+Resilience Testing Program

Resilience Testing Program

Establish a risk-based digital operational resilience testing program encompassing identification, classification, and full remediation of test deficiencies based on risk landscape and criticality of assets and services. Utilize independent internal or external parties for conducting tests, ensuring clear Segregation of Duties (SoD). Conduct yearly tests on all systems and applications supporting critical or important functions (see controls 19-20 for the digital operational resilience tests). 

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Regolamenti relatati

2. Rekwiżiti identifikati

Rekwiżiti

3. Regolamenti relatati

Regolamenti
EULAW Artikolu 24 1

1.   Għall-fini tal-valutazzjoni tal-istat ta’ tħejjija għall-ġestjoni ta’ inċidenti relatati mal-ICT, tal-identifikazzjoni ta’ dgħufijiet, nuqqasijiet u lakuni fir-reżiljenza operazzjonali diġitali u tal-implimentazzjoni fil-pront ta’ miżuri korrettivi, l-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom, b’kont meħud tal-kriterji stabbiliti fl-Artikolu 4(2), jistabbilixxu, iżommu u jirrieżaminaw programm tajjeb u komprensiv ta’ ttestjar tar-reżiljenza operazzjonali diġitali bħala parti integrali mill-qafas tal-ġestjoni tar-riskju tal-ICT imsemmi fl-Artikolu 6.
EULAW Artikolu 24 2

2.   Il-programm tal-ittestjar tar-reżiljenza operazzjonali diġitali għandu jinkludi firxa ta’ valutazzjonijiet, testijiet, metodoloġiji, prattiki u għodod li għandhom jiġu applikati f’konformità mal-Artikoli 25 u 26.
EULAW Artikolu 24 3

3.   Meta jwettqu l-programm tal-ittestjar tar-reżiljenza operazzjonali diġitali msemmi fil-paragrafu 1 ta’ dan l-Artikolu, l-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom isegwu approċċ ibbażat fuq ir-riskju filwaqt li jqisu l-kriterji stabbiliti fl-Artikolu 4(2) b’kont dovut tax-xenarju li qed jevolvi tar-riskju tal-ICT, kwalunkwe riskju speċifiku li għalih l-entità finanzjarja kkonċernata hija jew tista’ tkun esposta, il-kritikalità tal-assi tal-informazzjoni u tas-servizzi pprovduti, kif ukoll kwalunkwe fattur ieħor li l-entità finanzjarja tqis xieraq.
EULAW Artikolu 24 4

4.   L-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom jiżguraw li t-testijiet jitwettqu minn partijiet indipendenti, kemm jekk ikunu interni kif ukoll jekk ikunu esterni. Meta t-testijiet jitwettqu internament, l-entitajiet finanzjarji għandhom jiddedikaw biżżejjed riżorsi u jiżguraw li l-kunflitti ta’ interess għal dawk li jittestjaw jiġu evitati matul il-fażijiet kollha tat-tfassil u tal-eżekuzzjoni tat-test.
EULAW Artikolu 24 5

5.   L-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom jistabbilixxu proċeduri u politiki biex jipprijoritizzaw, jikklassifikaw u jirrimedjaw il-kwistjonijiet kollha skoperti matul it-twettiq tat-testijiet u għandhom jistabbilixxu metodoloġiji ta’ validazzjoni interna biex jaċċertaw li d-dgħufijiet, in-nuqqasijiet jew il-lakuni kollha identifikati jiġu indirizzati bis-sħiħ.
EULAW Artikolu 24 6

6.   L-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom jiżguraw, mill-inqas darba fis-sena, li jitwettqu testijiet xierqa fuq is-sistemi u l-applikazzjonijiet kollha tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti.
EULAW Artikolu 25 1

1.   Il-programm tal-ittestjar tar-reżiljenza operazzjonali diġitali msemmi fl-Artikolu 24 għandu, f’konformità mal-kriterji stabbiliti fl-Artikolu 4(2), jipprevedi t-twettiq ta’ testijiet xierqa, bħall-valutazzjonijiet u skrutinju tal-vulnerabbiltà, analiżijiet ta’ sorsi miftuħa, valutazzjonijiet tas-sigurtà tan-netwerk, analiżijiet tal-lakuni, rieżamijiet tas-sigurtà fiżika, kwestjonarji u soluzzjonijiet ta’ software ta’ skrutinju, rieżamijiet tal-kodiċi tas-sors fejn fattibbli, testijiet ibbażati fuq xenarji, ittestjar tal-kompatibbiltà, ittestjar tal-prestazzjoni, ittestjar minn tarf sa tarf jew ittestjar tal-penetrazzjoni.