+Source Code Reviews

Source Code Reviews

Conduct source code reviews encompassing static and dynamic testing, for the purpose of acquisition, development and maintenance of ICT-systems. Include security testing for internet-exposed systems. Identify and address vulnerabilities and anomalies in the source code and put in place plans to mitigate them. Monitor mitigation efforts. Implement controls to safeguard the integrity of source code, whether developed in-house or by a third-party service provider. Analyze and test source code and proprietary software provided by third-party service providers or from open-source projects for vulnerabilities.

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Regolamenti relatati

2. Rekwiżiti identifikati

Rekwiżiti

3. Regolamenti relatati

Regolamenti
EULAW Artikolu 16 1.

Bħala parti mis-salvagwardji biex jiġu ppreżervati d-disponibbiltà, l-awtentiċità, l-integrità u l-kunfidenzjalità tad-data, l-entitajiet finanzjarji għandhom jiżviluppaw, jiddokumentaw u jimplimentaw politika li tirregola l-akkwiżizzjoni, l-iżvilupp u l-manutenzjoni tas-sistemi tal-ICT. Dik il-politika għandha:

(a) 

tidentifika prattiki u metodoloġiji tas-sigurtà relatati mal-akkwiżizzjoni, mal-iżvilupp u mal-manutenzjoni tas-sistemi tal-ICT;

(b) 

tirrikjedi l-identifikazzjoni ta’:

(i) 

speċifikazzjonijiet tekniċi u speċifikazzjonijiet tekniċi tal-ICT, kif iddefiniti fl-Artikolu 2, il-punti (4) u (5) tar-Regolament (UE) Nru 1025/2012;

(ii) 

rekwiżiti relatati mal-akkwiżizzjoni, mal-iżvilupp u mal-manutenzjoni tas-sistemi tal-ICT, b’enfasi partikolari fuq ir-rekwiżiti tas-sigurtà tal-ICT u fuq l-approvazzjoni tagħhom mill-funzjoni kummerċjali rilevanti u mis-sid tal-assi tal-ICT f’konformità mal-arranġamenti ta’ governanza interna tal-entità finanzjarja;

(c) 

tispeċifika l-miżuri biex jiġi mmitigat ir-riskju ta’ tibdil mhux intenzjonat jew ta’ manipulazzjoni intenzjonata tas-sistemi tal-ICT matul l-iżvilupp, il-manutenzjoni u l-varar ta’ dawk is-sistemi tal-ICT fl-ambjent ta’ produzzjoni.
EULAW Artikolu 16 2.
L-entitajiet finanzjarji għandhom jiżviluppaw, jiddokumentaw u jimplimentaw proċedura ta’ akkwiżizzjoni, żvilupp u manutenzjoni tas-sistemi tal-ICT għall-ittestjar u l-approvazzjoni tas-sistemi kollha tal-ICT qabel l-użu tagħhom u wara l-manutenzjoni, f’konformità mal-Artikolu 8(2), il-punt (b), il-punti (v), (vi) u (vii). Il-livell ta’ ttestjar għandu jkun proporzjonat għall-kritikalità tal-proċeduri kummerċjali u tal-assi tal-ICT ikkonċernati. L-ittestjar għandu jkun iddisinjat biex jivverifika li sistemi ġodda tal-ICT ikunu adegwati biex jaħdmu kif maħsub, inkluża l-kwalità tas-software żviluppat internament.

Il-kontropartijiet ċentrali għandhom, minbarra r-rekwiżiti stabbiliti fl-ewwel subparagrafu, jinvolvu, kif xieraq, fid-disinn u fit-twettiq tal-ittestjar imsemmi fl-ewwel subparagrafu:

(a) 

il-membri tal-ikklerjar u klijenti;

(b) 

il-kontropartijiet ċentrali interoperabbli;

(c) 

partijiet interessati oħrajn.

Id-depożitorji ċentrali tat-titoli għandhom, minbarra r-rekwiżiti stabbiliti fl-ewwel subparagrafu, jinvolvu, kif xieraq, fid-disinn u fit-twettiq tal-ittestjar imsemmi fl-ewwel subparagrafu:

(a) 

l-utenti;

(b) 

il-fornituri ta’ utilitajiet kritiċi u servizzi kritiċi;

(c) 

depożitorji ċentrali tat-titoli oħrajn;

(d) 

infrastrutturi tas-suq oħrajn;

(e) 

kwalunkwe istituzzjoni oħra li magħha d-depożitorji ċentrali tat-titoli identifikaw interdipendenzi fil-politika ta’ kontinwità tal-operat tagħhom.
EULAW Artikolu 16 3.

Il-proċedura msemmija fil-paragrafu 2 għandu jkun fiha t-twettiq tar-rieżamijiet tal-kodiċi tas-sors li jkopru kemm l-ittestjar statiku kif ukoll dak dinamiku. Dak l-ittestjar għandu jkun fih ittestjar tas-sigurtà għal sistemi u applikazzjonijiet esposti għall-Internet f’konformità mal-Artikolu 8(2), il-punt (b), il-punti (v), (vi) u (vii). L-entitajiet finanzjarji għandhom:

(a) 

jidentifikaw u janalizzaw il-vulnerabbiltajiet u l-anomaliji fil-kodiċi tas-sors;

(b) 

jadottaw pjan ta’ azzjoni biex jindirizzaw dawk il-vulnerabbiltajiet u l-anomaliji;

(c) 

jimmonitorjaw l-implimentazzjoni ta’ dak il-pjan ta’ azzjoni.
EULAW Artikolu 16 4.
Il-proċedura msemmija fil-paragrafu 2 għandu jkun fiha ttestjar tas-sigurtà ta’ pakketti ta’ software mhux aktar tard mill-fażi ta’ integrazzjoni, f’konformità mal-Artikolu 8(2), il-punti (b)(v), (vi) u (vii).
EULAW Artikolu 16 5.

Il-proċeduri msemmija fil-paragrafu 2 għandhom jipprevedu li:

(a) 

l-ambjenti mhux tal-produzzjoni jaħżnu biss data anonimizzata, psewdonimizzata jew data tal-produzzjoni aleatorja;

(b) 

l-entitajiet finanzjarji għandhom jipproteġu l-integrità u l-kunfidenzjalità tad-data f’ambjenti mhux tal-produzzjoni.