+OTAP Implementation
|
OTAP Implementation
Ensure segregation of production environments from development, testing, and other non-production environments, encompassing all components of an environment. This also includes requirements to conduct the development and testing in production environments. Ensure that the instances in which testing is performed in production environment are clearly identified, justified, for limited periods of time approved by the relevant function.
1. Pārskats
1.1 Atsauces
1.2 Identificētās prasības
1.3 Saistītie tiesību akti
2. Identificētās prasības
3. Saistītie tiesību akti
Tiesību akti
| Avots |
Regulējums |
|
EULAW
|
8. pants 1.
Kā daļu no Regulas (ES) 2022/2554 9. panta 2. punktā minētās IKT drošības politikas, procedūrām, protokoliem un rīkiem finanšu vienības izstrādā, dokumentē un īsteno IKT darbību pārvaldības politiku un procedūras. Minētajā politikā un procedūrās skaidri nosaka, kā finanšu vienības ekspluatē, uzrauga, kontrolē un atjauno savus IKT aktīvus, ietverot IKT darbību dokumentēšanu.
|
|
EULAW
|
8. pants 2.
Šā panta 1. punktā minētajā IKT darbību politikā un procedūrā iekļauj visus šos elementus:
a)
IKT aktīvu apraksts, ietverot visu turpmāk minēto:
i)
prasības attiecībā uz IKT sistēmas drošu instalēšanu, uzturēšanu, konfigurēšanu un atinstalēšanu;
ii)
prasības attiecībā uz IKT aktīvu izmantoto informācijas aktīvu pārvaldību, tajā skaitā to apstrādi un darbībām ar tiem – gan automatizētām, gan manuālām;
iii)
prasības attiecībā uz mantoto IKT sistēmu identifikāciju un kontroli;
b)
IKT sistēmu kontroles un uzraudzība, ietverot visu turpmāk minēto:
i)
prasības attiecībā uz IKT sistēmu rezerves kopiju veidošanu un atjaunošanu;
ii)
grafiku veidošanas prasības, ņemot vērā IKT sistēmu savstarpējo atkarību;
iii)
protokoli revīzijas izsekojamības un sistēmu žurnāla informācijai;
iv)
prasības, lai nodrošinātu, ka iekšējās revīzijas un citas testēšanas veikšana līdz minimumam samazina traucējumus uzņēmējdarbībā;
v)
prasības par IKT ražošanas vides nodalīšanu no izstrādes, testēšanas un citām neražošanas vidēm;
vi)
prasības veikt izstrādi un testēšanu vidēs, kas ir nodalītas no ražošanas vides;
vii)
prasības veikt izstrādi un testēšanu ražošanas vidēs;
c)
kļūdu apstrāde saistībā ar IKT sistēmām, ietverot visu turpmāk minēto:
i)
procedūras un protokoli kļūdu apstrādei;
ii)
kontaktpersonas, kuras sniedz atbalstu un kurām ziņot, tajā skaitā ārējā atbalsta kontaktpersonas, pie kurām vērsties neparedzētu darbības vai tehnisku jautājumu gadījumā;
iii)
IKT sistēmu restartēšanas, atrites un atgūšanas procedūras izmantošanai IKT sistēmu traucējumu gadījumā.
Šā punkta b) apakšpunkta v) punkta nolūkos nodalīšanā ņem vērā visus vides komponentus, tajā skaitā kontus, datus vai savienojumus, kā prasīts 13. panta pirmās daļas a) punktā. Šā punkta b) apakšpunkta vii) punkta nolūkos 1. punktā minētā politika un procedūras nodrošina, ka gadījumi, kad testēšanu veic ražošanas vidē, ir skaidri identificēti, pamatoti, ir uz ierobežotu laiku un ka tos apstiprinājusi attiecīgā funkcija saskaņā ar 16. panta 6. punktu. Finanšu vienības nodrošina IKT sistēmu un ražošanas datu pieejamību, konfidencialitāti, integritāti un autentiskumu izstrādes un testēšanas darbību laikā ražošanas vidē.
|
|
EULAW
|
17. pants 1.
Kā daļu no aizsardzības pasākumiem, ko veic, lai saglabātu datu pieejamību, autentiskumu, integritāti un konfidencialitāti, finanšu vienības IKT izmaiņu pārvaldības procedūrās, kas minētas Regulas (ES) 2022/2554 9. panta 4. punkta e) apakšpunktā, attiecībā uz visām programmatūras, aparatūras, aparātprogrammatūras komponentu, sistēmu vai drošības parametru izmaiņām iekļauj visus šos elementus:
a)
pārbaude par to, vai ir izpildītas IKT drošības prasības;
b)
mehānismi, lai nodrošinātu to funkciju neatkarību, kuras apstiprina izmaiņas, un to funkciju neatkarību, kuras atbild par minēto izmaiņu pieprasīšanu un īstenošanu;
c)
uzdevumu un atbildības skaidrs apraksts, lai nodrošinātu, ka:
i)
izmaiņas tiek konkrēti noteiktas un plānotas;
ii)
ir plānota atbilstoša pāreja;
iii)
izmaiņas tiek testētas un pabeigtas kontrolētā vidē;
iv)
pastāv efektīva kvalitātes nodrošināšana;
d)
izmaiņu datu dokumentēšana un paziņošana, tajā skaitā:
i)
izmaiņu mērķis un tvērums;
ii)
termiņš izmaiņu īstenošanai;
e)
darbības nepārtrauktības procedūru un atbildības identifikācija, tajā skaitā procedūras un atbildība par izmaiņu atcelšanu vai atgūšanos pēc izmaiņām, kas īstenotas neveiksmīgi;
f)
procedūras, protokoli un rīki ārkārtas izmaiņu pārvaldībai, kas nodrošina pienācīgu aizsardzību;
g)
procedūras, lai dokumentētu, atkārtoti izvērtētu, novērtētu un apstiprinātu ārkārtas izmaiņas pēc to īstenošanas, ieskaitot aprisinājumus un ielāpus;
h)
izmaiņu potenciālās ietekmes uz esošajiem IKT drošības pasākumiem identifikācija un novērtējums par to, vai šādu izmaiņu dēļ ir jāpieņem papildu IKT drošības pasākumi.
|
|
EULAW
|
17. pants 2.
Pēc būtisku izmaiņu ieviešanas savās IKT sistēmas centrālie darījumu partneri un centrālie vērtspapīru depozitāriji pakļauj savas IKT sistēmas stingrai testēšanai, kurā simulē stresa apstākļus. Centrālie darījumu partneri pirmajā daļā minētajā testēšanas plānošanā un veikšanā pēc vajadzības iesaista:
a)
tīrvērtes dalībniekus un klientus;
b)
sadarbspējīgus centrālos darījumu partnerus;
c)
citas ieinteresētās personas.
Centrālie vērtspapīru depozitāriji pirmajā daļā minētajā testēšanas plānošanā un veikšanā pēc vajadzības iesaista:
b)
kritiski svarīgus sabiedrisko pakalpojumu sniedzējus un kritiski svarīgus pakalpojumu sniedzējus;
c)
citus centrālos vērtspapīru depozitārijus;
d)
citas tirgus infrastruktūras;
e)
jebkuras citas iestādes, ar kurām centrālajiem vērtspapīru depozitārijiem ir identificēta savstarpējā atkarība to IKT darbības nepārtrauktības politikā.
|
|