56. Właściwe organy powinny ocenić, czy instytucja wdrożyła skuteczne ramy identyfikowania …

Właściwe organy powinny ocenić, czy instytucja wdrożyła skuteczne ramy identyfikowania, rozumienia, pomiaru i ograniczania ryzyka związanego ze zmianą ICT dostosowane do charakteru, skali i złożoności działań instytucji oraz profilu ryzyka ICT instytucji. Ramy instytucji powinny obejmować ryzyko powiązane z opracowaniem, testowaniem i zatwierdzaniem zmian systemów ICT, w tym opracowaniem lub zmianą oprogramowania, przed jego przeniesieniem do środowiska produkcji, oraz zagwarantować adekwatne zarządzanie cyklem życia ICT. W ocenie tej właściwe organy powinny przede wszystkim uwzględnić, czy ramy obejmują:

• a. udokumentowane procesy zarządzania zmianami systemów ICT (np. zarządzanie konfiguracją i pakietem naprawczym) i danych (np. usuwanie wirusów lub korygowanie danych) oraz ich kontroli przez zapewnienie odpowiedniego zaangażowania osób odpowiedzialnych za zarządzanie ryzykiem ICT w istotne zmiany ICT, które mogą mieć znaczny wpływ na profil ryzyka lub ekspozycję instytucji;
• b. specyfikacje dotyczące wymaganego podziału obowiązku podczas różnych etapów wdrażania procesów zmiany ICT (np. projektowanie i opracowywanie rozwiązania, testowanie i zatwierdzanie nowego oprogramowania oraz zmian, migracja i wdrażanie w środowisku produkcyjnym oraz us uwanie wirusów) z naciskiem na wdrożone rozwiązania i podział obowiązków w celu zarządzania zmianami produkcji systemów i danych ICT oraz ich kontroli przez pracowników ICT (np. programistów, administratorów systemów ICT, administratorów bazy danych) lub każdej innej strony (np. użytkowników biznesowych, usługodawców);
• c. środowiska testowe, które odpowiednio odzwierciedlają środowiska produkcji;
• d. inwentarz aktywów istniejących aplikacji i systemów ICT w środowisku produkcyjnym, a także środowisko testów i rozwoju, tak aby wymagane zmiany (np. aktualizacje lub modernizacje, zestawy naprawcze systemów, zmiany konfiguracyjne) mogły być przedmiotem odpowiedniego zarządzania, wdrażanego i monitorowanego w odniesieniu do właściwych systemów ICT;
• e. proces monitorowania cyklu życia używanych systemów ICT oraz zarządzania nimi, aby zagwarantować, że nadaj spełniają i wspierają aktualne wymogi w obszarze przedsiębiorstw i zarządzania ryzykiem oraz dopilnować, że używane rozwiązania i systemy ICT wciąż są wspierane przez kl ientów oraz że wciąż towarzyszą im odpowiednie procedury cyklu życia opracowanych programów;
• f. system kontroli i odpowiednie procedury w celu zapobiegania nieupoważnionym zmianom w kodzie źródłowym oprogramowania, które zostało opracowane wewnętrznie;
• g. proces przeprowadzania weryfikacji bezpieczeństwa i podatności nowych lub znacznie zmodyfikowanych systemów i programów ICT przed dopuszczeniem ich do produkcji i narażeniem na ewentualne cyberataki;
• h. proces i rozwiązania w celu zapobiegania nieupoważnionemu i ni ezamierzonemu ujawnieniu danych poufnych, przy przemieszczaniu, archiwizowaniu, wyrzucaniu ub niszczeniu systemów ICT;
• i. niezależne procesy przeglądu i zatwierdzania w celu ograniczenia ryzyka błędów ludzkich podczas wprowadzania zmian do systemów ICT, z których wiele ma niekorzystny wpływ na dostępność, ciągłość lub bezpieczeństwo instytucji (np. istotne zmiany w konfiguracji zapory) lub bezpieczeństwo instytucji (np. zmiany zapory).
• (d) Kontrole na potrzeby zarządzania istotnym ryzykiem związanym integralnością danych ICT

1. Przegląd

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane normy

2. Zidentyfikowane wymagania

3. Powiązane normy

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/