56. Autoritățile competente trebuie să evalueze dacă instituția a stabilit un cadru eficace pentru …

Autoritățile competente trebuie să evalueze dacă instituția a stabilit un cadru eficace pentru identificarea, înțelegerea, măsurarea și atenuarea riscului de schimbare TIC proporțional cu natura, amploarea și complexitatea activităților instituției, precum și cu profilul de risc TIC al instituției. Cadrul instituției trebuie să cuprindă riscurile asociate dezvoltării, testării și aprobării schimbărilor produse la nivelul sistemelor TIC, inclusiv cele asociate dezvoltării sau schimbării software - ului, înainte ca acestea să fie transmise către mediul de producție și să asigure o gestionare adecvată a ciclului de viață TIC. În scopul acestei evaluări, autoritățile competente trebuie să aibă în vedere, în mod specific, dacă în respectivul cadru sunt prevăzute următoarele:

• a. procese documentate pe ntru gestionarea și controlarea schimbărilor aduse sistemelor (de exemplu, configurare și gestionarea patch - ului) și datelor TIC (de exemplu, rezolvarea erorilor de tip bug sau corecțiile de date), asigurarea implicării adecvate a gestionării riscurilor TI C în cazul schimbărilor TIC importante care ar putea avea un impact semnificativ asupra profilului de risc și a expunerii instituției;
• b. specificații privind separarea impusă a sarcinilor în diferitele etape ale proceselor de schimbare TIC implementate (de exemplu, proiectarea și dezvoltarea de soluții, testarea și aprobarea de software nou și/sau schimbări, migrarea și implementarea în mediul de producție și rezolvarea erorilor de tip bug), cu axare pe soluțiile implementate și separarea sarcinilor pentru gestionarea și controlarea schimbărilor aduse sistemelor și datelor TIC de producție de către personalul TIC (de exemplu, dezvoltatori, administratori de sistem TIC, administratori de baze de date) sau orice altă parte (de exemplu, utilizatori economici, furnizori de date);
• c. medii de testare care reflectă în mod corespunzător medii de producție;
• d. un inventar al activelor care să cuprindă aplicațiile și sistemele TIC existente în mediul de producție, precum și în mediul de testare și dezvoltare, pentru ca schimbările necesare (de exemplu, actualizări sau îmbunătățiri ale versiunilor, aplicarea de coduri patch în sisteme, schimbări de configurații) să fie gestionate, implementate și monitorizate în mod corespunzător în cazul sistemelor TIC în cauză;
• e. un proces pen tru monitorizarea și gestionarea ciclului de viață al sistemelor TIC utilizate pentru a asigura faptul că acestea respectă și susțin în continuare cerințele efective de gestionare a activității și a riscurilor și pentru a obține certitudinea că soluțiile și sistemele TIC utilizate sunt susținute în continuare de către furnizorii acestora; și că acesta este însoțit de proceduri adecvate pentru ciclul de viață al procesului de dezvoltare a software - ului (SDLC);
• f. un sistem de verificare a codului sursă al softw are- ului și proceduri adecvate de prevenire a schimbărilor neautorizate asupra codului sursă al software - ului elaborat la nivel intern;
• g. un proces pentru realizarea unei verificări de securitate și vulnerabilitate asupra sistemelor TIC și programelor softwa re noi sau modificate semnificativ înainte de a le lansa în producție și a le expune unor posibile atacuri cibernetice;
• h. un proces și soluții pentru prevenirea divulgării neautorizate sau neintenționate a datelor confidențiale la înlocuirea, arhivarea, eliminarea sau distrugerea sistemelor TIC;
• i. un proces independent de analiză și validare pentru reducerea riscurilor de eroare umană atunci când se aduc schimbări la nivelul sistemelor TIC, care ar putea avea un efect negativ important asupra disponibilității, continuității sau securității instituției (de exemplu, schimbări importante aduse configurației firewall), sau la nivelul securității instituției (de exemplu, schimbări aduse aplicațiilor de tip firewall).
• (d) Proceduri de control pentru gestionarea riscurilor de integritate a datelor TIC semnificative

1. Prezentare generală

1.1 Referințe

1.2 Cerințe identificate

1.3 Standarde asociate

2. Cerințe identificate

3. Standarde asociate

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/