56. Kompetentingos institucijos turėtų vertinti, ar įstaiga taiko veiksmingą IRT pakeitimų rizikos …

Kompetentingos institucijos turėtų vertinti, ar įstaiga taiko veiksmingą IRT pakeitimų rizikos nustatymo, supratimo, vertinimo ir mažinimo sistemą, atitinkančią įstaigos veiklos pobūdį, mastą, sudėtingumą ir IRT rizikos profilį. Įstaigos sistema turėtų apimti riziką, susijusią su IRT sistemų pakeitimų rengimu, testavimu ir patvirtinimu, įskaitant programinės įrangos kūrimą arba keitimą, prieš šias sistemas perkeliant į gamybos aplinką, ir šia sistema turėtų būti užtikrinamas tinkamas IRT gyvavimo ciklo valdymas. Atlikdamos šį vertinimą kompetentingos institucijos pirmiausia turėtų atsižvelgti į tai, ar šioje sistemoje atsižvelgiama į:

• a. dokumentuojamus procesus, kuriais valdomi ir kontroliuojami IRT sistemų pakeitimai (pvz., konfigūravimo ir pataisų valdymas) bei duomenų pakeitimai (pvz., klaidų taisymas arba duomenų tikslinimas) ir užtikrinamas tinkamas IRT rizikos vadovybės dalyvavimas atliekant svarbius IRT pakeitimus, galinčius turėti reikšmingos įtakos įstaigos rizikos profiliui arba pozicijai;
• b. specifikacijas, susijusias su reikiamu pareigų atskyrimu įvairiais įgyvendinamų IRT keitimo procesų etapais (pvz., sprendimų projektavimo ir plėtojimo, naujos programinės įrangos ir (arba) pakeitimų testavimo ir patvirtinimo, perkėlimo ir įgyvendinimo gamybos aplinkoje, klaidų taisymo), atkreipiant dėmesį į įgyvendintus sprendimus ir pareigų atskyrimą, siekiant valdyti ir kontroliuoti IRT darbuotojų (pvz., kūrėjų, IRT sistemų administratorių, duomenų bazių administratorių) arba kitos šalies (pvz., verslo naudotojų, paslaugų teikėjų) atliekamus gamybos IRT sistemų ir duomenų pakeitimus;
• c. testavimo aplinkas, kuriomis tinkamai atsižvelgiama į gamybos aplinkas;
• d. esamų gamybos, testavimo ir kūrimo aplinkose veikiančių taikomųjų programų ir IRT sistemų turto aprašą, kad būtų galima tinkamai valdyti, įgyvendinti ir stebėti reikiamus susijusių IRT sistemų pakeitimus (pvz., versijų naujinimą arba naujovinimą, sistemų taisymą, konfigūracijos pakeitimus);
• e. naudojamų IRT sistemų gyvavimo ciklo stebėsenos ir valdymo procesą, siekiant užtikrinti, kad šios sistemos toliau atitiktų ir palaikytų faktinės veiklos ir rizikos valdymo reikalavimus, kad naudojamus IRT sprendimus ir sistemas vis dar prižiūrėtų jų pardavėjai ir kad būtų taikomos pagalbinės tinkamos programinės įrangos kūrimo ciklo (angl. SDLC) procedūros;
• f. programinės įrangos pirminio teksto kontrolės sistemą ir atitinkamas procedūras, kuriomis siekiama išvengti neteisėtų vietoje sukurtos programinės įrangos pirminio teksto pakeitimų;
• g. procesą, per kurį atliekama naujų arba reikšmingai pakeistų IRT sistemų ir programinės įrangos saugumo ir pažeidžiamumo patikra, prieš išleidžiant jas į gamybos aplinką ir aplinką, kurioje jos gali tapti kibernetinių išpuolių taikiniu;
• h. procesus ir sprendimus, kuriais siekiama išvengti neteisėto arba netyčinio konfidencialių duomenų atskleidimo pakeičiant, archyvuojant, šalinant arba naikinant IRT sistemas;
• i. nepriklausomus patikros ir patvirtinimo procesus, kuriais siekiama sumažinti riziką, susijusią su žmonių klaidomis atliekant IRT sistemų pakeitimus, galinčiomis turėti didelį neigiamą poveikį įstaigos veiklos prieinamumui, tęstinumui arba saugumui (pvz., atliekant didelius užkardos konfigūracijos pakeitimus) arba įstaigos saugumui (pvz., atliekant užkardų pakeitimus).
• (d) Reikšmingai IRT duomenų vientisumo rizikai valdyti skirtos kontrolės priemonės

1. Apžvalga

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję standartai

2. Nustatyti reikalavimai

3. Susiję standartai

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/