56. Właściwe organy powinny ocenić, czy instytucja wdrożyła skuteczne ramy identyfikowania …

Właściwe organy powinny ocenić, czy instytucja wdrożyła skuteczne ramy identyfikowania, rozumienia, pomiaru i ograniczania ryzyka związanego ze zmianą ICT dostosowane do charakteru, skali i złożoności działań instytucji oraz profilu ryzyka ICT instytucji. Ramy instytucji powinny obejmować ryzyko powiązane z opracowaniem, testowaniem i zatwierdzaniem zmian systemów ICT, w tym opracowaniem lub zmianą oprogramowania, przed jego przeniesieniem do środowiska produkcji, oraz zagwarantować adekwatne zarządzanie cyklem życia ICT. W ocenie tej właściwe organy powinny przede wszystkim uwzględnić, czy ramy obejmują:

• a. udokumentowane procesy zarządzania zmianami systemów ICT (np. zarządzanie konfiguracją i pakietem naprawczym) i danych (np. usuwanie wirusów lub korygowanie danych) oraz ich kontroli przez zapewnienie odpowiedniego zaangażowania osób odpowiedzialnych za zarządzanie ryzykiem ICT w istotne zmiany ICT, które mogą mieć znaczny wpływ na profil ryzyka lub ekspozycję instytucji;
• b. specyfikacje dotyczące wymaganego podziału obowiązku podczas różnych etapów wdrażania procesów zmiany ICT (np. projektowanie i opracowywanie rozwiązania, testowanie i zatwierdzanie nowego oprogramowania oraz zmian, migracja i wdrażanie w środowisku produkcyjnym oraz us uwanie wirusów) z naciskiem na wdrożone rozwiązania i podział obowiązków w celu zarządzania zmianami produkcji systemów i danych ICT oraz ich kontroli przez pracowników ICT (np. programistów, administratorów systemów ICT, administratorów bazy danych) lub każdej innej strony (np. użytkowników biznesowych, usługodawców);
• c. środowiska testowe, które odpowiednio odzwierciedlają środowiska produkcji;
• d. inwentarz aktywów istniejących aplikacji i systemów ICT w środowisku produkcyjnym, a także środowisko testów i rozwoju, tak aby wymagane zmiany (np. aktualizacje lub modernizacje, zestawy naprawcze systemów, zmiany konfiguracyjne) mogły być przedmiotem odpowiedniego zarządzania, wdrażanego i monitorowanego w odniesieniu do właściwych systemów ICT;
• e. proces monitorowania cyklu życia używanych systemów ICT oraz zarządzania nimi, aby zagwarantować, że nadaj spełniają i wspierają aktualne wymogi w obszarze przedsiębiorstw i zarządzania ryzykiem oraz dopilnować, że używane rozwiązania i systemy ICT wciąż są wspierane przez kl ientów oraz że wciąż towarzyszą im odpowiednie procedury cyklu życia opracowanych programów;
• f. system kontroli i odpowiednie procedury w celu zapobiegania nieupoważnionym zmianom w kodzie źródłowym oprogramowania, które zostało opracowane wewnętrznie;
• g. proces przeprowadzania weryfikacji bezpieczeństwa i podatności nowych lub znacznie zmodyfikowanych systemów i programów ICT przed dopuszczeniem ich do produkcji i narażeniem na ewentualne cyberataki;
• h. proces i rozwiązania w celu zapobiegania nieupoważnionemu i ni ezamierzonemu ujawnieniu danych poufnych, przy przemieszczaniu, archiwizowaniu, wyrzucaniu ub niszczeniu systemów ICT;
• i. niezależne procesy przeglądu i zatwierdzania w celu ograniczenia ryzyka błędów ludzkich podczas wprowadzania zmian do systemów ICT, z których wiele ma niekorzystny wpływ na dostępność, ciągłość lub bezpieczeństwo instytucji (np. istotne zmiany w konfiguracji zapory) lub bezpieczeństwo instytucji (np. zmiany zapory).
• (d) Kontrole na potrzeby zarządzania istotnym ryzykiem związanym integralnością danych ICT

1. Przegląd

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane normy

2. Zidentyfikowane wymagania

3. Powiązane normy

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.