+Environment Risk Mitigation Measures

Environment Risk Mitigation Measures

Put in place measures to mitigate the risk of unintentional alteration or intentional manipulation during development, maintenance, and deployment in production. Protect the integrity and confidentiality of data in non-production environments. Store only anonymized, pseudonymized, or randomized production data. 

Production data that are not anonymized, not pseudonymized or not randomized may be stored only for specific testing occasions, for limited periods of time and following the approval by the relevant function and, for financial entities other than microenterprises, the reporting of such occasions to the ICT
risk management function.

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Regolamenti relatati

2. Rekwiżiti identifikati

Rekwiżiti

3. Regolamenti relatati

Regolamenti
EULAW Artikolu 16 1.

Bħala parti mis-salvagwardji biex jiġu ppreżervati d-disponibbiltà, l-awtentiċità, l-integrità u l-kunfidenzjalità tad-data, l-entitajiet finanzjarji għandhom jiżviluppaw, jiddokumentaw u jimplimentaw politika li tirregola l-akkwiżizzjoni, l-iżvilupp u l-manutenzjoni tas-sistemi tal-ICT. Dik il-politika għandha:

(a) 

tidentifika prattiki u metodoloġiji tas-sigurtà relatati mal-akkwiżizzjoni, mal-iżvilupp u mal-manutenzjoni tas-sistemi tal-ICT;

(b) 

tirrikjedi l-identifikazzjoni ta’:

(i) 

speċifikazzjonijiet tekniċi u speċifikazzjonijiet tekniċi tal-ICT, kif iddefiniti fl-Artikolu 2, il-punti (4) u (5) tar-Regolament (UE) Nru 1025/2012;

(ii) 

rekwiżiti relatati mal-akkwiżizzjoni, mal-iżvilupp u mal-manutenzjoni tas-sistemi tal-ICT, b’enfasi partikolari fuq ir-rekwiżiti tas-sigurtà tal-ICT u fuq l-approvazzjoni tagħhom mill-funzjoni kummerċjali rilevanti u mis-sid tal-assi tal-ICT f’konformità mal-arranġamenti ta’ governanza interna tal-entità finanzjarja;

(c) 

tispeċifika l-miżuri biex jiġi mmitigat ir-riskju ta’ tibdil mhux intenzjonat jew ta’ manipulazzjoni intenzjonata tas-sistemi tal-ICT matul l-iżvilupp, il-manutenzjoni u l-varar ta’ dawk is-sistemi tal-ICT fl-ambjent ta’ produzzjoni.
EULAW Artikolu 16 2.
L-entitajiet finanzjarji għandhom jiżviluppaw, jiddokumentaw u jimplimentaw proċedura ta’ akkwiżizzjoni, żvilupp u manutenzjoni tas-sistemi tal-ICT għall-ittestjar u l-approvazzjoni tas-sistemi kollha tal-ICT qabel l-użu tagħhom u wara l-manutenzjoni, f’konformità mal-Artikolu 8(2), il-punt (b), il-punti (v), (vi) u (vii). Il-livell ta’ ttestjar għandu jkun proporzjonat għall-kritikalità tal-proċeduri kummerċjali u tal-assi tal-ICT ikkonċernati. L-ittestjar għandu jkun iddisinjat biex jivverifika li sistemi ġodda tal-ICT ikunu adegwati biex jaħdmu kif maħsub, inkluża l-kwalità tas-software żviluppat internament.

Il-kontropartijiet ċentrali għandhom, minbarra r-rekwiżiti stabbiliti fl-ewwel subparagrafu, jinvolvu, kif xieraq, fid-disinn u fit-twettiq tal-ittestjar imsemmi fl-ewwel subparagrafu:

(a) 

il-membri tal-ikklerjar u klijenti;

(b) 

il-kontropartijiet ċentrali interoperabbli;

(c) 

partijiet interessati oħrajn.

Id-depożitorji ċentrali tat-titoli għandhom, minbarra r-rekwiżiti stabbiliti fl-ewwel subparagrafu, jinvolvu, kif xieraq, fid-disinn u fit-twettiq tal-ittestjar imsemmi fl-ewwel subparagrafu:

(a) 

l-utenti;

(b) 

il-fornituri ta’ utilitajiet kritiċi u servizzi kritiċi;

(c) 

depożitorji ċentrali tat-titoli oħrajn;

(d) 

infrastrutturi tas-suq oħrajn;

(e) 

kwalunkwe istituzzjoni oħra li magħha d-depożitorji ċentrali tat-titoli identifikaw interdipendenzi fil-politika ta’ kontinwità tal-operat tagħhom.
EULAW Artikolu 16 3.

Il-proċedura msemmija fil-paragrafu 2 għandu jkun fiha t-twettiq tar-rieżamijiet tal-kodiċi tas-sors li jkopru kemm l-ittestjar statiku kif ukoll dak dinamiku. Dak l-ittestjar għandu jkun fih ittestjar tas-sigurtà għal sistemi u applikazzjonijiet esposti għall-Internet f’konformità mal-Artikolu 8(2), il-punt (b), il-punti (v), (vi) u (vii). L-entitajiet finanzjarji għandhom:

(a) 

jidentifikaw u janalizzaw il-vulnerabbiltajiet u l-anomaliji fil-kodiċi tas-sors;

(b) 

jadottaw pjan ta’ azzjoni biex jindirizzaw dawk il-vulnerabbiltajiet u l-anomaliji;

(c) 

jimmonitorjaw l-implimentazzjoni ta’ dak il-pjan ta’ azzjoni.
EULAW Artikolu 16 4.
Il-proċedura msemmija fil-paragrafu 2 għandu jkun fiha ttestjar tas-sigurtà ta’ pakketti ta’ software mhux aktar tard mill-fażi ta’ integrazzjoni, f’konformità mal-Artikolu 8(2), il-punti (b)(v), (vi) u (vii).
EULAW Artikolu 16 5.

Il-proċeduri msemmija fil-paragrafu 2 għandhom jipprevedu li:

(a) 

l-ambjenti mhux tal-produzzjoni jaħżnu biss data anonimizzata, psewdonimizzata jew data tal-produzzjoni aleatorja;

(b) 

l-entitajiet finanzjarji għandhom jipproteġu l-integrità u l-kunfidenzjalità tad-data f’ambjenti mhux tal-produzzjoni.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.