+OTAP Implementation
|
OTAP Implementation
Ensure segregation of production environments from development, testing, and other non-production environments, encompassing all components of an environment. This also includes requirements to conduct the development and testing in production environments. Ensure that the instances in which testing is performed in production environment are clearly identified, justified, for limited periods of time approved by the relevant function.
1. Overzicht
1.1 Referenties
1.2 Geïdentificeerde eisen
1.3 Gerelateerde regelingen
2. Geïdentificeerde eisen
3. Gerelateerde regelingen
Regelingen
| Bron |
Regelgeving |
|
EULAW
|
Artikel 8 1.
Als onderdeel van de beleidslijnen, procedures, protocollen en tools voor ICT-beveiliging als bedoeld in artikel 9, lid 2, van Verordening (EU) 2022/2554 ontwikkelen, documenteren en implementeren financiële entiteiten beleidslijnen en procedures voor het beheer van de ICT-operaties. Die beleidslijnen en procedures specificeren hoe financiële entiteiten hun ICT-assets opereren, monitoren, controleren en herstellen, met inbegrip van de documentatie van ICT-operaties.
|
|
EULAW
|
Artikel 8 2.
De in lid 1 bedoelde beleidslijnen en procedures voor ICT-operaties bevatten alle volgende elementen:
a)
een beschrijving van ICT-assets, die alle volgende elementen bevat:
i)
vereisten ten aanzien van veilige installatie, onderhoud, configuratie en verwijdering van een ICT-systeem;
ii)
vereisten ten aanzien van het beheer van informatieassets die door ICT-assets worden gebruikt, met inbegrip van de verwerking en handling daarvan, zowel geautomatiseerd als handmatig;
iii)
vereisten ten aanzien van de identificatie en controle van legacy ICT-systemen;
b)
beheersmaatregelen en monitoring van ICT-systemen, met inbegrip van alle volgende elementen:
i)
vereisten inzake back-up en herstel van ICT-systemen;
ii)
vereisten inzake planning, rekening houdende met onderlinge afhankelijkheden van de ICT-systemen;
iii)
protocollen voor audit-trail- en systeemlog-informatie;
iv)
vereisten die borgen dat de uitvoering van interne audits en andere tests storingen van bedrijfsoperaties tot een minimum beperkt;
v)
vereisten ten aanzien van de scheiding tussen de ICT-productieomgevingen en ontwikkelings-, test- en andere niet-productieomgevingen;
vi)
vereisten om ontwikkeling en testen uit te voeren in omgevingen die gescheiden zijn van de productieomgeving;
vii)
vereisten om ontwikkeling en testen uit te voeren in productieomgevingen;
c)
foutafhandeling voor ICT-systemen, met inbegrip van alle volgende elementen:
i)
procedures en protocollen voor foutafhandeling;
ii)
ondersteunings- en escalatiecontacten, met inbegrip van contacten bij externe ondersteuning in het geval van onverwachte operationele of technische problemen;
iii)
herstart-, rollback- en herstelprocedures van ICT-systemen voor toepassing bij een storing in het ICT-systeem.
Voor de toepassing van punt b), v), wordt bij de scheiding rekening gehouden met alle componenten van de omgeving, met inbegrip van accounts, gegevens en verbindingen, zoals voorgeschreven door artikel 13, eerste alinea, punt a). Voor de toepassing van punt b), vii), wordt in de in lid 1 bedoelde beleidslijnen en procedures bepaald dat de gevallen waarin testen in een productieomgeving plaatsvindt, duidelijk geïdentificeerd worden, beargumenteerd worden, voor een beperkte tijd zijn en door de betrokken functie zijn goedgekeurd overeenkomstig artikel 16, lid 6. Financiële entiteiten borgen de beschikbaarheid, vertrouwelijkheid, integriteit en authenticiteit van ICT-systemen en productiegegevens tijdens de ontwikkelings- en testactiviteiten in de productieomgeving.
|
|
EULAW
|
Artikel 17 1.
Als onderdeel van de beschermingsmaatregelen die de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens moeten veiligstellen, nemen financiële entiteiten in de in artikel 9, lid 4, punt e), van Verordening (EU) 2022/2554 bedoelde procedures voor het ICT-wijzigingsbeheer ten aanzien van alle wijzigingen van software-, hardware-, firmwarecomponenten, systemen of beveiligingsparameters alle volgende elementen op:
a)
een verificatie of aan de ICT-beveiligingseisen is voldaan;
b)
mechanismen om de onafhankelijkheid te garanderen van de functies die wijzigingen goedkeuren, en de functies die verantwoordelijk zijn voor het aanvragen en implementeren van die wijzigingen;
c)
een heldere beschrijving van de rollen en verantwoordelijkheden om te verzekeren dat:
i)
wijzigingen gespecificeerd en gepland worden;
ii)
een adequate transitie wordt opgezet;
iii)
de wijzigingen beheerst worden getest en gefinaliseerd;
iv)
er een effectieve kwaliteitsborging is;
d)
de documentatie van en communicatie over concrete details van de wijzigingen, zoals:
i)
doel en scope van de wijzigingen;
ii)
de tijdslijn voor de implementatie van de wijzigingen;
e)
de identificatie van fall-backprocedures en verantwoordelijkheden, met inbegrip van procedures en verantwoordelijkheden voor het afbreken van wijzigingen of het herstel van wijzigingen die niet succesvol zijn geïmplementeerd;
f)
procedures, protocollen en tools voor het beheer van noodwijzigingen die afdoende bescherming bieden;
g)
procedures voor het documenteren, herevalueren, beoordelen en goedkeuren van noodwijzigingen na de implementatie ervan, met inbegrip van workarounds en patches;
h)
de identificatie van de potentiële impact van een wijziging van bestaande ICT-beveiligingsmaatregelen en een beoordeling van de vraag of die wijziging de vaststelling van aanvullende ICT-beveiligingsmaatregelen vereist.
|
|
EULAW
|
Artikel 17 2.
Nadat centrale tegenpartijen en centrale effectenbewaarinstellingen significante wijzigingen in hun ICT-systemen hebben doorgevoerd, onderwerpen zij hun ICT-systemen aan strenge tests door stresssituaties te simuleren. Centrale tegenpartijen betrekken, waar nodig, bij de opzet en de uitvoering van de in de eerste alinea bedoelde tests:
a)
clearingleden en cliënten;
b)
interoperabele centrale tegenpartijen;
Centrale effectenbewaarinstellingen betrekken, waar nodig, bij de opzet en de uitvoering van de in de eerste alinea bedoelde tests:
b)
leveranciers van kritieke voorzieningen en diensten;
c)
andere centrale effectenbewaarinstellingen;
d)
andere marktinfrastructuren;
e)
andere instellingen waarmee centrale effectenbewaarinstellingen volgens hun ICT-bedrijfscontinuïteitsbeleid banden van onderlinge afhankelijkheid blijken te hebben.
|
|