+Source Code Reviews

Source Code Reviews

Conduct source code reviews encompassing static and dynamic testing, for the purpose of acquisition, development and maintenance of ICT-systems. Include security testing for internet-exposed systems. Identify and address vulnerabilities and anomalies in the source code and put in place plans to mitigate them. Monitor mitigation efforts. Implement controls to safeguard the integrity of source code, whether developed in-house or by a third-party service provider. Analyze and test source code and proprietary software provided by third-party service providers or from open-source projects for vulnerabilities.

1. Pārskats

1.1 Atsauces

1.2 Identificētās prasības

1.3 Saistītie tiesību akti

2. Identificētās prasības

Prasības

3. Saistītie tiesību akti

Tiesību akti
EULAW 16. pants 1.

Kā daļu no aizsardzības pasākumiem, ko veic, lai saglabātu datu pieejamību, autentiskumu, integritāti un konfidencialitāti, finanšu vienības izstrādā, dokumentē un īsteno politiku, kas reglamentē IKT sistēmu iegādi, izstrādi un uzturēšanu. Minētā politika:

a) 

nosaka drošības praksi un metodiku saistībā ar IKT sistēmu iegādi, izstrādi un uzturēšanu;

b) 

prasa, lai tiktu identificētas:

i) 

tehniskās specifikācijas un IKT tehniskās specifikācijas, kas definētas Regulas (ES) Nr. 1025/2012 2. panta 4. un 5. punktā;

ii) 

prasības saistībā ar IKT sistēmu iegādi, izstrādi un uzturēšanu, īpašu uzmanību pievēršot IKT drošības prasībām un to apstiprināšanai, ko veic attiecīgā darbības funkcija un IKT aktīvu īpašnieks saskaņā ar finanšu vienības iekšējo pārvaldības kārtību;

c) 

nosaka pasākumus, lai mazinātu IKT sistēmu nejaušas pārveides vai tīšu manipulāciju ar tām risku, kad šīs IKT sistēmas tiek izstrādātas, uzturētas un ieviestas ražošanas vidē.
EULAW 16. pants 2.
Finanšu vienības izstrādā, dokumentē un īsteno IKT sistēmu iegādes, izstrādes un uzturēšanas procedūru visu IKT sistēmu testēšanai un apstiprināšanai pirms to izmantošanas un pēc uzturēšanas saskaņā ar 8. panta 2. punkta b) apakšpunkta v), vi) un vii) punktu. Testēšanas līmenis ir samērīgs ar darbības procedūru un attiecīgo IKT aktīvu kritiskumu. Testēšanu plāno tā, lai pārbaudītu, vai jaunas IKT sistēmas ir atbilstošas, lai darbotos, kā paredzēts, tajā skaitā pārbaudītu iekšēji izstrādātas programmatūras kvalitāti.

Centrālie darījumu partneri papildus pirmajā daļā noteiktajām prasībām pirmajā daļā minētajā testēšanas plānošanā un veikšanā pēc vajadzības iesaista:

a) 

tīrvērtes dalībniekus un klientus;

b) 

sadarbspējīgus centrālos darījumu partnerus;

c) 

citas ieinteresētās personas.

Centrālie vērtspapīru depozitāriji papildus pirmajā daļā noteiktajām prasībām pirmajā daļā minētajā testēšanas plānošanā un veikšanā pēc vajadzības iesaista:

a) 

lietotājus;

b) 

kritiski svarīgus sabiedrisko pakalpojumu sniedzējus un kritiski svarīgus pakalpojumu sniedzējus;

c) 

citus centrālos vērtspapīru depozitārijus;

d) 

citas tirgus infrastruktūras;

e) 

jebkuras citas iestādes, ar kurām centrālajiem vērtspapīru depozitārijiem ir identificēta savstarpējā atkarība to uzņēmējdarbības nepārtrauktības politikā.
EULAW 16. pants 3.

Šā panta 2. punktā minētā procedūra ietver pirmkodu pārskatīšanu, kas aptver gan statisko, gan dinamisko testēšanu. Minētā testēšana ietver internetā izmantotu sistēmu un lietojumprogrammu drošības testēšanu saskaņā ar 8. panta 2. punkta b) apakšpunkta v), vi) un vii) punktu. Finanšu vienības:

a) 

identificē un analizē pirmkoda ievainojamību un anomālijas;

b) 

pieņem rīcības plānu šīs ievainojamības un anomāliju risināšanai;

c) 

uzrauga minētā rīcības plāna īstenošanu.
EULAW 16. pants 4.
Šā panta 2. punktā minētā procedūra ietver programmatūras pakotņu drošības testēšanu, ko veic ne vēlāk kā integrācijas posmā saskaņā ar 8. panta 2. punkta b) apakšpunkta v), vi) un vii) punktu.
EULAW 16. pants 5.

Šā panta 2. punktā minētā procedūra nodrošina, ka:

a) 

neražošanas vide glabā tikai anonimizētus, pseidonimizētus vai randomizētus ražošanas datus;

b) 

finanšu vienībām ir jāaizsargā datu integritāte un konfidencialitāte neražošanas vidēs.