+Environment Risk Mitigation Measures

Environment Risk Mitigation Measures

Put in place measures to mitigate the risk of unintentional alteration or intentional manipulation during development, maintenance, and deployment in production. Protect the integrity and confidentiality of data in non-production environments. Store only anonymized, pseudonymized, or randomized production data. 

Production data that are not anonymized, not pseudonymized or not randomized may be stored only for specific testing occasions, for limited periods of time and following the approval by the relevant function and, for financial entities other than microenterprises, the reporting of such occasions to the ICT
risk management function.

1. Pārskats

1.1 Atsauces

1.2 Identificētās prasības

1.3 Saistītie tiesību akti

2. Identificētās prasības

Prasības

3. Saistītie tiesību akti

Tiesību akti
EULAW 16. pants 1.

Kā daļu no aizsardzības pasākumiem, ko veic, lai saglabātu datu pieejamību, autentiskumu, integritāti un konfidencialitāti, finanšu vienības izstrādā, dokumentē un īsteno politiku, kas reglamentē IKT sistēmu iegādi, izstrādi un uzturēšanu. Minētā politika:

a) 

nosaka drošības praksi un metodiku saistībā ar IKT sistēmu iegādi, izstrādi un uzturēšanu;

b) 

prasa, lai tiktu identificētas:

i) 

tehniskās specifikācijas un IKT tehniskās specifikācijas, kas definētas Regulas (ES) Nr. 1025/2012 2. panta 4. un 5. punktā;

ii) 

prasības saistībā ar IKT sistēmu iegādi, izstrādi un uzturēšanu, īpašu uzmanību pievēršot IKT drošības prasībām un to apstiprināšanai, ko veic attiecīgā darbības funkcija un IKT aktīvu īpašnieks saskaņā ar finanšu vienības iekšējo pārvaldības kārtību;

c) 

nosaka pasākumus, lai mazinātu IKT sistēmu nejaušas pārveides vai tīšu manipulāciju ar tām risku, kad šīs IKT sistēmas tiek izstrādātas, uzturētas un ieviestas ražošanas vidē.
EULAW 16. pants 2.
Finanšu vienības izstrādā, dokumentē un īsteno IKT sistēmu iegādes, izstrādes un uzturēšanas procedūru visu IKT sistēmu testēšanai un apstiprināšanai pirms to izmantošanas un pēc uzturēšanas saskaņā ar 8. panta 2. punkta b) apakšpunkta v), vi) un vii) punktu. Testēšanas līmenis ir samērīgs ar darbības procedūru un attiecīgo IKT aktīvu kritiskumu. Testēšanu plāno tā, lai pārbaudītu, vai jaunas IKT sistēmas ir atbilstošas, lai darbotos, kā paredzēts, tajā skaitā pārbaudītu iekšēji izstrādātas programmatūras kvalitāti.

Centrālie darījumu partneri papildus pirmajā daļā noteiktajām prasībām pirmajā daļā minētajā testēšanas plānošanā un veikšanā pēc vajadzības iesaista:

a) 

tīrvērtes dalībniekus un klientus;

b) 

sadarbspējīgus centrālos darījumu partnerus;

c) 

citas ieinteresētās personas.

Centrālie vērtspapīru depozitāriji papildus pirmajā daļā noteiktajām prasībām pirmajā daļā minētajā testēšanas plānošanā un veikšanā pēc vajadzības iesaista:

a) 

lietotājus;

b) 

kritiski svarīgus sabiedrisko pakalpojumu sniedzējus un kritiski svarīgus pakalpojumu sniedzējus;

c) 

citus centrālos vērtspapīru depozitārijus;

d) 

citas tirgus infrastruktūras;

e) 

jebkuras citas iestādes, ar kurām centrālajiem vērtspapīru depozitārijiem ir identificēta savstarpējā atkarība to uzņēmējdarbības nepārtrauktības politikā.
EULAW 16. pants 3.

Šā panta 2. punktā minētā procedūra ietver pirmkodu pārskatīšanu, kas aptver gan statisko, gan dinamisko testēšanu. Minētā testēšana ietver internetā izmantotu sistēmu un lietojumprogrammu drošības testēšanu saskaņā ar 8. panta 2. punkta b) apakšpunkta v), vi) un vii) punktu. Finanšu vienības:

a) 

identificē un analizē pirmkoda ievainojamību un anomālijas;

b) 

pieņem rīcības plānu šīs ievainojamības un anomāliju risināšanai;

c) 

uzrauga minētā rīcības plāna īstenošanu.
EULAW 16. pants 4.
Šā panta 2. punktā minētā procedūra ietver programmatūras pakotņu drošības testēšanu, ko veic ne vēlāk kā integrācijas posmā saskaņā ar 8. panta 2. punkta b) apakšpunkta v), vi) un vii) punktu.
EULAW 16. pants 5.

Šā panta 2. punktā minētā procedūra nodrošina, ka:

a) 

neražošanas vide glabā tikai anonimizētus, pseidonimizētus vai randomizētus ražošanas datus;

b) 

finanšu vienībām ir jāaizsargā datu integritāte un konfidencialitāte neražošanas vidēs.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.