+Systems Testing Procedures

Systems Testing Procedures

Develop and follow procedures for testing and approval of all ICT systems before use and after maintenance. Determine testing level based on criticality of the business functions and ICT assets. Design and implement testing procedures to verify that new ICT systems are adequate to perform as intended, including the quality of the software developed internally. Perform security testing of software packages no later than the integration phase.

1. Przegląd

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane regulacje

2. Zidentyfikowane wymagania

Wymagania

3. Powiązane regulacje

Regulacje
EULAW Artykuł 16 1.

Przy wprowadzaniu zabezpieczeń służących zapewnieniu dostępności, autentyczności, integralności i poufności danych podmioty finansowe opracowują, dokumentują i wdrażają politykę regulującą pozyskiwanie, rozwój i utrzymanie systemów ICT. W polityce tej:

a) 

określa się praktyki i metody w zakresie bezpieczeństwa związane z pozyskiwaniem, rozwojem i utrzymaniem systemów ICT;

b) 

ustanawia się wymóg identyfikacji:

(i) 

specyfikacji technicznych i specyfikacji technicznych TIK w rozumieniu art. 2 pkt 4 i 5 rozporządzenia (UE) nr 1025/2012;

(ii) 

wymogów dotyczących pozyskiwania, rozwoju i utrzymania systemów ICT, ze szczególnym uwzględnieniem wymogów bezpieczeństwa ICT oraz ich zatwierdzania przez odpowiednią funkcję biznesową i właściciela zasobów ICT zgodnie z ustaleniami podmiotu finansowego dotyczącymi zarządzania wewnętrznego;

c) 

określa się środki ograniczające ryzyko niezamierzonych zmian lub zamierzonej manipulacji systemami ICT podczas rozwoju, utrzymywania i wdrażania tych systemów ICT w środowisku produkcyjnym.
EULAW Artykuł 16 2.
Podmioty finansowe opracowują, dokumentują i wdrażają procedurę pozyskiwania, rozwoju i utrzymania systemów ICT na potrzeby testowania i zatwierdzania wszystkich systemów ICT przed ich wykorzystaniem i po zakończeniu ich utrzymywania, zgodnie z art. 8 ust. 2 lit. b) pkt (v), (vi) i (vii). Poziom testów musi być proporcjonalny do krytyczności odnośnych procedur biznesowych i zasobów ICT. Testy projektuje się w taki sposób, aby można było zweryfikować, czy nowe systemy ICT są odpowiednie do działania zgodnie z przeznaczeniem, z uwzględnieniem jakości wewnętrznie opracowywanego oprogramowania.

W stosownych przypadkach, oprócz wymogów określonych w akapicie pierwszym, kontrahenci centralni angażują następujące podmioty w proces opracowywania i przeprowadzania testów, o których mowa w akapicie pierwszym:

a) 

członków rozliczających i klientów;

b) 

interoperacyjnych kontrahentów centralnych;

c) 

inne zainteresowane strony.

W stosownych przypadkach, oprócz wymogów określonych w akapicie pierwszym, centralne depozyty papierów wartościowych angażują następujące podmioty w proces opracowywania i przeprowadzania testów, o których mowa w akapicie pierwszym:

a) 

użytkowników;

b) 

dostawców najważniejszych mediów i usług;

c) 

inne centralne depozyty papierów wartościowych;

d) 

inne infrastruktury rynkowe;

e) 

wszelkie inne instytucje, które centralne depozyty papierów wartościowych wskazały jako powiązane z nimi współzależnościami w swoich strategiach na rzecz ciągłości działania.
EULAW Artykuł 16 3.

Procedura, o której mowa w ust. 2, obejmuje przeprowadzanie przeglądów kodu źródłowego, w tym zarówno testy statyczne, jak i dynamiczne. Testy te obejmują testowanie bezpieczeństwa systemów i aplikacji internetowych zgodnie z art. 8 ust. 2 lit. b) pkt (v), (vi) i (vii). Podmioty finansowe:

a) 

identyfikują i analizują podatności i nieprawidłowości w kodzie źródłowym;

b) 

przyjmują plan działania w celu wyeliminowania tych podatności i nieprawidłowości;

c) 

monitorują realizację tego planu działania.
EULAW Artykuł 16 4.
Procedura, o której mowa w ust. 2, zakłada przeprowadzenie testów bezpieczeństwa pakietów oprogramowania nie później niż na etapie integracji, zgodnie z art. 8 ust. 2 lit. b) pkt (v), (vi) i (vii).
EULAW Artykuł 16 5.

W procedurze, o której mowa w ust. 2, przewiduje się, że:

a) 

dane dotyczące produkcji mogą być przechowywane w środowiskach nieprodukcyjnych wyłącznie w postaci zanonimizowanej, pseudonimizowanej lub randomizowanej;

b) 

podmioty finansowe muszą chronić integralność i poufność danych w środowiskach nieprodukcyjnych.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.