56. Bevoegde autoriteiten beoordelen of de instelling een effectief kader heeft voor het …

Bevoegde autoriteiten beoordelen of de instelling een effectief kader heeft voor het identificeren, begrijpen, meten en beperken van risico's in verband met wijzigingen in ICT, dat past bij de aard, schaal en complexiteit van de activiteiten van de instelling en het ICT-risicoprofiel van de instelling. Het kader van de instelling dient betrekking te hebben op de risico's die zich voordoen bij het ontwikkelen, testen en goedkeuren van ICT-systeemwijzigingen, waaronder de ontwikkeling van of wijzigingen in software, voordat deze naar de productieomgeving worden gemigreerd, en een adequaat ICT-levenscyclusbeheer te waarborgen. Hiertoe houden bevoegde autoriteiten met name rekening met de vraag of het kader de volgende zaken in ogenschouw neemt:

• a. gedocumenteerde processen voor het beheren en controleren van wijzigingen in ICT-systemen (bijv. configuratie- en patchmanagement) en -gegevens (bijv. reparatie van bugs of gegevenscorrecties), waarbij ervoor wordt gezorgd dat het ICT-risicobeheer voldoende ingezet wordt bij belangrijke ICT-wijzigingen die een grote invloed op het risicoprofiel of de risicoblootstelling van de instelling kunnen hebben;
• b. specificaties betreffende de vereiste scheiding van taken gedurende de verschillende fasen van de uitgevoerde ICT-wijzigingen (bijv. bedenken en ontwikkelen van oplossingen, testen en goedkeuren van nieuwe software en/of wijzigingen, migratie en implementatie in de productieomgeving, en reparatie van bugs), met speciale aandacht voor de geïmplementeerde oplossingen en scheiding van taken om wijzigingen te beheren en te controleren die door ICT-personeel (bijv. ontwikkelaars, ICT-systeembeheerders, databankbeheerders) of een andere partij (bijv. zakelijke gebruikers, dienstverleners) in de ICT-productiesystemen zijn aangebracht;
• c. testomgevingen die productieomgevingen adequaat weerspiegelen;
• d. een inventaris van de activa van de bestaande toepassingen en ICT-systemen in de productieomgeving en de test- en ontwikkelingsomgeving, zodat de vereiste wijzigingen (bijv. versie-updates of -upgrades, patchen van systemen, wijzigingen in de configuratie) voor de betrokken ICT-systemen op de juiste wijze kunnen worden beheerd, geïmplementeerd en gecontroleerd.
• e. een proces om de levenscyclus van de gebruikte ICT-systemen te bewaken en te beheren, om ervoor te zorgen dat zij de huidige bedrijfs- en risicobeheervereisten blijven naleven en ondersteunen en dat de gebruikte ICT-oplossingen en -systemen bij voortduring door de verkopers ervan worden ondersteund; en dat dit vergezeld gaat van adequate procedures voor de ontwikkelingscyclus van software;
• f. een systeem voor de controle van softwarebroncodes en passende procedures om ongeoorloofde wijzigingen in de broncode van intern ontwikkelde software te voorkomen;
• g. een proces om de veiligheid en kwetsbaarheid van nieuwe of in wezenlijk opzicht gewijzigde ICT-systemen en software te screenen, alvorens deze vrij te geven voor productie en ze aan mogelijke cyberaanvallen bloot te stellen;
• h. een proces en oplossingen om de ongeoorloofde of onbedoelde openbaarmaking van vertrouwelijke gegevens tijdens het vervangen, archiveren, verwijderen of vernietigen van ICT-systemen te voorkomen;
• i. onafhankelijke toetsings- en validatieprocessen om de risico's op menselijke fouten te verkleinen wanneer er wijzigingen op de ICT-systemen worden aangebracht die een belangrijk nadelig effect op de beschikbaarheid, continuïteit of beveiliging van de instelling (bijv. belangrijke wijzigingen in de firewallconfiguratie) of de beveiliging van de instelling (bijv. wijzigingen in de firewalls) kunnen hebben.
• (d) Beheersingsmaatregelen voor het beheer van wezenlijke ICT-data-integriteitsrisico's

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

3. Gerelateerde standaarden

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/