56. L- awtoritajiet kompetenti għandhom jivvalutaw jekk l - istituzzjoni għandhiex qafas effettiv …

L- awtoritajiet kompetenti għandhom jivvalutaw jekk l - istituzzjoni għandhiex qafas effettiv fis - seħħ għall - identifikazzjoni, il - ftehim, il - kejl u l - mitigazzjoni tar - riskju ta’ bidla tal - ICT proporzjonali man - natura, l - iskala u l- kumplessità tal - attivitajiet tal -istituzzjoni u tal- profil tar -riskju tal-ICT tal-istituzzjoni. Il- qafas tal - istituzzj oni għandu jkopri r - riskji assoċjati mal - iżvilupp, l - ittestjar u l - approvazzjoni ta’ bidliet fis - sistemi tal- ICT, inkluż l - iżvilupp jew bidliet fis - softwer, qabel ma jittieħdu għall - ambjent tal -produzzjoni u jiżguraw ġestjoni adegwata taċ - ċiklu tal - ħajja t al- ICT. Għal din il - valutazzjoni, l - awtoritajiet kompetenti, b’mod partikolari, għandhom iqisu jekk il - qafas jikkunsidrax:

• a. proċessi dokumentati għall - ġestjoni u l - kontroll ta’ bidliet fis - sistemi (eż. konfigurazzjoni u ġestjoni ta’ softwer korrettiv) u data (eż. korrezzjonijiet ta’ bugs jew korrezzjonijiet ta’ data) tal - ICT, li jiżguraw l - involviment xieraq tal - ġestjoni tar -riskju tal- ICT għal bidliet importanti tal - ICT li jistgħu jħallu impatt sinifikanti fuq il - profil tar - riskju jew l - esponiment tal -istituzzjoni;
• b. speċifikazzjonijiet li jirrigwardaw is - segregazzjoni tad - doveri meħtieġa matul il - fażijiet differenti tal - proċessi ta’ bidla tal - ICT implimentati (eż. tfassil tas - soluzzjoni u żvilupp, ittestjar u approvazzjoni ta’ softwer ġdid u/jew bidliet, migrazzjoni u implimentazzjoni fl - ambjent ta’ produzzjoni, u korrezzjoni ta’ bugs), b’attenzjoni fuq is - soluzzjonijiet implimentati u s - segregazzjoni tad - doveri biex jiġu mmaniġġjati u kkontrollati bidliet għas - sistemi u d - data ta’ produzzjoni tal - ICT mill - pe rsunal tal-ICT (eż. żviluppaturi, amministraturi tas - sistema tal - ICT, amministraturi tal - bażi tad - data) jew kwalunkwe parti oħra (eż. utenti ta’ negozju, fornituri ta’ servizz);
• c. ambjenti tal - ittestjar li jirriflettu b’mod xieraq ambjenti ta’ produzzjoni;
• d. inventarju tal -assi tal- applikazzjonijiet u s - sistemi tal - ICT eżistenti fl - ambjent tal - produzzjoni, kif ukoll fl - ambjent tal - ittestjar u tal - iżvilupp, sabiex il - bidliet meħtieġa (eż. aġġornamenti jew titjib tal - verżjoni, patching tas - sistemi, bidliet fil -k onfigurazzjoni) ikunu jistgħu jiġu mmaniġġjati, implimentati u mmonitorjati kif suppost għas - sistemi tal - ICT involuti.
• e. proċess li jimmonitorja u jimmaniġġja ċ - ċiklu tal - ħajja tas - sistemi tal - ICT użati, biex jiġi żgurat li jkomplu jissodisfaw u jappoġġjaw i r- rekwiżiti tan - negozju u tal - ġestjoni tar - riskju attwali u li jiżgura li s- soluzzjonijiet u s - sistemi tal - ICT użati għadhom appoġġjati mill - bejjiegħa tagħhom; u li dan ikun akkompanjat bi proċeduri adegwati taċ - ċiklu tal - ħajja tal - iżvilupp tas - softwer (SDLC).
• f. sistema ta’ kontroll tal - kodiċi tas - sors bħala softwer u proċeduri xierqa biex jiġu evitati bidliet mhux awtorizzati fil - kodiċi tas - sors ta’ softwer li jiġi żviluppat internament;
• g. proċess li jwettaq skrinjar tas - sigurtà u tal - vulnerabbiltà ta’ sistemi u softwer tal - ICT ġodda jew immodifikati materjalment, qabel ma jinħarġu għall - produzzjoni u jiġu esposti għal ċiberattakki possibbli;
• h. proċess u soluzzjonijiet biex jiġi evitat l - iżvelar mhux awtorizzat jew mhux intenzjonat ta’ data kunfidenzjali, meta jiġu sostitwiti, arkivjati, mormija jew meqruda sistemi tal -ICT;
• i. reviżjoni indipendenti u proċessi ta’ validazzjoni biex jitnaqqsu r - riskji għall - iżbalji tal - bnedmin meta jsiru bidliet għas - sistemi tal - ICT li jista' jkollhom effett negattiv importanti fuq id - disponibbiltà, il - kontinwità jew is - sigurtà tal - istituzzjoni (eż. bidliet importanti għall - konfigurazzjoni tal - firewall), jew is- sigurtà tal - istituzzjoni (eż. bidliet lill - firewalls).
• (d) Kontrolli għall-ġestjoni ta’ riskji ta’ integrità ta’ data materjali tal-ICT;

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Standards relatati

2. Rekwiżiti identifikati

3. Standards relatati

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/