+Source Code Reviews

Source Code Reviews

Conduct source code reviews encompassing static and dynamic testing, for the purpose of acquisition, development and maintenance of ICT-systems. Include security testing for internet-exposed systems. Identify and address vulnerabilities and anomalies in the source code and put in place plans to mitigate them. Monitor mitigation efforts. Implement controls to safeguard the integrity of source code, whether developed in-house or by a third-party service provider. Analyze and test source code and proprietary software provided by third-party service providers or from open-source projects for vulnerabilities.

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde regelingen

2. Geïdentificeerde eisen

Eisen

3. Gerelateerde regelingen

Regelingen
EULAW Artikel 16 1.

Als onderdeel van de beschermingsmaatregelen die de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens moeten veiligstellen, ontwikkelen, documenteren en implementeren financiële entiteiten een beleid voor aanschaf, ontwikkeling en onderhoud van ICT-systemen. Dat beleid:

a) 

brengt beveiligingspraktijken en -methoden voor aanschaf, ontwikkeling en onderhoud van ICT-systemen in kaart;

b) 

eist de identificatie van:

i) 

technische specificaties en technische ICT-specificaties, zoals gedefinieerd in artikel 2, punten 4 en 5), van Verordening (EU) nr. 1025/2012;

ii) 

vereisten ten aanzien van aanschaf, ontwikkeling en onderhoud van ICT-systemen, met bijzondere aandacht voor ICT-beveiligingseisen en de goedkeuring daarvan door de betrokken bedrijfsfunctie en eigenaar van ICT-assets in overeenstemming met de interne governanceregelingen van de financiële entiteit;

c) 

specificeert maatregelen om het risico te mitigeren van onbedoelde wijziging of bedoelde manipulatie van de ICT-systemen tijdens ontwikkeling, onderhoud en uitrol van die ICT-systemen in de productieomgeving.
EULAW Artikel 16 2.
Financiële entiteiten ontwikkelen, documenteren en implementeren ten behoeve van aanschaf, ontwikkeling en onderhoud van ICT-systemen een procedure voor het testen en goedkeuren van alle ICT-systemen vóór het gebruik ervan en na onderhoud, in overeenstemming met artikel 8, lid 2, punt b), v), vi) en vii). De grondigheid van de tests is evenredig aan het kritieke karakter van de betrokken bedrijfsprocedures en ICT-assets. Het testen wordt ingericht om na te gaan of de nieuwe ICT-systemen adequaat zijn om te functioneren als beoogd, met inbegrip van de kwaliteit van intern ontwikkelde software.

Centrale tegenpartijen betrekken, naast de in de eerste alinea bepaalde eisen, waar nodig bij de opzet en de uitvoering van de in de eerste alinea bedoelde tests:

a) 

clearingleden en cliënten;

b) 

interoperabele centrale tegenpartijen;

c) 

andere belanghebbenden.

Centrale effectenbewaarinstellingen betrekken, naast de in de eerste alinea bepaalde eisen, waar nodig bij de opzet en de uitvoering van de in de eerste alinea bedoelde tests:

a) 

gebruikers;

b) 

leveranciers van kritieke voorzieningen en diensten;

c) 

andere centrale effectenbewaarinstellingen;

d) 

andere marktinfrastructuren;

e) 

andere instellingen waarmee centrale effectenbewaarinstellingen volgens hun bedrijfscontinuïteitsbeleid banden van onderlinge afhankelijkheid blijken te hebben.
EULAW Artikel 16 3.

De in lid 2 bedoelde procedure omvat het uitvoeren van broncodereviews (pentests) met zowel statische als dynamische tests. Die tests omvatten beveiligingstests voor systemen en applicaties met internetblootstelling, overeenkomstig artikel 8, lid 2, punt b), v), vi) en vii). Financiële entiteiten:

a) 

brengen kwetsbaarheden en anomalieën in de broncode in kaart en analyseren deze;

b) 

stellen een actieplan vast om die kwetsbaarheden en anomalieën aan te pakken;

c) 

monitoren de implementatie van dat actieplan.
EULAW Artikel 16 4.
De in lid 2 bedoelde procedure bevat beveiligingstests van softwarepakketten uiterlijk in de integratiefase, overeenkomstig artikel 8, lid 2, punt b), v), vi) en vii).
EULAW Artikel 16 5.

In de in lid 2 bedoelde procedure wordt bepaald dat:

a) 

niet-productieomgevingen alleen geanonimiseerde, gepseudonimiseerde of gerandomiseerde productiegegevens opslaan;

b) 

financiële entiteiten de integriteit en vertrouwelijkheid van gegevens in niet-productieomgevingen moeten beschermen.