+Source Code Reviews

Source Code Reviews

Conduct source code reviews encompassing static and dynamic testing, for the purpose of acquisition, development and maintenance of ICT-systems. Include security testing for internet-exposed systems. Identify and address vulnerabilities and anomalies in the source code and put in place plans to mitigate them. Monitor mitigation efforts. Implement controls to safeguard the integrity of source code, whether developed in-house or by a third-party service provider. Analyze and test source code and proprietary software provided by third-party service providers or from open-source projects for vulnerabilities.

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Regulamentos relacionados

2. Requisitos identificados

Requisitos

3. Regulamentos relacionados

Regulamentos
EULAW Artigo 16.o 1.

No âmbito das salvaguardas destinadas a preservar a disponibilidade, autenticidade, integridade e confidencialidade dos dados, as entidades financeiras devem desenvolver, documentar e aplicar uma política que regule a aquisição, desenvolvimento e manutenção dos sistemas de TIC. Essa política deve:

a) 

Identificar as práticas e metodologias de segurança relacionadas com a aquisição, desenvolvimento e manutenção dos sistemas de TIC;

b) 

Exigir a identificação de:

i) 

especificações técnicas e especificações técnicas no domínio das TIC, tal como definidas no artigo 2.o, pontos 4 e 5, do Regulamento (UE) n.o 1025/2012,

ii) 

requisitos relativos à aquisição, desenvolvimento e manutenção dos sistemas de TIC, com especial destaque para os requisitos de segurança das TIC e a sua aprovação pela função empresarial competente e pelo titular dos ativos de TIC, de acordo com os mecanismos de governação interna da entidade financeira;

c) 

Especificar medidas para mitigar o risco de alteração não intencional ou manipulação intencional dos sistemas de TIC durante o desenvolvimento, manutenção e implantação desses sistemas de TIC no ambiente de produção.
EULAW Artigo 16.o 2.
As entidades financeiras devem desenvolver, documentar e aplicar um procedimento de aquisição, desenvolvimento e manutenção dos sistemas necessários para testar e aprovar todos os sistemas de TIC antes da sua utilização e após manutenção, em conformidade com o artigo 8.o, n.o 2, alínea b), subalíneas v), vi) e vii). O nível dos testes deve ser proporcionado ao caráter crítico dos procedimentos operacionais e dos ativos de TIC em causa. Os testes devem ser concebidos para verificar se os novos sistemas de TIC são adequados ao desempenho pretendido, incluindo a qualidade dos programas informáticos desenvolvidos internamente.

Para além dos requisitos estabelecidos no primeiro parágrafo, as contrapartes centrais devem envolver as seguintes entidades, conforme adequado, na conceção e realização dos testes referidos no primeiro parágrafo:

a) 

Membros compensadores e clientes;

b) 

Contrapartes centrais interoperáveis;

c) 

Outras partes interessadas.

Para além dos requisitos estabelecidos no primeiro parágrafo, as centrais de valores mobiliários devem envolver as seguintes entidades, conforme adequado, na conceção e realização dos testes referidos no primeiro parágrafo:

a) 

Utilizadores;

b) 

Prestadores de serviços de utilidade pública críticos e de outros serviços críticos;

c) 

Outras centrais de valores mobiliários;

d) 

Outras infraestruturas de mercado;

e) 

Quaisquer outras instituições com as quais as centrais de valores mobiliários tenham identificado interdependências na sua política de continuidade das atividades.
EULAW Artigo 16.o 3.

O procedimento referido no n.o 2 deve incluir o desempenho das análises do código-fonte que abranjam testes estáticos e dinâmicos. Esses testes devem incluir testes de segurança para os sistemas e aplicações expostos à Internet, em conformidade com o artigo 8.o, n.o 2, alínea b), subalíneas v), vi) e vii). As entidades financeiras devem:

a) 

Identificar e analisar as vulnerabilidades e anomalias no código-fonte;

b) 

Adotar um plano de ação para corrigir essas vulnerabilidades e anomalias;

c) 

Monitorizar a execução desse plano de ação.
EULAW Artigo 16.o 4.
O procedimento referido no n.o 2 deve incluir testes de segurança dos pacotes de programas informáticos o mais tardar na fase de integração, em conformidade com o artigo 8.o, n.o 2, alínea b), subalíneas v), vi) e vii).
EULAW Artigo 16.o 5.

O procedimento referido no n.o 2 deve prever que:

a) 

Os ambientes não produtivos apenas conservem dados de produção anonimizados, pseudonimizados ou aleatorizados;

b) 

As entidades financeiras protegem a integridade e a confidencialidade dos dados em ambientes não produtivos.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.