56. As autoridades competentes devem avaliar se a instituição possui uma estrutura eficaz para …

As autoridades competentes devem avaliar se a instituição possui uma estrutura eficaz para identificar, compreender, medir e mitigar o risco de alteração das TIC proporcional à natureza, à escala e à complexidade das atividades da instituição e ao perfil de risco de TIC da instituição. A estrutura da instituição deve abranger os riscos associados ao desenvolvimento, teste e aprovação de alterações aos sistemas de TIC, incluindo o desenvolvimento ou alteração de software , antes da sua migração para o ambiente de produção, garantindo uma gestão adequada do ciclo de vida das TIC. Para esta avaliação, as autoridades competentes devem ter em consideração, em particular, se a estrutura tem em conta:

• a. processos documentados para a gestão e controlo de alterações aos sistemas de TIC (como configuração e gestão de correções de segurança) e dados (como correção de erros ou de dados), garantindo o envolvimento apropriado da gestão de riscos de TIC para importantes alterações das TIC que possam ter um impacto significativo no perfil de risco ou exposição da instituição;
• b. especificações referentes à necessária segregação de funções durante as diferentes fases dos processos de alteração das TIC implementados (como conceção e desenvolvimento de soluções, testes e aprovação de novo software e/ou de alterações, migração e implementação no ambiente de produção, e correção de erros), com ênfase nas soluções implementadas e na segregação de funções para gerir e controlar as alterações aos sistemas de TIC de produção e dados pela equipa de TIC (como programadores, administradores de sistemas de TIC, administradores de bases de dados) ou outras partes (como utilizadores de negócio, prestadores de serviços);
• c. ambientes de teste que reflitam adequadamente os ambientes de produção;
• d. um inventário de ativos das aplicações e sistemas de TIC existentes no ambiente de produção, assim como no ambiente de testes e desenvolvimento, para que as alterações necessárias (como atualizações de versões, aplicação de correções de segurança a sistemas, alterações de configuração) possam ser geridas, implementadas e monitorizadas apropriadamente para os sistemas de TIC envolvidos;
• e. um processo para monitorizar e gerir o ciclo de vida dos sistemas de TIC utilizados, para garantir que continuam a satisfazer e a apoiar os requisitos atuais de gestão de negócio e de riscos e para assegurar que as soluções e os sistemas de TIC utilizados ainda são suportados pelos respetivos fornecedores e que este processo é acompanhado por procedimentos adequados do ciclo de vida de desenvolvimento de software (SDLC);
• f. um sistema de controlo de código fonte de software e procedimentos apropriados para evitar alterações não autorizadas no código fonte de software desenvolvido internamente;
• g. um processo para realizar a deteção de segurança e de vulnerabilidades de sistemas e software de TIC novos ou com alterações significativas, antes de serem enviados para produção e expostos a possíveis ciberataques;
• h. um processo e soluções para prevenir a divulgação não autorizada ou não intencional de dados confidenciais ao substituir, arquivar, eliminar ou destruir sistemas de TIC;
• i. processos independentes de revisão e validação para reduzir os riscos de erros humanos ao serem efetuadas alterações aos sistemas de TIC que possam ter um importante efeito negativo na disponibilidade, continuidade ou segurança da instituição (por exemplo, alterações importantes na configuração da firewall ) ou na segurança da instituição (como alterações às firewalls ).
• (d) Controlos para a gestão de riscos de integridade de dados das TIC significativos

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

3. Normas relacionadas

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/