56. Príslušné orgány by mali posúdiť, či inštitúcia má účinný rámec na identifikáciu, meranie a …

Príslušné orgány by mali posúdiť, či inštitúcia má účinný rámec na identifikáciu, meranie a zmiernenie rizík súvisiacich so zmenou IKT a na porozumenie týmto rizikám, ktoré sú úmerné povahe, rozsahu a zložitosti činností inštitúcie a jej profilu z hľadiska rizika súvisiaceho s IKT. Ráme c inštitúcie by sa mal vzťahovať na riziká spojené s vývojom, testovaním a schvaľovaním zmien IKT systémov vrátane vývoja alebo zmeny softvéru predtým, než sa prenesie do produkčného prostredia, a mal by zabezpečovať primerané riadenie životného cyklu IKT. Príslušné orgány by na účely tohto posúdenia mali konkrétne posúdiť, či sa v tomto rámci zohľadňujú:

• a. zdokumentované procesy na riadenie a kontrolu zmien IKT systémov (napr. konfigurácia a správa opráv) a dát (napr. oprava chýb alebo opravy dát), pričom sa zabezpečuje primerané zapojenie riadenia rizík súvisiacich s IKT do dôležitých zmien IKT, ktoré môžu významne postihnúť rizikový profil alebo expozíciu inštitúcie;
• b. špecifikácie týkajúce sa požadovaného oddelenia funkcií počas rôznych fáz vykonávaných postupov zmien IKT (napr. návrh a vývoj riešenia, testovanie a schválenie nového softvéru a/alebo zmeny, presun a vykonávanie v rámci produkčného prostredia a oprava chýb) so zameraním na vykonávané riešenia a oddelenie funkcií riadenia a kontroly zmien výroby IKT systémov a dát zamestnancami IKT (napr. programátori, správcovia IKT systému, správcovia databáz) alebo inou stranou (napr. obchodní používatelia, poskytovatelia služieb);
• c. testovacie prostredia, ktoré primerane odzrkadľujú produkčné prostredia;
• d. zoz nam aktív existujúcich aplikácií a IKT systémov vo produkčnom prostredí, ako aj v skúšobnom a vývojovom prostredí, aby sa požadované zmeny (napr. aktualizácie alebo modernizácie verzií, opravy systémov, zmeny konfigurácie) mohli v prípade dotknutých IKT systémov riadne spravovať, realizovať a monitorovať;
• e. proces na monitorovanie a riadenie životného cyklu použitých IKT systémov, na zabezpečenie, aby naďalej spĺňali a podporovali aktuálne hospodárske požiadavky a požiadavky riadenia rizík, a na zabezpečenie, že použité IKT riešenia a systémy ich predajcovia stále podporujú; a že tento proces dopĺňajú primerané postupy životného cyklu vývoja softvéru;
• f. kontrolný systém zdrojového kódu softvéru a vhodné postupy na zabránenie neoprávneným zmenám v zdrojovom kóde softvéru, ktorý sa vyvíja interne;
• g. proces na vykonanie bezpečnostného vyšetrovania a overenia zraniteľnosti nových alebo významne upravených IKT systémov a softvéru pred ich uvedením do výroby a pred ich vystavením možným kybernetickým útokom;
• h. proces a rie šenia na zabránenie neoprávneného alebo neúmyselného zverejnenia dôverných údajov pri výmene, archivácii, vyraďovaní alebo likvidácii IKT systémov;
• i. postupy nezávislého preskúmania a potvrdenia na zníženie rizík ľudských chýb pri vykonávaní zmien IKT systémov, ktoré môžu mať závažný nežiaduci účinok na dostupnosť, kontinuitu alebo bezpečnosť inštitúcie (napr. významné zmeny v konfigurácii firewallu) alebo na bezpečnosť inštitúcie (napr. zmeny firewallu).
• (d) Kontroly na riadenie významných rizík súvisiacich s in tegritou IKT údajov

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace štandardy

2. Identifikované požiadavky

3. Súvisiace štandardy

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.