+OTAP Implementation

OTAP Implementation

Ensure segregation of production environments from development, testing, and other non-production environments, encompassing all components of an environment. This also includes requirements to conduct the development and testing in production environments. Ensure that the instances in which testing is performed in production environment are clearly identified, justified, for limited periods of time approved by the relevant function.

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace predpisy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace predpisy

Predpisy
EULAW Článok 8 1.
V rámci politík, postupov, protokolov a nástrojov v oblasti bezpečnosti IKT uvedených v článku 9 ods. 2 nariadenia (EÚ) 2022/2554 finančné subjekty vypracujú, zdokumentujú a vykonávajú politiky a postupy s cieľom riadiť operácie IKT. V týchto politikách a postupoch sa stanoví, ako finančné subjekty prevádzkujú, monitorujú, kontrolujú a obnovujú svoje IKT aktíva vrátane dokumentácie operácií IKT.
EULAW Článok 8 2.

Politiky a postupy v prípade operácií IKT uvedené v odseku 1 obsahujú všetky tieto prvky:

a) 

opis IKT aktív vrátane všetkých týchto prvkov:

i) 

požiadavky týkajúce sa bezpečnej inštalácie, údržby, konfigurácie a deinštalácie IKT systému;

ii) 

požiadavky týkajúce sa riadenia informačných aktív používaných IKT aktívami vrátane ich automatizovaného aj manuálneho spracovania a riešenia;

iii) 

požiadavky týkajúce sa identifikácie a kontroly pôvodných IKT systémov;

b) 

kontrola a monitorovanie IKT systémov vrátane všetkých týchto prvkov:

i) 

zálohovanie a obnova požiadaviek na IKT systémy;

ii) 

požiadavky na plánovanie, pričom sa zohľadňujú vzájomné závislosti medzi IKT systémami;

iii) 

protokoly v prípade informácií o audítorskom zázname a systéme vedenia záznamov;

iv) 

požiadavky na zabezpečenie toho, aby sa vykonávaním vnútorného auditu a iného testovania minimalizovalo narušenie obchodných operácií;

v) 

požiadavky na oddelenie produkčných prostredí IKT od prostredí, v ktorých sa systémy IKT vyvíjajú a testujú, alebo od iných neprodukčných prostredí;

vi) 

požiadavky na vykonávanie vývoja a testovania v prostrediach, ktoré sú oddelené od produkčného prostredia;

vii) 

požiadavky na vykonávanie vývoja a testovania v produkčných prostrediach;

c) 

riešenie chýb týkajúce sa IKT systémov vrátane všetkých týchto prvkov:

i) 

postupy a protokoly na riešenie chýb;

ii) 

kontaktné osoby na vykonanie podpory a riešenie eskalácie vrátane kontaktných osôb externej podpory v prípade neočakávaných operačných alebo technických problémov;

iii) 

postupy reštartovania, návratu do pôvodného stavu a obnovy IKT systémov, ktoré sa majú použiť v prípade narušenia IKT systémov.

Na účely písmena b) bodu v) sa pri oddelení zohľadňujú všetky zložky daného prostredia vrátane účtov, údajov alebo pripojení, ako sa vyžaduje v článku 13 ods. 1 písm. a).

Na účely písmena b) bodu vii) sa v politikách a postupoch uvedených v odseku 1 stanoví, že prípady, v ktorých sa testovanie vykonáva v produkčnom prostredí, sú jasne identifikované, odôvodnené, majú obmedzené časové trvanie a sú schválené príslušnou funkciou v súlade s článkom 16 ods. 6 Finančné subjekty zabezpečia dostupnosť, dôvernosť, integritu a pravosť IKT systémov a produkčných údajov počas vývojových a testovacích činností v produkčnom prostredí.
EULAW Článok 17 1.

Ako súčasť záruk na zachovanie dostupnosti, pravosti, integrity a dôvernosti údajov finančné subjekty zahrnú do postupov riadenia zmien IKT uvedených v článku 9 ods. 4 písm. e) nariadenia (EÚ) 2022/2554, pokiaľ ide o všetky zmeny komponentov softvéru, hardvéru, firmvéru, systémov alebo bezpečnostných parametrov, všetky tieto prvky:

a) 

overenie toho, či boli splnené bezpečnostné požiadavky v oblasti IKT;

b) 

mechanizmy na zabezpečenie nezávislosti funkcií, ktoré schvaľujú zmeny, ako aj funkcií, ktoré sú zodpovedné za podávanie žiadostí o uvedené zmeny a ich vykonávanie;

c) 

jasný opis úloh a povinností s cieľom zabezpečiť, aby:

i) 

zmeny boli bližšie stanovené a plánované;

ii) 

bolo navrhnuté primerané prechodné obdobie;

iii) 

zmeny boli otestované a sfinalizované kontrolovane;

iv) 

existovalo účinné zabezpečenie kvality;

d) 

dokumentácia a nahlasovanie podrobností o zmene vrátane:

i) 

účelu a rozsahu zmeny;

ii) 

časového rámca vykonávania zmeny;

iii) 

očakávaného výsledku;

e) 

identifikácia núdzových postupov a zodpovedností vrátane postupov a zodpovedností za zrušenie zmien alebo obnovenie stavu pred zmenami, ktoré neboli úspešne vykonané;

f) 

postupy, protokoly a nástroje na riadenie núdzových zmien, ktoré poskytujú primerané záruky;

g) 

postupy na dokumentovanie, prehodnotenie, posudzovanie a schvaľovanie núdzových zmien po ich vykonaní vrátane dočasných riešení a bezpečnostných záplat;

h) 

identifikácia potenciálneho vplyvu zmeny na existujúce bezpečnostné opatrenia v oblasti IKT a posúdenie toho, či si takáto zmena vyžaduje prijatie dodatočných bezpečnostných opatrení v oblasti IKT.
EULAW Článok 17 2.
Po významných zmenách vo svojich IKT systémoch centrálne protistrany a centrálne depozitáre cenných papierov podrobia svoje IKT systémy prísnemu testovaniu formou simulácie stresových podmienok.

Centrálne protistrany v prípade potreby zapoja do navrhovania a vykonávania testovania uvedeného v prvom pododseku tieto subjekty:

a) 

zúčtovacích členov a klientov;

b) 

interoperabilné centrálne protistrany;

c) 

iné zainteresované strany.

Centrálne depozitáre cenných papierov v prípade potreby zapoja do navrhovania a vykonávania testovania uvedeného v prvom pododseku tieto subjekty:

a) 

užívateľov;

b) 

poskytovateľov kritických sieťových odvetví a kritických služieb;

c) 

iné centrálne depozitáre cenných papierov;

d) 

iné trhové infraštruktúry;

e) 

akékoľvek iné inštitúcie, v súvislosti s ktorými centrálne depozitáre cenných papierov identifikovali vo svojej politike kontinuity činností v oblasti IKT vzájomné závislosti.