56. L- awtoritajiet kompetenti għandhom jivvalutaw jekk l - istituzzjoni għandhiex qafas effettiv …

L- awtoritajiet kompetenti għandhom jivvalutaw jekk l - istituzzjoni għandhiex qafas effettiv fis - seħħ għall - identifikazzjoni, il - ftehim, il - kejl u l - mitigazzjoni tar - riskju ta’ bidla tal - ICT proporzjonali man - natura, l - iskala u l- kumplessità tal - attivitajiet tal -istituzzjoni u tal- profil tar -riskju tal-ICT tal-istituzzjoni. Il- qafas tal - istituzzj oni għandu jkopri r - riskji assoċjati mal - iżvilupp, l - ittestjar u l - approvazzjoni ta’ bidliet fis - sistemi tal- ICT, inkluż l - iżvilupp jew bidliet fis - softwer, qabel ma jittieħdu għall - ambjent tal -produzzjoni u jiżguraw ġestjoni adegwata taċ - ċiklu tal - ħajja t al- ICT. Għal din il - valutazzjoni, l - awtoritajiet kompetenti, b’mod partikolari, għandhom iqisu jekk il - qafas jikkunsidrax:

• a. proċessi dokumentati għall - ġestjoni u l - kontroll ta’ bidliet fis - sistemi (eż. konfigurazzjoni u ġestjoni ta’ softwer korrettiv) u data (eż. korrezzjonijiet ta’ bugs jew korrezzjonijiet ta’ data) tal - ICT, li jiżguraw l - involviment xieraq tal - ġestjoni tar -riskju tal- ICT għal bidliet importanti tal - ICT li jistgħu jħallu impatt sinifikanti fuq il - profil tar - riskju jew l - esponiment tal -istituzzjoni;
• b. speċifikazzjonijiet li jirrigwardaw is - segregazzjoni tad - doveri meħtieġa matul il - fażijiet differenti tal - proċessi ta’ bidla tal - ICT implimentati (eż. tfassil tas - soluzzjoni u żvilupp, ittestjar u approvazzjoni ta’ softwer ġdid u/jew bidliet, migrazzjoni u implimentazzjoni fl - ambjent ta’ produzzjoni, u korrezzjoni ta’ bugs), b’attenzjoni fuq is - soluzzjonijiet implimentati u s - segregazzjoni tad - doveri biex jiġu mmaniġġjati u kkontrollati bidliet għas - sistemi u d - data ta’ produzzjoni tal - ICT mill - pe rsunal tal-ICT (eż. żviluppaturi, amministraturi tas - sistema tal - ICT, amministraturi tal - bażi tad - data) jew kwalunkwe parti oħra (eż. utenti ta’ negozju, fornituri ta’ servizz);
• c. ambjenti tal - ittestjar li jirriflettu b’mod xieraq ambjenti ta’ produzzjoni;
• d. inventarju tal -assi tal- applikazzjonijiet u s - sistemi tal - ICT eżistenti fl - ambjent tal - produzzjoni, kif ukoll fl - ambjent tal - ittestjar u tal - iżvilupp, sabiex il - bidliet meħtieġa (eż. aġġornamenti jew titjib tal - verżjoni, patching tas - sistemi, bidliet fil -k onfigurazzjoni) ikunu jistgħu jiġu mmaniġġjati, implimentati u mmonitorjati kif suppost għas - sistemi tal - ICT involuti.
• e. proċess li jimmonitorja u jimmaniġġja ċ - ċiklu tal - ħajja tas - sistemi tal - ICT użati, biex jiġi żgurat li jkomplu jissodisfaw u jappoġġjaw i r- rekwiżiti tan - negozju u tal - ġestjoni tar - riskju attwali u li jiżgura li s- soluzzjonijiet u s - sistemi tal - ICT użati għadhom appoġġjati mill - bejjiegħa tagħhom; u li dan ikun akkompanjat bi proċeduri adegwati taċ - ċiklu tal - ħajja tal - iżvilupp tas - softwer (SDLC).
• f. sistema ta’ kontroll tal - kodiċi tas - sors bħala softwer u proċeduri xierqa biex jiġu evitati bidliet mhux awtorizzati fil - kodiċi tas - sors ta’ softwer li jiġi żviluppat internament;
• g. proċess li jwettaq skrinjar tas - sigurtà u tal - vulnerabbiltà ta’ sistemi u softwer tal - ICT ġodda jew immodifikati materjalment, qabel ma jinħarġu għall - produzzjoni u jiġu esposti għal ċiberattakki possibbli;
• h. proċess u soluzzjonijiet biex jiġi evitat l - iżvelar mhux awtorizzat jew mhux intenzjonat ta’ data kunfidenzjali, meta jiġu sostitwiti, arkivjati, mormija jew meqruda sistemi tal -ICT;
• i. reviżjoni indipendenti u proċessi ta’ validazzjoni biex jitnaqqsu r - riskji għall - iżbalji tal - bnedmin meta jsiru bidliet għas - sistemi tal - ICT li jista' jkollhom effett negattiv importanti fuq id - disponibbiltà, il - kontinwità jew is - sigurtà tal - istituzzjoni (eż. bidliet importanti għall - konfigurazzjoni tal - firewall), jew is- sigurtà tal - istituzzjoni (eż. bidliet lill - firewalls).
• (d) Kontrolli għall-ġestjoni ta’ riskji ta’ integrità ta’ data materjali tal-ICT;

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Standards relatati

2. Rekwiżiti identifikati

3. Standards relatati

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.