3.3 Valutazzjoni tal-kontrolli b iex jitnaqqsu riskji materjali tal -ICT

Biex jiġi vvalutat l - esponiment għar - riskju residwu tal -ICT tal- istituzzjoni, l - awtoritajiet kompetenti għandhom jirrevedu kif l - istituzzjoni tidentifika, timmonitorja, tivvaluta u tnaqqas ir - riskji materjali identifikati mill - awtoritajiet kompetenti fil - valutazzjoni ta’ hawn fuq.

Għal dan l - iskop, għar - riskji materjali tal - ICT identifikati, l - awtoritajiet kompetenti għandhom jirrevedu l - applikabbli:

• a. Politika, proċessi tal - ġestjoni tar - riskju u limiti ta’ tolleranza tar -riskju tal-ICT;
• b. Ġestjoni organizzazzjonali u qafas ta’ sorveljanza;
• c. Kopertura u sejbiet tal - awditjar intern; u
• d. Kontrolli tar-riskju tal- ICT li huma speċifiċi għar - riskju materjali tal - ICT identifikat.

Il- valutazzjoni għandha tqis ir - riżultat tal - analiżi tal - ġestjoni tar -riskju u l- qafas ta’ kontroll intern ġenerali kif imsemmi fit -Titolu 5 tal -Linji Gwida tal- EBA SREP, kif ukoll tal - governanza u l - istrateġija tal -istituzzjoni indirizza ti fit -Titolu 2 ta’ dawn il - Linji Gwida, peress li nuqqasijiet sinifikanti identifikati f'dawn l - oqsma jistgħu jinfluwenzaw l - abbiltà tal - istituzzjoni biex timmaniġġja u tnaqqas l - esponimenti għar -riskju tal-ICT tagħha. Fejn rilevanti, l - awtoritajiet kompetenti għandhom ukoll jużaw sorsi ta’ informazzjoni fil - paragrafu 37 ta’ dawn il -Linji Gwida.

L- awtoritajiet kompetenti għandhom iwettqu l - passi ta’ valutazzjoni li ġejjin b’mod li jkun proporzjonali għan - natura, l -iskala u l- kumplessità tal - attivitajiet ta l- isituzzjoni u billi japplikaw reviżjoni superviżorja li hi xierqa għall - profil tar -riskju tal-ICT tal-istituzzjoni. 3.3.1 Politika, proċessi u limiti ta’ tolleranza tal-ġestjoni tar-riskju tal-ICT

L- awtoritajiet kompetenti għandhom jirrevedu jekk l -istituzzjon i għandhiex politiki, proċessi u limiti ta’ tolleranza tal - ġestjoni tar - riskju xierqa fis - seħħ għar - riskji materjali tal - ICT identifikati. Dawn jistgħu jkunu parti mill - qafas tal - ġestjoni tar - riskju operazzjonali jew minn dokument separat. Għal din il - valutazzjoni, l - awtoritajiet kompetenti għandhom iqisu jekk:

• a. il-politika tal- ġestjoni tar - riskju tkunx formalizzata u approvata mill - korp maniġerjali u jkunx fiha gwida suffiċjenti dwar l - aptit għar -riskju tal-ICT tal- istitituzzjoni, u dwar l - għanijiet tal - ġe stjoni tar- riskju ewlenin tal - ICT segwiti u/jew il - limiti ta’ tolleranza tar -riskju tal-ICT applikati. Il-politika tal- ġestjoni tar -riskju tal- ICT rilevanti għandhiex ukoll tiġi kkomunikata lill- partijiet ikkonċernati rilevanti kollha;
• b. il-politika applikab bli tkoprix l - elementi sinifikanti kollha għall - ġestjoni tar -riskju tar-riskji materjali tal - ICT identifikati;
• c. l- istituzzjoni tkunx implimentat proċess u proċeduri sottostanti għall - identifikazzjoni (eż. “awtovalutazzjonijiet tal -kontroll tar- riskju” (RCSA), analiżi tax - xenarju tar - riskju) u l - monitoraġġ tar - riskji materjali tal - ICT involuti; u
• d. l- istituzzjoni jkollhiex rappurtar tal - ġestjoni tar -riskju tal- ICT fis - seħħ li jipprovdi informazzjoni f'waqtha lill - maniġment superjuri u lill - korp maniġerjali, li jippermetti lill - maniġment superjuri u/jew lill - korp maniġerjali jivvalutaw u jimmonitorjaw jekk il - pjanijiet u l- miżuri ta’ mitigazzjoni tar -riskju tal-ICT tal- istituzzjoni jkunux konsistenti mal -aptit tar-riskju u/jew il - limiti ta’ tolleranza approvati (fejn rilevanti) u jimmonitorjaw bidliet ta’ riskji materjali tal -ICT.

3.3.2 Ġestjoni organizzazzjonali u qafas ta’ sorveljanza

L- awtoritajiet kompetenti għandhom jivvalutaw kif ir -rwoli u l- responsabbiltajiet tal - ġestjoni tar -riskju applikabbli jiġu inkorporati u integrati fl - organizzazzjoni interna biex jiġu mmaniġġjati u sorveljati r -riskji materjali tal - ICT identifikati. F'dan ir- rigward, l - awtoritajiet kompetenti għandhom jivvalutaw jekk l - istituzzjoni turix:

• a. rwoli u responsabbiltajiet ċari għall - identifikazzjoni, il - valutazzjoni, il - monitoraġġ, il - mitigazzjoni, ir -rappurtar u s- sorveljanza tar - riskju materjali tal - ICT involut;
• b. li r- responsabbiltajiet u r -rwoli tar- riskju jiġu kkomunikati, allokati u inkorporati b’mod ċar fil - partijiet (eż. linji tan - negozju, IT) u l - proċessi rilevanti kollha tal - organizzazzjoni, inkluż ir - rwoli u r- responsabbiltajiet għall - ġbir u l - aggregazzjon i tal- informazzjoni tar -riskju u r-rappurtar tagħha lill - maniġment superjuri u/jew lill - korp maniġerjali;
• c. li l- attivitajiet tal - ġestjoni tar -riskju tal- ICT jitwettqu b’riżorsi umani u tekniċi xierqa b’mod kwalitattiv u suffiċjenti. Biex tiġi vvalutata l -k redibbiltà tal - pjanijiet ta’ mitigazzjoni tar - riskju applikabbli, l - awtoritajiet kompetenti għandhom ukoll jivvalutaw jekk l -istituzzjoni tkunx allokat biżżejjed baġits finanzjarji u/jew riżorsi meħtieġa oħrajn għall - implimentazzjoni tagħhom;
• d. segwitu u rispons xieraq tal - korp maniġerjali rigward sejbiet importanti mill - funzjonijiet ta’ kontroll indipendenti rigward ir - riskju(i) tal - ICT, li jqisu d - delegazzjoni possibbli ta’ ċerti aspetti għal kumitat, fejn dan jeżisti; u
• e. li eċċezzjonijiet minn regolamenti u politiki tal- ICT applikabbli jiġu rreġistrati u soġġetti għal reviżjoni u rappurtar dokumentati mill - funzjoni ta’ kontroll indipendenti b’attenzjoni fuq ir - riskji relatati.

3.3.3 Kopertura u sejbiet tal-awditjar intern

L- awtoritajiet kompetenti għandhom jikkunsidraw jekk l - Uffiċċju tal - Awditjar Intern ikunx effettiv fir - rigward tal-awditjar tal- qafas tal - ġestjoni tar -riskju tal- ICT applikabbli, billi jirrevedu jekk:

• a. il- qafas tal -kontroll tar-riskju tal- ICT ikunx awditjat bil - kwalità, dettall u frekwenza meħtieġ a u proporzjonali mad - daqs, mal - attivitajiet u mal - profil tar -riskju tal-ICT tal-istituzzjoni;
• b. il-pjan tal- awditu jinkludix verifiki dwar ir - riskji kritiċi tal - ICT identifikati mill -istituzzjoni;
• c. is- sejbiet tal -awditjar tal- ICT importanti, inkluż l -azzjoni jiet miftiehma, jiġux irrappurtati lill - korp maniġerjali; u
• d. is- sejbiet tal -awditjar tal- ICT, inkluż l - azzjonijiet miftiehma, jiġux segwiti u r - rapporti ta’ progress jiġux perjodikament riveduti mill - maniġment superjuri u/jew mill - kumitat tal - awditjar.

3.3.4 Kontrolli tar-riskju tal-ICT li huma speċifiċi għar-riskji materjali tal-ICT identifikati

Għar - riskji materjali tal - ICT identifikati, l - awtoritajiet kompetenti għandhom jivvalutaw jekk l -istituzzjoni għandhiex kontrolli speċifiċi fis - seħħ biex dawn ir - riskji jiġu indirizzati. It - taqsimiet li ġejjin jipprovdu lista mhux eżawrjenti tal -kontrolli speċifiċi li għandhom jiġu kkunsidrati fil - valutazzjoni tar - riskji materjali identifikati taħt il -punt 3.2.3 li ġew irrappreżentati fil - kategoriji tar -riskju tal- ICT li ġejjin:

• a. Riskji ta’ disponibbiltà u kontinwità tal -ICT;
• b. Riskji ta’ sigurtà tal -ICT;
• c. Risk ji ta’ bidla tal -ICT;
• d. Riskji ta’ integrità tad -data tal-ICT;
• e. Riskji ta’ esternalizzazzjoni tal -ICT.
• (a) Kontrolli għall-ġestjoni ta’ riskji ta’ disponibbiltà u kontinwità materjali tal-ICT

Minbarra r- rekwiżiti fil -Linji Gwida tal- EBA SREP (para 279 - 281), l - awtoritajiet kompetenti għandhom jivvalutaw jekk l - istituzzjoni għandhiex qafas xieraq fis - seħħ għall - identifikazzjoni, il - fehim, il - kejl u l - mitigazzjoni ta’ riskji ta’ disponibbiltà u kontinwità tal -ICT.

Għal din il - valutazzjoni, l - awtoritajiet kompetenti, b’mod partikolari, għandhom iqisu jekk il - qafas:

• a. jidentifikax il - proċessi kritiċi tal -ICT u s- sistemi ta’ appoġġ tal - ICT rilevanti li għandhom ikunu parti mill - pjanijiet ta’ kontinwità u reżiljenza tan - negozju b’:
• i. analiżi komprensiva tad - dipendenzi bej n il- proċessi kritiċi tan - negozju u s - sistemi ta’ appoġġ;
• ii. determinazzjoni ta’ għanijiet ta’ rkupru għas - sistemi ta’ appoġġ tal - ICT (eż. tipikament determinati min - negozju u/jew mir - regolamenti f’termini ta’ RTO u RPO);
• iii. ippjanar ta’ kontinġenza xieraq biex id- disponibbiltà, il - kontinwità u l - irkupru ta’ sistemi u servizzi kritiċi tal - ICT ikunu jistgħu jimminimizzaw it - tfixkil tal - operazzjonijiet ta’ istituzzjoni fi ħdan limiti aċċettabbli.
• b. ikollux reżiljenza tan - negozju, politiki u standards ambjentali dwar il-kontroll tal- kontinwità u kontrolli operazzjonali li jinkludu:
• i. Miżuri biex jiġi evitat li xenarju, inċident jew diżastru wieħed ikun jista’ jħalli impatt kemm fuq is- sistemi ta’ produzzjoni kif ukoll fuq dawk ta’ rkupru tal -ICT;
• ii. proċeduri ta’ backup u ta’ rkupru tas - sistema tal - ICT għal softwer u data kritiċi, li jiżguraw li dawn il- backups jinħażnu f’post sigur u biżżejjed remot, sabiex inċident jew diżastru ma jkunx jista’ jeqred jew jikkorrompi din id -data kritika;
• iii. sistemi ta’ monitoraġġ għad - detezzjoni f’waqtha ta’ inċidenti ta’ disponibbiltà u kontinwità tal - ICT;
• iv. proċess dokumentat ta’ ġestjoni u eskalazzjoni dwar l - inċidenti, li jipprovdi wkoll gwida dwar ir - rwoli u r- responsabbiltajiet differenti tal - ġestjoni u l - eskalazzjoni dwar l - inċidenti, il - membri tal - kumitat(i) tal - kriżi u l - linja ta’ kmand f’każ ta’ emerġenza;
• v. miżuri fiżiċi li kemm jipproteġu l - infrastruttura kritika tal -ICT tal- istituzzjoni (eż. ċentri tad - data) minn riskji ambjentali (eż. għargħar u diżastri naturali oħrajn) kif ukoll li jiżguraw ambjent operattiv xieraq għal sistemi tal - ICT (eż. arja kundizzjonata);
• vi. proċessi, rwoli u responsabbiltajiet biex jiġi żgurat ukoll li sistemi u servizzi esternalizzati tal -ICT ikunu koperti wkoll minn soluzzjonijiet u pjanijiet ta’ reżiljenza u kontinwità xierqa tan - negozju;
• vii. ippjanar tal- prestazzjoni u l - kapaċità tal - ICT u soluzzjonijiet ta’ monitoraġġ tal - ICT għal sistemi u servizzi kritiċi tal - ICT b’rekwiżiti definiti ta’ disponibbiltà, għad - detezzjoni f'waqtha ta’ limitazzjonijiet importanti fuq il - prestazzjoni u l - kapaċità;
• viii. soluzzjonijiet biex jiġu protetti attivitajiet jew servizzi kritiċi tal - internet (eż. servizzi tal - e - banking), fejn meħtieġ u xieraq, kontra ċ - ċaħda mis - servizz u ċiberattakki oħrajn mill - internet, bl- għan li jipprevjenu jew ixekklu l - aċċess għal dawn l - attivitajiet u s - servizzi.
• c. jittestjax soluzzjonijiet ta’ disponibbiltà u kontinwità tal - ICT, kontra firxa ta’ xenarji realistiċi fosthom ċiberattakki, testijiet ta’ fail - over u testijiet ta’ back - ups għal softwer u data kritiċi li:
• i. huma ppjanati, formalizzati u dokumentati, u r - riżultati tat - testijiet jintużaw biex tissaħħaħ l - effettività tas - soluzzjonijiet ta’ disponibbiltà u kontinwità tal -ICT;
• ii. jinkludu partijiet ikkonċernati u funzjonijiet fi ħdan l - organizzazzjoni, bħall - ġestjoni tal -linja operatorja, inkluż il - kontinwità tan - negozju, timijiet ta’ rispons f’każ ta’ inċident jew kriżi, kif ukoll partijiet ikkonċernati esterni rilevanti fl - ekosistema;
• iii. il- korp maniġerjali u l - maniġment superjuri huma involuti fihom b’mod xieraq (eż. bħala parti mit - timijiet tal - ġestjoni tal - kriżijiet) u jiġu informati dwar ir - riżultati tat - testijiet.
• (b) Kontrolli għall-ġestjoni ta’ riskji ta’ sigurtà materjali tal-ICT

L- awtoritajiet kompetenti għandhom jivvalutaw jekk l - istituzzjoni għandhiex qafas effettiv fis - seħħ għall - identifikazzjoni, il - ftehim, il - kejl u l - mitigazzjoni tar - riskju ta’ sigurtà tal - ICT. Għal din il - valutazzjoni, l - awtoritajiet kompetenti, b’mod partikolari, għandhom iqisu jekk il - qafas jikkunsidrax:

• a. rwoli u responsabbiltajiet iddefiniti b’mod ċar li jirrigwardaw:
• i. il- persuna(i) u/jew il - kumitati li huma responsabbli għall - ġestjoni ta’ kuljum tas - sigurtà tal -ICT u għall - elaborazzjoni tal - politiki ġenerali tas - sigurtà tal - ICT, b'attenzjoni għall - indipendenza meħtieġa tagħhom;
• ii. it- tfassil, l - implimentazzjoni, il - ġestjoni u l - monitoraġġ tal -kontrolli tas- sigurtà tal -ICT;
• iii. il- protezzjoni ta’ sistemi u servizzi kritiċi tal - ICT, pereżempju bl - adozzjoni ta’ proċess tal - valutazzjoni tal - vulnerabbiltà, ġestjoni ta’ softwer korrettiv, protezzjoni tal -punt tat- tmiem (eż. virus tal - malwer), għodod ta’ detenzjoni u prevenzjoni ta’ intrużjoni;
• iv. il- monitoraġġ, il - klassifikazzjoni u t - trattament ta’ inċidenti ta’ sigurtà esterni jew interni tal - ICT; inkluż ir - rispons għall - inċidenti u t - tkomplij a u l-irkupru tas- sistemi u s - servizzi tal -ICT;
• v. valutazzjonijiet tat - theddid regolari u proattiv biex jinżammu kontrolli ta’ sigurtà xierqa.
• b. politika ta’ sigurtà tal - ICT li tqis u, fejn xieraq, taderixxi għal standards ta’ sigurtà u prinċipji ta’ sigurtà tal- ICT li huma rikonoxxuti fuq livell internazzjonali (eż. il - ”prinċipju tal - inqas privileġġ” jiġifieri l - limitazzjoni tal - aċċess għal - livell minimu li ser jippermetti l - funzjonament normali għall - ġestjoni tad - dritt ta’ aċċess u l - prinċipju ta’ “difiża profonda” jiġifieri mekkaniżmi ta’ sigurtà fuq livelli differenti li jżidu s - sigurtà tas - sistema kollha kemm hi għat - tfassil ta’ arkitettura ta’ sigurtà);
• c. proċess biex jiġu identifikati sistemi, servizzi u rekwiżiti ta’ sigurtà proporzjonali tal -ICT li jirri flettu riskju ta’ frodi potenzjali u/jew użu ħażin possibbli u/jew abbużi ta’ data kunfidenzjali flimkien ma’ aspettattivi ta’ sigurtà dokumentati li dawn is - sistemi, is - servizzi u d - data identifikati tal -ICT għandhom jaderixxu għalihom, li għandhom ikunu allinjati mat - tolleranza tar -riskju tal-istituzzjoni u li għandhom ikunu mmonitorjati għall - implimentazzjoni korretta tagħhom;
• d. proċess dokumentat ta’ sigurtà ta’ ġestjoni u eskalazzjoni dwar l - inċidenti, li jipprovdi gwida dwar ir - rwoli u r- responsabbiltajiet differenti tal - ġestjoni u tal - eskalazzjoni dwar l - inċidenti, il - membri tal - kumitat(i) tal - kriżi u l - linja ta’ kmand f’każ ta’ emerġenzi ta’ sigurtà;
• e. illoggjar tal- attivitajiet tal - utent u amministrattiv li jippermetti l - monitoraġġ effettiv u d - detezzjo ni u r- rispons f’waqthom għal attività mhux awtorizzata; li jgħin fi jew iwettaq investigazzjonijiet tal - forensika ta’ inċidenti ta’ sigurtà. L - istituzzjoni għandu jkollha politiki ta’ lloggjar fis - seħħ li jiddefinixxu tipi ta’ reġistri xierqa li għandhom jinżammu u l - perjodu ta’ żamma tagħhom;
• f. kampanji jew inizjattivi ta’ sensibilizzazzjoni u informazzjoni biex il - livelli kollha fl - istituzzjoni jiġu infurmati dwar l - użu sigur u l - protezzjoni tas - sistemi tal -ICT tal-istituzzjoni u r- riskji ewlenin ta’ sigur tà tal - ICT (u oħrajn) li għandhom ikunu konxji tagħhom, b’mod partikolari li jirrigwardaw it - theddidiet ċibernetiċi eżistenti u li qed jevolvu (eż. virusijiet tal - kompjuter, abbużi jew attakki interni jew esterni possibbli, ċiberattakki) u r - rwol tagħhom f il- mitigazzjoni ta’ ksur tas - sigurtà;
• g. miżuri xierqa ta’ sigurtà fis - seħħ (eż. CCTV, allarm kontra s - serq, bibien ta’ sigurtà) biex jipprevjenu l- aċċess fiżiku mhux awtorizzat għal sistemi kritiċi u sensittivi tal - ICT (eż. ċentri tad - data);

1 9

• h. miżuri biex is - sistemi tal - ICT jiġu protetti minn attakki mill - Internet (jiġifieri ċiberattakki) jew minn netwerks esterni oħrajn (eż. konnessjonijiet ta’ telekomunikazzjoni tradizzjonali jew konnessjonijiet ma’ sħab affidabbli). L - awtoritajiet kompetenti għandhom jirrevedu jekk il - qafas tal -istituzzjoni jikkunsidrax:
• i. proċess u soluzzjonijiet biex iżomm inventarju sħiħ u aġġornat u ħarsa ġenerali tal - punti ta’ konnessjoni kollha tan - netwerk li jħarsu ‘l barra (eż. siti web, applikazzjonijiet tal - internet, WIFI, aċċess remot) li permezz tagħhom il - partijiet terzi jkunu jistgħu jidħlu fis - sistemi interni tal -ICT.
• ii. miżuri ta’ sigurtà mmaniġġjati u mmonitorjati mill - viċin (eż. firewalls, proxy servers, mail relays, antivirus u skanners tal - kontenut) biex jiġi żgurat traffiku tan- netwerk dieħel u ħiereġ (eż. posta elettronika) u l - konnessjonijiet tan - netwerk li jħarsu ‘l barra li permezz tagħhom il - partijiet terzi jkunu jistgħu jidħlu fis - sistemi interni tal -ICT;
• iii. proċessi u soluzzjonijiet biex jiġu żgurati siti web u applikazzjonijiet li jistgħu jiġu attakkati direttament mill - internet u/jew minn barra, li jistgħu jservu bħala punt ta’ dħul fis - sistemi interni tal - ICT. B’mod ġenerali dawn jinkludu taħlita ta’ prattiki ta’ żvilupp sigur rikonoxxuti, prattiki ta’ twebbis u skenn jar tal- vulnerabbiltà tas - sistema tal - ICT, u/jew l - implimentazzjoni ta’ soluzzjonijiet ta’ sigurtà addizzjonali, bħal pereżempju firewalls tal - applikazzjonijiet u/jew sistemi ta’ detezzjoni ta’ intrużjoni (IDS) u/jew sistemi ta’ prevenzjoni ta’ intrużjoni (IPS);
• iv. ittestjar tal - penetrazzjoni tas - sigurtà perjodiku biex tiġi vvalutata l - effettività tal - miżuri u l - proċessi ta’ sigurtà interna u ċibernetika tal - ICT implimentati. Dawn it - testijiet għandhom isiru mill - persunal u/jew minn esperti esterni bl - għarfien espert meħtieġ, fejn ir - riżultati u l - konklużjonijiet tat - testijiet dokumentati jiġu rrappurtati lill - maniġment superjuri u/jew lill - korp maniġerjali. Fejn meħtieġ u applikabbli, l - istituzzjoni minn dawn it - testijiet għandha titgħallem fejn tkompli ttejjeb il -kontrolli u l- proċessi tas - sigurtà u/jew tikseb assigurazzjoni aħjar dwar l - effettività tagħhom.
• (c) Kontrolli għall-ġestjoni ta’ riskji ta’ bidla materjali fl-ICT

L- awtoritajiet kompetenti għandhom jivvalutaw jekk l - istituzzjoni għandhiex qafas effettiv fis - seħħ għall - identifikazzjoni, il - ftehim, il - kejl u l - mitigazzjoni tar - riskju ta’ bidla tal - ICT proporzjonali man - natura, l - iskala u l- kumplessità tal - attivitajiet tal -istituzzjoni u tal- profil tar -riskju tal-ICT tal-istituzzjoni. Il- qafas tal - istituzzj oni għandu jkopri r - riskji assoċjati mal - iżvilupp, l - ittestjar u l - approvazzjoni ta’ bidliet fis - sistemi tal- ICT, inkluż l - iżvilupp jew bidliet fis - softwer, qabel ma jittieħdu għall - ambjent tal -produzzjoni u jiżguraw ġestjoni adegwata taċ - ċiklu tal - ħajja t al- ICT. Għal din il - valutazzjoni, l - awtoritajiet kompetenti, b’mod partikolari, għandhom iqisu jekk il - qafas jikkunsidrax:

• a. proċessi dokumentati għall - ġestjoni u l - kontroll ta’ bidliet fis - sistemi (eż. konfigurazzjoni u ġestjoni ta’ softwer korrettiv) u data (eż. korrezzjonijiet ta’ bugs jew korrezzjonijiet ta’ data) tal - ICT, li jiżguraw l - involviment xieraq tal - ġestjoni tar -riskju tal- ICT għal bidliet importanti tal - ICT li jistgħu jħallu impatt sinifikanti fuq il - profil tar - riskju jew l - esponiment tal -istituzzjoni;
• b. speċifikazzjonijiet li jirrigwardaw is - segregazzjoni tad - doveri meħtieġa matul il - fażijiet differenti tal - proċessi ta’ bidla tal - ICT implimentati (eż. tfassil tas - soluzzjoni u żvilupp, ittestjar u approvazzjoni ta’ softwer ġdid u/jew bidliet, migrazzjoni u implimentazzjoni fl - ambjent ta’ produzzjoni, u korrezzjoni ta’ bugs), b’attenzjoni fuq is - soluzzjonijiet implimentati u s - segregazzjoni tad - doveri biex jiġu mmaniġġjati u kkontrollati bidliet għas - sistemi u d - data ta’ produzzjoni tal - ICT mill - pe rsunal tal-ICT (eż. żviluppaturi, amministraturi tas - sistema tal - ICT, amministraturi tal - bażi tad - data) jew kwalunkwe parti oħra (eż. utenti ta’ negozju, fornituri ta’ servizz);
• c. ambjenti tal - ittestjar li jirriflettu b’mod xieraq ambjenti ta’ produzzjoni;
• d. inventarju tal -assi tal- applikazzjonijiet u s - sistemi tal - ICT eżistenti fl - ambjent tal - produzzjoni, kif ukoll fl - ambjent tal - ittestjar u tal - iżvilupp, sabiex il - bidliet meħtieġa (eż. aġġornamenti jew titjib tal - verżjoni, patching tas - sistemi, bidliet fil -k onfigurazzjoni) ikunu jistgħu jiġu mmaniġġjati, implimentati u mmonitorjati kif suppost għas - sistemi tal - ICT involuti.
• e. proċess li jimmonitorja u jimmaniġġja ċ - ċiklu tal - ħajja tas - sistemi tal - ICT użati, biex jiġi żgurat li jkomplu jissodisfaw u jappoġġjaw i r- rekwiżiti tan - negozju u tal - ġestjoni tar - riskju attwali u li jiżgura li s- soluzzjonijiet u s - sistemi tal - ICT użati għadhom appoġġjati mill - bejjiegħa tagħhom; u li dan ikun akkompanjat bi proċeduri adegwati taċ - ċiklu tal - ħajja tal - iżvilupp tas - softwer (SDLC).
• f. sistema ta’ kontroll tal - kodiċi tas - sors bħala softwer u proċeduri xierqa biex jiġu evitati bidliet mhux awtorizzati fil - kodiċi tas - sors ta’ softwer li jiġi żviluppat internament;
• g. proċess li jwettaq skrinjar tas - sigurtà u tal - vulnerabbiltà ta’ sistemi u softwer tal - ICT ġodda jew immodifikati materjalment, qabel ma jinħarġu għall - produzzjoni u jiġu esposti għal ċiberattakki possibbli;
• h. proċess u soluzzjonijiet biex jiġi evitat l - iżvelar mhux awtorizzat jew mhux intenzjonat ta’ data kunfidenzjali, meta jiġu sostitwiti, arkivjati, mormija jew meqruda sistemi tal -ICT;
• i. reviżjoni indipendenti u proċessi ta’ validazzjoni biex jitnaqqsu r - riskji għall - iżbalji tal - bnedmin meta jsiru bidliet għas - sistemi tal - ICT li jista' jkollhom effett negattiv importanti fuq id - disponibbiltà, il - kontinwità jew is - sigurtà tal - istituzzjoni (eż. bidliet importanti għall - konfigurazzjoni tal - firewall), jew is- sigurtà tal - istituzzjoni (eż. bidliet lill - firewalls).
• (d) Kontrolli għall-ġestjoni ta’ riskji ta’ integrità ta’ data materjali tal-ICT;

L- awtoritajiet kompetenti għandhom jivvalutaw jekk l - istituzzjoni għandhiex qafas effettiv fis - seħħ għall - identifikazzjoni, il - ftehim, il - kejl u l - mitigazzjoni tar -riskju tal- integrità tad -data tal-ICT proporzjonali man - natura, l -iskala u l- kumplessità tal - attivitajiet tal -istituzzjoni u tal- profil tar -riskju tal-ICT tal-istituzzjoni. Il- qafas tal - istituzzjoni għandu jikkunsidra r - riskji assoċjati mal - preservazzjoni tal - integrità tad- data maħżuna u pproċessata mis - sistemi tal - ICT. Għal din il - valutazzjoni, l - awtoritajiet kompetenti, b’mod partikolari, għandhom iqisu jekk il - qafas jikkunsidrax:

• a. politika li tiddefinixxi r -rwoli u r- responsabbiltajiet għall - ġestjoni tal - integrità tad - data fis - sistemi tal- ICT (eż. perit tad - data, uffiċjali tad -data⁶ , kus todji tad-data⁷ , sidien/amministraturi (stewards) tad-data⁸ ) u li tipprovdi gwida dwar liema data hi kritika minn perspettiva ta’ integrità tad -data u liem għandha tkun soġġetta għal kontrolli (eż. kontrolli tal - validazzjoni tal - input awtomatizzati, kontrolli tat- trasferiment tad - data, rekonċiljazzjonijiet, eċċ.) jew reviżjonijiet (eż. verifika tal - kompatibbiltà mal - arkitettura tad - data) speċifiċi tal - ICT fil - fażijiet differenti taċ - ċiklu tal - ħajja tad - data tal-ICT;
• b. arkitettura tad - data, mudell u/jew dizzjunarju tad - data dokumentat, li jkun validat ma’ partijiet ikkonċernati rilevanti tan - negozju u tal - IT biex tiġi żgurata l - konsistenza tad - data meħtieġa madwar is- sistemi tal - ICT u biex jiġi żgurat li l - arkitettura ta d- data, il - mudell u/jew id -dizzjunarju tad-data jibqgħu allinjati mal - ħtiġijiet tal - ġestjoni tan - negozju u tar -riskju;
• c. politika li tirrigwarda l- użu permess ta’ u d - dipendenza fuq l - Informatika tal - Utent Finali, b’mod partikolari li tirrigwarda l- identifikazzjoni, ir - reġistrazzjoni u d - dokumentazzjoni ta’ soluzzjonijiet importanti tal - informatika tal - utent finali (eż. meta tiġi pproċessata data importanti) u l - livelli ta’ sigurtà mistennija biex jiġu evitati modifiki mhux awtorizzati, kemm fl - għodda nnifisha, kif ukoll fid - data maħżuna fiha;
• d. proċessi dokumentati tat - trattament tal - eċċezzjonijiet biex jiġu solvuti kwistjonijiet ta’ integrità tad - data tal- ICT identifikati f’konformità mal - kritikalità u s - sensittività tagħhom.

⁶ Uffiċjal tad - data hu responsabbli għall -ippro ċessar u l - użu tad -data.

⁷ Kustodju tad- data hu responsabbli għall - kustodja, it -trasport u l- ħżin sigur tad -data.

⁸ Amministratur tad - data hu responsabbli għall - ġestjoni u l - idoneità tal - elementi tad -data – kemm il - kontenut kif ukoll il - metadata.

Għal istituzzjonijiet sorveljati li jaqgħu taħt il - kamp ta’ applikazzjoni tal - prinċipji tal - BCBS 239 għall - aggregazzjoni tad - data ta’ riskju u r -rappurtar tar- riskji effettivi (principles for effective risk data aggregation and risk reporting)⁹ , l - awtoritajiet kompetenti għandhom jirreved u l- analiżi tar -riskju tal-istituzzjoni tal- kapaċitajiet tar -rappurtar tar-riskji u tal- aggregazzjoni tad - data tagħha mqabbla mal - prinċipji u d - dokumentazzjoni ppreparata fuqhom, filwaqt li jqisu l - iskeda taż - żmien tal - implimentazzjoni u l- ftehimiet tranżizzjonali f'dawn il - prinċipji.

• (e) Kontrolli għall-ġestjoni ta’ riskji ta’ esternalizzazzjoni materjali tal-ICT

⁹ Kumitat ta' Basel dwar is - Superviżjoni Bankarja, Prinċipji għall - aggregazzjoni tad - data ta’ riskju u r -rappurtar tar- riskji effettivi, Jannar 2013, disponibbli online: http://www.bis.org/publ/bcbs239.pdf.

L-a wtoritajiet kompetenti għandhom jivvalutaw jekk l - istrateġija tal - esternalizzazzjoni tal - istituzzjoni, f’konformità mar - rekwiżiti tal -Linji Gwida tas- CEBS dwar l - esternalizzazzjoni (2006) u b’żieda mar - rekwiżit fil - paragrafu 85 (d) tal -Linji Gwida tal- EBA SREP, tapplikax b’mod adegwat għall - esternalizzazzjoni tal - ICT, inkluż esternalizzazzjoni intragrupp li tipprovdi servizzi tal - ICT fi ħdan il -grupp. Meta jkunu qed jivvalutaw ir - riskji ta’ esternalizzazzjoni tal - ICT, l - awtoritajiet kompetenti għandhom iqis u li r- riskji ta’ esternalizzazzjoni tal - ICT jistgħu jiġu koperti wkoll bħala parti mill - valutazzjoni ta’ riskji operazzjonali inerenti taħt il - paragrafu 240 (j) tal -Linji Gwida tal- EBA SREP, biex jiġi evitat xogħol doppju jew għadd doppju.

B’mod partikolari, l - awtoritajiet kompetenti għandhom jivvalutaw jekk l - istituzzjoni għandhiex qafas effettiv fis - seħħ għall - identifikazzjoni, il - fehim u l - kejl tar - riskju ta’ esternalizzazzjoni tal - ICT, u b’mod partikolari, kontrolli u ambjent ta’ kontroll fis - seħħ għ all- mitigazzjoni tar - riskji relatati ma’ servizzi esternalizzati materjali tal - ICT li huma proporzjonali għad - daqs, mal - attivitajiet u mal - profil tar -riskju tal-ICT tal- istituzzjoni u jinkludu:

• a. valutazzjoni tal - impatt tal - esternalizzazzjoni tal - ICT fuq il - ġestjoni tar -riskju tal- istituzzjoni relatata mal - użu ta’ fornituri ta’ servizz (eż. fornituri ta’ servizz ta’ cloud) u s - servizzi tagħhom matul il - proċess ta’ akkwist li hu dokumentat u li jitqies mill - maniġment superjuri jew mill - korp maniġerjali għad -d eċiżjoni dwar jekk is - servizzi jiġux esternalizzati jew le. L - istituzzjoni għandha tirrevedi l - politiki tal- ġestjoni tar -riskju tal-ICT u l-kontrolli tal-ICT u l- ambjent ta’ kontroll tal - fornitur tas - servizz biex jiġi żgurat li jissodisfaw l - għanijiet tal - ġestjoni tar -riskju u l- aptit għar - riskju interni tal - istituzzjoni. Din ir- reviżjoni għandha tiġi aġġornata perjodikament matul il - perjodu tal - esternalizzazzjoni kuntrattwali, filwaqt li jitqiesu l - karatteristiċi tas - servizzi esternalizzati;
• b. monitoraġġ tar-riskji tal-ICT tas- servizzi esternalizzati matul il - perjodu tal - esternalizzazzjoni kuntrattwali bħala parti mill - ġestjoni tar -riskju tal- istituzzjoni, li jikkontribwixxi għar -rappurtar tal-ġestjoni tar -riskju tal-ICT tal- istituzzjoni (eż. rappurtar dwa r il- kontinwità tan - negozju, rappurtar dwar is- sigurtà);
• c. monitoraġġ u paragun tal - livelli ta’ servizz riċevuti mal - livelli ta’ servizz miftiehma kuntrattwalment li għandhom jiffurmaw parti mill -kuntratt tal- esternalizzazzjoni jew mill - ftehim dwar il - livell ta’ servizz (FLS); u
• d. persunal, riżorsi u kompetenzi adegwati biex jiġu mmonitorjati u amministrati r -riskji tal- ICT mis - servizzi esternalizzati.