56. Príslušné orgány by mali posúdiť, či inštitúcia má účinný rámec na identifikáciu, meranie a …

Príslušné orgány by mali posúdiť, či inštitúcia má účinný rámec na identifikáciu, meranie a zmiernenie rizík súvisiacich so zmenou IKT a na porozumenie týmto rizikám, ktoré sú úmerné povahe, rozsahu a zložitosti činností inštitúcie a jej profilu z hľadiska rizika súvisiaceho s IKT. Ráme c inštitúcie by sa mal vzťahovať na riziká spojené s vývojom, testovaním a schvaľovaním zmien IKT systémov vrátane vývoja alebo zmeny softvéru predtým, než sa prenesie do produkčného prostredia, a mal by zabezpečovať primerané riadenie životného cyklu IKT. Príslušné orgány by na účely tohto posúdenia mali konkrétne posúdiť, či sa v tomto rámci zohľadňujú:

• a. zdokumentované procesy na riadenie a kontrolu zmien IKT systémov (napr. konfigurácia a správa opráv) a dát (napr. oprava chýb alebo opravy dát), pričom sa zabezpečuje primerané zapojenie riadenia rizík súvisiacich s IKT do dôležitých zmien IKT, ktoré môžu významne postihnúť rizikový profil alebo expozíciu inštitúcie;
• b. špecifikácie týkajúce sa požadovaného oddelenia funkcií počas rôznych fáz vykonávaných postupov zmien IKT (napr. návrh a vývoj riešenia, testovanie a schválenie nového softvéru a/alebo zmeny, presun a vykonávanie v rámci produkčného prostredia a oprava chýb) so zameraním na vykonávané riešenia a oddelenie funkcií riadenia a kontroly zmien výroby IKT systémov a dát zamestnancami IKT (napr. programátori, správcovia IKT systému, správcovia databáz) alebo inou stranou (napr. obchodní používatelia, poskytovatelia služieb);
• c. testovacie prostredia, ktoré primerane odzrkadľujú produkčné prostredia;
• d. zoz nam aktív existujúcich aplikácií a IKT systémov vo produkčnom prostredí, ako aj v skúšobnom a vývojovom prostredí, aby sa požadované zmeny (napr. aktualizácie alebo modernizácie verzií, opravy systémov, zmeny konfigurácie) mohli v prípade dotknutých IKT systémov riadne spravovať, realizovať a monitorovať;
• e. proces na monitorovanie a riadenie životného cyklu použitých IKT systémov, na zabezpečenie, aby naďalej spĺňali a podporovali aktuálne hospodárske požiadavky a požiadavky riadenia rizík, a na zabezpečenie, že použité IKT riešenia a systémy ich predajcovia stále podporujú; a že tento proces dopĺňajú primerané postupy životného cyklu vývoja softvéru;
• f. kontrolný systém zdrojového kódu softvéru a vhodné postupy na zabránenie neoprávneným zmenám v zdrojovom kóde softvéru, ktorý sa vyvíja interne;
• g. proces na vykonanie bezpečnostného vyšetrovania a overenia zraniteľnosti nových alebo významne upravených IKT systémov a softvéru pred ich uvedením do výroby a pred ich vystavením možným kybernetickým útokom;
• h. proces a rie šenia na zabránenie neoprávneného alebo neúmyselného zverejnenia dôverných údajov pri výmene, archivácii, vyraďovaní alebo likvidácii IKT systémov;
• i. postupy nezávislého preskúmania a potvrdenia na zníženie rizík ľudských chýb pri vykonávaní zmien IKT systémov, ktoré môžu mať závažný nežiaduci účinok na dostupnosť, kontinuitu alebo bezpečnosť inštitúcie (napr. významné zmeny v konfigurácii firewallu) alebo na bezpečnosť inštitúcie (napr. zmeny firewallu).
• (d) Kontroly na riadenie významných rizík súvisiacich s in tegritou IKT údajov

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace štandardy

2. Identifikované požiadavky

3. Súvisiace štandardy

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/