+Environment Risk Mitigation Measures

Environment Risk Mitigation Measures

Put in place measures to mitigate the risk of unintentional alteration or intentional manipulation during development, maintenance, and deployment in production. Protect the integrity and confidentiality of data in non-production environments. Store only anonymized, pseudonymized, or randomized production data. 

Production data that are not anonymized, not pseudonymized or not randomized may be stored only for specific testing occasions, for limited periods of time and following the approval by the relevant function and, for financial entities other than microenterprises, the reporting of such occasions to the ICT
risk management function.

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace predpisy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace predpisy

Predpisy
EULAW Článok 16 1.

Ako súčasť záruk na zachovanie dostupnosti, pravosti, integrity a dôvernosti údajov finančné subjekty vypracujú, zdokumentujú a vykonávajú politiku, ktorou sa riadi nadobudnutie, vývoj a údržba IKT systémov. Touto politikou sa:

a) 

identifikujú bezpečnostné postupy, ako aj metodiky týkajúce sa nadobúdania, vývoja a údržby IKT systémov;

b) 

požaduje identifikácia týchto prvkov:

i) 

technické špecifikácie a technické špecifikácie IKT v zmysle vymedzenia v článku 2 bodoch 4 a 5 nariadenia (EÚ) č. 1025/2012;

ii) 

požiadavky týkajúce sa nadobudnutia, vývoja a údržby IKT systémov s osobitným zameraním na bezpečnostné požiadavky v oblasti IKT a na ich schválenie príslušnou obchodnou funkciou a vlastníkom IKT aktív v súlade s vnútornými mechanizmami správy a riadenia finančného subjektu;

c) 

stanovujú opatrenia na zmiernenie rizika neúmyselnej zmeny IKT systémov alebo úmyselnej manipulácie s IKT systémami počas vývoja, údržby a zavádzania týchto IKT systémov v produkčnom prostredí.
EULAW Článok 16 2.
Finančné subjekty vypracujú, zdokumentujú a vykonávajú postup nadobudnutia, vývoja a údržby IKT systémov na účely testovania a schvaľovania všetkých IKT systémov pred ich použitím a po údržbe v súlade s článkom 8 ods. 2 písm. b) bodmi v), vi) a vii). Úroveň testovania zodpovedá kritickosti dotknutých obchodných postupov a IKT aktív. Testovanie musí byť navrhnuté tak, aby sa overilo, či sú nové IKT systémy primerané na to, aby fungovali podľa plánu, a to vrátane overenia kvality softvéru vyvinutého interne.

Centrálne protistrany popri požiadavkách stanovených v prvom pododseku v prípade potreby zapoja do navrhovania a vykonávania testovania uvedeného v prvom pododseku tieto subjekty:

a) 

zúčtovacích členov a klientov;

b) 

interoperabilné centrálne protistrany;

c) 

iné zainteresované strany.

Centrálne depozitáre cenných papierov popri požiadavkách stanovených v prvom pododseku v prípade potreby zapoja do navrhovania a vykonávania testovania uvedeného v prvom pododseku tieto subjekty:

a) 

užívateľov;

b) 

poskytovateľov kritických sieťových odvetví a kritických služieb;

c) 

iné centrálne depozitáre cenných papierov;

d) 

iné trhové infraštruktúry;

e) 

akékoľvek iné inštitúcie, v súvislosti s ktorými centrálne depozitáre cenných papierov identifikovali vo svojej politike kontinuity činností vzájomné závislosti.
EULAW Článok 16 3.

Postup uvedený v odseku 2 obsahuje vykonávanie preskúmaní zdrojových kódov, ktoré sa vzťahujú na statické aj dynamické testovanie. Uvedené testovanie zahŕňa testovanie bezpečnosti systémov a aplikácií vystavených internetu v súlade s článkom 8 ods. 2 písm. b) bodmi v), vi) a vii). Finančné subjekty musia:

a) 

identifikovať a analyzovať zraniteľné miesta a anomálie v zdrojovom kóde;

b) 

prijať akčný plán na riešenie uvedených zraniteľných miest a anomálií;

c) 

monitorovať vykonávanie tohto akčného plánu.
EULAW Článok 16 4.
Postup uvedený v odseku 2 obsahuje bezpečnostné testovanie softvérových balíkov najneskôr vo fáze integrácie v súlade s článkom 8 ods. 2 písm. b) bodmi v), vi) a vii).
EULAW Článok 16 5.

V postupe uvedenom v odseku 2 sa stanoví, že:

a) 

neprodukčné prostredia uchovávajú len anonymizované, pseudonymizované alebo randomizované produkčné údaje;

b) 

finančné subjekty majú chrániť integritu a dôvernosť údajov v neprodukčných prostrediach.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.