+Environment Risk Mitigation Measures

Environment Risk Mitigation Measures

Put in place measures to mitigate the risk of unintentional alteration or intentional manipulation during development, maintenance, and deployment in production. Protect the integrity and confidentiality of data in non-production environments. Store only anonymized, pseudonymized, or randomized production data. 

Production data that are not anonymized, not pseudonymized or not randomized may be stored only for specific testing occasions, for limited periods of time and following the approval by the relevant function and, for financial entities other than microenterprises, the reporting of such occasions to the ICT
risk management function.

1. Apžvalga

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję teisės aktai

2. Nustatyti reikalavimai

Reikalavimai

3. Susiję teisės aktai

Teisės aktai
EULAW 16 straipsnis 1.

Finansų sektoriaus subjektai parengia, dokumentuoja ir įgyvendina IRT sistemų įsigijimo, kūrimo ir priežiūros politiką ir įtraukia ją į apsaugos priemones, kuriomis siekiama išsaugoti duomenų prieinamumą, autentiškumą, vientisumą ir konfidencialumą. Pagal tą politiką:

a) 

nustatoma saugumo praktika ir metodika, susijusios su IRT sistemų įsigijimu, kūrimu ir priežiūra;

b) 

reikalaujama nustatyti:

i) 

technines specifikacijas ir IRT technines specifikacijas, apibrėžtas Reglamento (ES) Nr. 1025/2012 2 straipsnio 4 ir 5 punktuose;

ii) 

su IRT sistemų įsigijimu, kūrimu ir priežiūra susijusius reikalavimus, kuriais ypatingas dėmesys skiriamas IRT saugumo reikalavimams ir jų patvirtinimui, kurį atlieka atitinkamą veiklos funkciją vykdantis darbuotojas ir IRT turto savininkas pagal finansų sektoriaus subjekto vidaus valdymo priemones;

c) 

nustatomos priemonės, kuriomis mažinama netyčinio IRT sistemų pakeitimo ar tyčinio manipuliavimo jomis rizika tų IRT sistemų kūrimo, priežiūros ir diegimo produkcinėje aplinkoje metu.
EULAW 16 straipsnis 2.
Finansų sektoriaus subjektai parengia, dokumentuoja ir įgyvendina IRT sistemų įsigijimo, kūrimo ir priežiūros procedūrą, skirtą visų IRT sistemų testavimui ir patvirtinimui iki pradedant jas naudoti ir po priežiūros pagal 8 straipsnio 2 dalies b punkto v, vi ir vii papunkčius. Testavimo lygis turi būti proporcingas atitinkamų veiklos procedūrų ir IRT turto ypatingai svarbai. Testavimas turi būti suplanuotas taip, kad būtų galima patikrinti naujų IRT sistemų pajėgumą veikti, kaip numatyta, įskaitant subjekto viduje sukurtos programinės įrangos kokybę.

Pagrindinės sandorių šalys, be pirmoje pastraipoje išdėstytų reikalavimų, į pirmoje pastraipoje nurodyto testavimo planavimą ir atlikimą, kai tinkama, įtraukia:

a) 

tarpuskaitos narius ir klientus;

b) 

sąveikias pagrindines sandorių šalis;

c) 

kitas suinteresuotąsias šalis.

Centriniai vertybinių popierių depozitoriumai, be pirmoje pastraipoje išdėstytų reikalavimų, į pirmoje pastraipoje nurodyto testavimo planavimą ir atlikimą, kai tinkama, įtraukia:

a) 

naudotojus;

b) 

ypatingos svarbos komunalinių paslaugų ir ypatingos svarbos paslaugų teikėjus;

c) 

kitus centrinius vertybinių popierių depozitoriumus;

d) 

kitas rinkos infrastruktūras;

e) 

visas kitas įstaigas, su kuriomis centrinių vertybinių popierių depozitoriumus, kaip nustatyta jų veiklos tęstinumo politikoje, sieja tarpusavio priklausomybės ryšiai.
EULAW 16 straipsnis 3.

Pagal 2 dalyje nurodytą procedūrą atliekamos pirminio kodo peržiūros, apimančios tiek statinį, tiek dinaminį testavimą. Tas testavimas apima internetu pasiekiamų sistemų ir taikomųjų programų saugumo testavimą pagal 8 straipsnio 2 dalies b punkto v, vi ir vii papunkčius. Finansų sektoriaus subjektai:

a) 

identifikuoja ir analizuoja pirminio kodo pažeidžiamumus ir anomalijas;

b) 

priima veiksmų planą, pagal kurį tie pažeidžiamumai ir anomalijos šalinami;

c) 

stebi to veiksmų plano įgyvendinimą.
EULAW 16 straipsnis 4.
Pagal 2 dalyje nurodytą procedūrą ne vėliau kaip integravimo etapu atliekamas programinės įrangos paketų saugumo testavimas pagal 8 straipsnio 2 dalies b punkto v, vi ir vii papunkčius.
EULAW 16 straipsnis 5.

Pagal 2 dalyje nurodytą procedūrą nustatoma, kad:

a) 

neprodukcinėse aplinkose būtų saugomi tik anoniminiai, pseudoniminiai ar atsitiktine tvarka surinkti produkcinės aplinkos duomenys;

b) 

finansų sektoriaus subjektai turi apsaugoti duomenų vientisumą ir konfidencialumą neprodukcinėje aplinkoje.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.