56. Le autorità competenti dovrebbero valutare se l’ente disponga di un framework efficace per …

Le autorità competenti dovrebbero valutare se l’ente disponga di un framework efficace per individuare, comprendere, misurare e mitigare il rischio di cambiamento ICT, proporzionato alla natura, all’ampiezza e alla complessità delle attività dell’ente e al profilo di rischio ICT dell’ente. Il framework dell’ente dovrebbe coprire i rischi connessi allo sviluppo, al collaudo e all’approvazione dei cambiamenti dei sistemi ICT, compreso lo sviluppo o il cambiamento del software, prima che questi vengano migrati nell’ambiente di produzione, e garantire un’adeguata gestione del ciclo di vita dell’ICT. Per questa valutazione, le autorità competenti dovrebbero, in particolar modo, considerare se il framework tenga conto di:

• a. processi documentati per la gestione e il controllo dei cambiamenti dei sistemi ICT (ad es. configurazione e gestione delle patch) e dei dati (ad es. correzione di bug o dati), assicurando l’adeguato coinvolgimento dei responsabili della gestione dei rischi ICT per importanti cambiamenti in materia di ICT che possano avere un impatto significativo sul profilo di rischio o sull’esposizione al rischio dell’ente;
• b. specifiche relative alla necessaria separazione dei compiti durante le varie fasi dei processi di cambiamento ICT realizzati (ad es. progettazione e sviluppo di soluzioni, test e approvazione di nuovi software e/o modifiche, migrazione e attuazione nell’ambiente di produzione e correzione dei bug), con particolare attenzione alle soluzioni attuate e alla separazione dei compiti per gestire e controllare i cambiamenti relativi ai sistemi ICT di produzione e ai dati da parte del personale responsabile ICT (ad es. sviluppatori, amministratori di sistemi ICT, amministratori di database) o da qualsivoglia altro soggetto (ad es. utenti aziendali, fornitori di servizi);
• c. ambienti di test che riflettano adeguatamente gli ambienti di produzione;
• d. un inventario delle attività delle applicazioni e dei sistemi ICT presenti nell’ambiente di produzione, nonché nell’ambiente di test e sviluppo, affinché i cambiamenti necessari (ad es. aggiornamenti della versione, patch di sistemi, modifiche di configurazione) possano essere correttamente gestiti, eseguiti e monitorati per i sistemi ICT interessati;
• e. un processo di monitoraggio e gestione del ciclo di vita dei sistemi ICT utilizzati, per garantire che continuino a soddisfare e supportare i requisiti effettivi di gestione aziendale e dei rischi, per assicurare che le soluzioni e i sistemi ICT utilizzati siano ancora supportati dai fornitori e che ciò sia correlato da procedure adeguate per il ciclo di vita di sviluppo software (SDLC);
• f. un sistema di controllo del codice sorgente del software e procedure appropriate per impedire modifiche non autorizzate al codice sorgente del software sviluppato internamente;
• g. un processo per condurre uno screening di sicurezza e di vulnerabilità di sistemi e software ICT nuovi o sottoposti a cambiamenti sostanziali, prima che vengano messi in produzione ed esposti a eventuali attacchi informatici;
• h. un processo e soluzioni per prevenire la diffusione non autorizzata o non intenzionale di dati riservati durante la sostituzione, l’archiviazione, l’eliminazione o la distruzione di sistemi ICT;
• i. un processo indipendente di revisione e validazione per ridurre i rischi generati da errori umani durante l’applicazione di cambiamenti ai sistemi ICT che possano avere un importante effetto negativo su disponibilità, continuità o sicurezza dell’ente (ad es. importanti modifiche alla configurazione del firewall) o sulla sicurezza dell’ente (ad es. cambiamenti nei firewall).
• (d) Controlli per la gestione dei rischi rilevanti di integrità dei dati ICT

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

3. Standard correlati

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/