56. Kompetentajām iestādēm jānovērtē, vai iestādei ir izstrādāta efektīva sistēma IKT izmaiņu riska …

Kompetentajām iestādēm jānovērtē, vai iestādei ir izstrādāta efektīva sistēma IKT izmaiņu riska apzināšanai, izprašanai, mērīšanai un mazināšanai samērīgi ar iestādes darbības raksturu, mērogu un sarežģītību un iestādes IKT riska profilu. Iestādes sistēmai jāaptver riski, kas saistīti ar IKT sistēmu izmaiņu izstrādi, testēšanu un apstiprināšanu, tostarp programmatūras izstrādi vai izmainīšanu, pirms to pārcelšanas uz ražošanas vidi, un ar atbilstošas IKT dzīves cikla pārvaldības nodrošināšanu. Attiecībā uz šo novērtējumu kompetentajām iestādēm būtu jo īpaši jāņem vērā tas, vai sistēmai ir:

• a. dokumentēti procesi IKT sistēmu izmaiņu pārvaldīšanai un kontrolēšanai (piemēram, konfigurācijas un ielāpu pārvaldībai) un datu pārvaldīšanai un kontrolēšanai (piemēram, kļūdu noteikšanai vai datu koriģēšanai), nodrošinot pienācīgu IKT riska pārvaldības iesaisti svarīgās IKT izmaiņās, kas var būtiski ietekmēt iestādes riska profilu vai iedarbību;
• b. specifikācijas attiecībā uz nepieciešamo pienākumu sadali dažādos īstenoto IKT izmaiņu procesu posmos (piemēram, risinājuma izstrādē un izveidē, jaunas programmatūras un/vai izmaiņu testēšanā un apstiprināšanā, migrācijā un īstenošanā ražošanas vidē un kļūdu noteikšanā), akcentējot īstenotos risinājumus un pienākumu sadali, lai pārvaldītu un kontrolētu izmaiņas ražošanas IKT sistēmās un datos, ko veic IKT personāls (piemēram, izstrādātāji, IKT sistēmu administratori un datubāzu administratori) vai jebkuras citas personas (piemēram, lietotāji darba vajadzībām un pakalpojumu sniedzēji);
• c. testēšanas vide, kas pietiekami atbilst ražošanas videi;
• d. esošo lietotņu un IKT sistēmu aktīvu saraksts ražošanas vidē, kā arī testēšanas un izstrādes vidē, lai nepieciešamās izmaiņas (piemēram, versiju atjauninājumus vai uzlabojumus, sistēmu ielāpošanu un konfigurācijas izmaiņas) varētu pareizi pārvaldīt, īstenot un uzraudzīt attiecībā uz iesaistītajām IKT sistēmām;
• e. procedūras izmantoto IKT sistēmu dzīves cikla uzraudzībai un pārvaldībai, lai varētu nodrošināt, ka tās arī turpmāk atbilst spēkā esošajām uzņēmējdarbības un riska pārvaldības prasībām un atbalsta tās, un nodrošināt, ka tirgotāji arī turpmāk atbalsta izmantotos IKT risinājumus un sistēmas un to visu papildina atbilstošas programmatūras izstrādes dzīves cikla (SDLC ) procedūras;
• f. programmatūras pirmkoda kontroles sistēma un atbilstošas procedūras neatļautu izmaiņu novēršanai programmatūras pirmkodā, kas izstrādātas pašā organizācijā;
• g. procedūras jauno vai būtiski izmainīto IKT sistēmu un programmatūras drošības un neaizsargātības pārbaužu veikšanai pirms to laišanas ražošanā un pakļaušanas iespējamiem kiberuzbrukumiem;
• h. procedūras un risinājumi konfidenciālo datu neatļautas vai netīšas izpaušanas novēršanai, nomainot, arhivējot, izmetot vai iznīcinot IKT sistēmas;
• i. neatkarīgi pārskata un apstiprināšanas procesi, lai varētu samazināt cilvēka kļūdu riskus, veicot tādas izmaiņas IKT sistēmās, kas var būtiski kaitēt iestādes pieejamībai, darbības nepārtrauktībai vai drošībai (piemēram, būtiskas izmaiņas ugunsmūra konfigurācijā), vai iestādes drošībai (piemēram, izmaiņas ugunsmūros).
• (d) Kontroles pasākumi būtisko IKT datu integritātes risku pārvaldībai

1. Pārskats

1.1 Atsauces

1.2 Identificētās prasības

1.3 Saistītie standarti

2. Identificētās prasības

3. Saistītie standarti

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/