56. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény hatékony keretrendszerrel …

Az illetékes hatóságoknak értékelniük kell, hogy az intézmény hatékony keretrendszerrel rendelkezik-e az IKT- változásokhoz kapcsolódó kockázatok azonosítása, megértése, mérése és mérséklése céljából, amely arányban áll az intézmény tevékenységeinek jellegével, nagyságrendjével és összetettségével, valamint az intézmény IKT-kockázati profiljával. Az intézmény keretrendszerének fel kell ölelnie az IKT-rendszerek fejlesztésével, tesztelésével és változtatásainak jóváhagyásával kapcsolatos kockázatokat, ideértve a szoftverek fejlesztését vagy változtatását, mielőtt azokat az éles környezetbe migrálnák, és biztosítania kell a megfelelő IKT -életcikluskezelést. Ezen értékelés érdekében az illetékes hatóságoknak különösen azt kell figyelembe venniük, hogy a keretrendszer vizsgálja - e a következőket:

• a. dokumentált folyamatok az IKT-rendszerek változásain ak kezelése és ellenőrzése céljából (pl. konfiguráció- és javítócsomag - kezelés) és az adatok változásainak kezelése és ellenőrzése céljából (pl. hibajavítás és adatjavítások), amelyek biztosítják az IKT - kockázatkezelés megfelelő bevonását az IKT olyan font os változásai esetén, amelyek jelentős hatást gyakorolhatnak az intézmény kockázati profiljára vagy kitettségére;
• b. a bevezetett IKT- változások különböző szakaszaira vonatkozó összeférhetetlenségi előírások (pl. megoldások tervezése és fejlesztése, új szoftverek és/vagy változások tesztelése és jóváhagyása, migráció és az éles környezetben való bevezetés, valamint hibajavítás), a bevezetett megoldásokra és az éles IKT- rendszereket és adatokat érintő változások kezelésével és ellenőrzésével kapcsolatos, az IKT- személyzet (pl. fejlesztők, IKT - rendszergazdák, adatbázis -adminisztrátorok) vagy bármely másik fél (pl. üzleti felhasználók, szolgáltatók) által ellátott feladatok elkülönítésére összpontosítva;
• c. az éles környezetet megfelelően tükröző tesztkörnyezetek;
• d. a z éles környezet, valamint a teszt - és fejlesztési környezet meglévő alkalmazásainak és IKT - rendszereinek eszköz nyilvántartása, hogy a szükséges változtatásokat (pl. verziófrissítések, javítások, konfigurációs változtatások) az érintett IKT -rendszerek tek intetében megfelelően lehessen kezelni, végrehajtani és nyomon követni;
• e. a használatban lévő IKT -rendszerek életciklusának nyomon követésére és kezelésére szolgáló folyamat, amellyel biztosítható, hogy azok továbbra is megfeleljenek az aktuális üzleti és ko ckázatkezelési követelményeknek és támogassák azokat, valamint amellyel meg lehet győződni arról, hogy a használatban lévő IKT -megoldásokat és - rendszereket szállítóik továbbra is támogatják-e; és hogy ezt a szoftverfejlesztési életciklusra (SDLC) vonatkoz ó megfelelő eljárások kísérik -e;
• f. a szoftverforráskódok ellenőrzési rendszere és megfelelő eljárások, amelyek célja, hogy megakadályozzák a jogosulatlan változtatásokat a házon belül fejlesztett szoftverek forráskódjában;
• g. az új vagy lényegesen átalakított I KT- rendszerek biztonsági és sérülékenységi szűrésének folyamata az éles üzembe állítást és a lehetséges kibertámadásoknak való kitettséget megelőzően;
• h. az IKT- rendszerek cseréjekor, archiválásakor, megszüntetésekor vagy megsemmisítésekor a bizalmas adatok j ogosulatlan vagy nem szándékos kiszolgáltatásának megelőzésére szolgáló folyamat és megoldások;
• i. független felülvizsgálati és hitelesítési folyamatok, amelyek célja az emberi hibák kockázatának csökkentése az IKT-rendszerek azon változtatásainak a végrehajt ása során, amelyek fontos káros hatást gyakorolhatnak az intézmény rendelkezésre állására, üzletmenet -folytonosságára vagy biztonságára (pl. a tűzfal beállításának fontos változtatásai) vagy az intézmény biztonságára (pl. a tűzfalak változtatásai).
• (d) Az IKT adatintegritással kapcsolatos lényeges kockázatok kezelésére szolgáló kontrollintézkedések

1. Áttekintés

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabványok

2. Azonosított követelmények

3. Kapcsolódó szabványok

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/