo da dobavljači još podržavaju rješenja i sustave IKT -a koji se upotrebljavaju, a ti postupci trebali bi biti popraćeni odgovarajućim postupcima povezanim sa životnim ciklusom razvoja programske podrške;
• f. sustav kontrole izvornog programskog koda i primje rene postupke za sprječavanje neovlaštenih izmjena izvornog programskog koda razvijenog unutar institucije;
• g. postupak za provjeru sigurnosti i ranjivosti novih ili značajno izmijenjenih sustava ili programske podrške IKT - a, prije nego što se uvedu u produkciju i izlože mogućim kibernetičkim napadima;
• h. postupak i rješenja za sprječavanje neovlaštenog ili nenamjernog otkrivanja povjerljivih podataka pri zamjeni, arhiviranju, uklanjanju ili uništavanju sustava IKT -a;
• i. neovisan postupak provjere i validacije kako bi se smanjio rizik ljudske pogreške pri izvršavanju promjena na sustavima IKT- a koje bi mogle imati važan nepovoljan učinak na dostupnost, kontinuitet ili sigurnost poslovanja institucije (npr. važne promjene u konfiguraciji vatrozida) ili samo na sigurnost institucije (npr. promjene vatrozida).
• (d) Kontrole za upravljanje značajnim rizicima IKT -a povezanim s integritetom podataka

1. Pregled

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

3. Povezani standardi

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/