56. Le autorità competenti dovrebbero valutare se l’ente disponga di un framework efficace per …

Le autorità competenti dovrebbero valutare se l’ente disponga di un framework efficace per individuare, comprendere, misurare e mitigare il rischio di cambiamento ICT, proporzionato alla natura, all’ampiezza e alla complessità delle attività dell’ente e al profilo di rischio ICT dell’ente. Il framework dell’ente dovrebbe coprire i rischi connessi allo sviluppo, al collaudo e all’approvazione dei cambiamenti dei sistemi ICT, compreso lo sviluppo o il cambiamento del software, prima che questi vengano migrati nell’ambiente di produzione, e garantire un’adeguata gestione del ciclo di vita dell’ICT. Per questa valutazione, le autorità competenti dovrebbero, in particolar modo, considerare se il framework tenga conto di:

• a. processi documentati per la gestione e il controllo dei cambiamenti dei sistemi ICT (ad es. configurazione e gestione delle patch) e dei dati (ad es. correzione di bug o dati), assicurando l’adeguato coinvolgimento dei responsabili della gestione dei rischi ICT per importanti cambiamenti in materia di ICT che possano avere un impatto significativo sul profilo di rischio o sull’esposizione al rischio dell’ente;
• b. specifiche relative alla necessaria separazione dei compiti durante le varie fasi dei processi di cambiamento ICT realizzati (ad es. progettazione e sviluppo di soluzioni, test e approvazione di nuovi software e/o modifiche, migrazione e attuazione nell’ambiente di produzione e correzione dei bug), con particolare attenzione alle soluzioni attuate e alla separazione dei compiti per gestire e controllare i cambiamenti relativi ai sistemi ICT di produzione e ai dati da parte del personale responsabile ICT (ad es. sviluppatori, amministratori di sistemi ICT, amministratori di database) o da qualsivoglia altro soggetto (ad es. utenti aziendali, fornitori di servizi);
• c. ambienti di test che riflettano adeguatamente gli ambienti di produzione;
• d. un inventario delle attività delle applicazioni e dei sistemi ICT presenti nell’ambiente di produzione, nonché nell’ambiente di test e sviluppo, affinché i cambiamenti necessari (ad es. aggiornamenti della versione, patch di sistemi, modifiche di configurazione) possano essere correttamente gestiti, eseguiti e monitorati per i sistemi ICT interessati;
• e. un processo di monitoraggio e gestione del ciclo di vita dei sistemi ICT utilizzati, per garantire che continuino a soddisfare e supportare i requisiti effettivi di gestione aziendale e dei rischi, per assicurare che le soluzioni e i sistemi ICT utilizzati siano ancora supportati dai fornitori e che ciò sia correlato da procedure adeguate per il ciclo di vita di sviluppo software (SDLC);
• f. un sistema di controllo del codice sorgente del software e procedure appropriate per impedire modifiche non autorizzate al codice sorgente del software sviluppato internamente;
• g. un processo per condurre uno screening di sicurezza e di vulnerabilità di sistemi e software ICT nuovi o sottoposti a cambiamenti sostanziali, prima che vengano messi in produzione ed esposti a eventuali attacchi informatici;
• h. un processo e soluzioni per prevenire la diffusione non autorizzata o non intenzionale di dati riservati durante la sostituzione, l’archiviazione, l’eliminazione o la distruzione di sistemi ICT;
• i. un processo indipendente di revisione e validazione per ridurre i rischi generati da errori umani durante l’applicazione di cambiamenti ai sistemi ICT che possano avere un importante effetto negativo su disponibilità, continuità o sicurezza dell’ente (ad es. importanti modifiche alla configurazione del firewall) o sulla sicurezza dell’ente (ad es. cambiamenti nei firewall).
• (d) Controlli per la gestione dei rischi rilevanti di integrità dei dati ICT

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

3. Standard correlati

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.