+OTAP Implementation

OTAP Implementation

Ensure segregation of production environments from development, testing, and other non-production environments, encompassing all components of an environment. This also includes requirements to conduct the development and testing in production environments. Ensure that the instances in which testing is performed in production environment are clearly identified, justified, for limited periods of time approved by the relevant function.

1. Pregled

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani predpisi

2. Ugotovljene zahteve

Zahteve

3. Povezani predpisi

Predpisi
EULAW Člen 8 1.
Finančni subjekti v okviru varnostnih politik, postopkov, protokolov in orodij na področju IKT iz člena 9(2) Uredbe (EU) 2022/2554 razvijejo, dokumentirajo in izvajajo politike in postopke za upravljanje delovanja IKT. Te politike in postopki določajo, kako finančni subjekti upravljajo, spremljajo, nadzirajo in obnavljajo svoja sredstva IKT, vključno z dokumentiranjem delovanja IKT.
EULAW Člen 8 2.

Politike in postopki za delovanje IKT iz odstavka 1 vsebujejo vse naslednje:

(a) 

opis sredstev IKT, vključno z vsem naslednjim:

(i) 

zahtevami glede varne namestitve, vzdrževanja, konfiguracije in odstranitve sistema IKT;

(ii) 

zahtevami glede upravljanja informacijskih sredstev, ki jih uporabljajo sredstva IKT, vključno z njihovo obdelavo in obravnavo, tako avtomatizirano kot ročno;

(iii) 

zahtevami v zvezi z identifikacijo in nadzorom obstoječih sistemov IKT;

(b) 

kontrole in spremljanje sistemov IKT, vključno z vsem naslednjim:

(i) 

zahtevami za varnostno kopiranje in obnovitev sistemov IKT;

(ii) 

zahtevami glede časovnega razporejanja ob upoštevanju soodvisnosti med sistemi IKT;

(iii) 

protokoli za informacije o revizijski sledi in sistemskem dnevniku;

(iv) 

zahtevami za zagotovitev, da izvajanje notranje revizije in drugega testiranja čim bolj zmanjša motnje v poslovanju;

(v) 

zahtevami glede ločevanja produkcijskih okolij IKT od razvojnih, testnih in drugih neprodukcijskih okolij;

(vi) 

zahtevami za izvajanje razvoja in testiranja v okoljih, ki so ločena od produkcijskega okolja;

(vii) 

zahtevami za izvajanje razvoja in testiranja v produkcijskih okoljih;

(c) 

obravnavanje napak v zvezi s sistemi IKT, vključno z vsem naslednjim:

(i) 

postopki in protokoli za obravnavanje napak;

(ii) 

stiki za podporo in prenos na višjo raven, vključno s stiki za zunanjo podporo v primeru nepričakovanih operativnih ali tehničnih težav;

(iii) 

postopki za ponovni zagon, povrnitev prejšnjega stanja in obnovitev sistema IKT za uporabo v primeru motenj v sistemu IKT.

Za namene točke (b)(v) se pri ločevanju upoštevajo vse komponente okolja, vključno z računi, podatki ali povezavami, kot se zahteva v členu 13(1), točka (a).

Za namene točke (b)(vii) politike in postopki iz odstavka 1 določajo, da so primeri, v katerih se testiranje izvaja v produkcijskem okolju, jasno opredeljeni, utemeljeni, časovno omejeni in odobreni s strani ustrezne funkcije v skladu s členom 16(6). Finančni subjekti zagotovijo razpoložljivost, zaupnost, celovitost in avtentičnost sistemov IKT in produkcijskih podatkov med razvojnimi in testnimi dejavnostmi v produkcijskem okolju.
EULAW Člen 17 1.

Finančni subjekti v okviru zaščitnih ukrepov za ohranitev razpoložljivosti, avtentičnosti, celovitosti in zaupnosti podatkov v postopke upravljanja sprememb na področju IKT iz člena 9(4), točka (e), Uredbe (EU) 2022/2554 v zvezi z vsemi spremembami komponent programske opreme, strojne opreme, strojne programske opreme ter sistemskih ali varnostnih parametrov vključijo vse naslednje elemente:

(a) 

preverjanje, ali so zahteve za varnost IKT izpolnjene;

(b) 

mehanizme za zagotavljanje neodvisnosti funkcij, ki odobrijo spremembe, in funkcij, odgovornih za zahtevanje in izvajanje teh sprememb;

(c) 

jasen opis vlog in odgovornosti za zagotovitev, da:

(i) 

so spremembe so določene in načrtovane;

(ii) 

je zasnovan ustrezen prehod;

(iii) 

se spremembe nadzorovano testirajo in zaključijo;

(iv) 

se učinkovito zagotavlja kakovost;

(d) 

dokumentiranje in sporočanje podrobnosti o spremembi, vključno z:

(i) 

namenom in obsegom spremembe;

(ii) 

časovnim okvirom uvedbe spremembe;

(iii) 

pričakovanimi rezultati;

(e) 

opredelitev nadomestnih postopkov in odgovornosti, vključno s postopki in odgovornostmi za prekinitev sprememb ali obnovitev po spremembah, ki niso bile uspešno izvedene;

(f) 

postopke, protokole in orodja za upravljanje nujnih sprememb, ki zagotavljajo ustrezne zaščitne ukrepe;

(g) 

postopke za dokumentiranje, ponovno oceno, oceno in odobritev nujnih sprememb po njihovi izvedbi, vključno z obhodnimi rešitvami in popravki;

(h) 

opredelitev morebitnega učinka spremembe na obstoječe varnostne ukrepe na področju IKT in oceno, ali taka sprememba zahteva sprejetje dodatnih varnostnih ukrepov na področju IKT.
EULAW Člen 17 2.
Potem ko centralne nasprotne stranke in centralne depotne družbe bistveno spremenijo svoje sisteme IKT, na njih opravijo strogo testiranje s simulacijo stresnih pogojev.

Centralne nasprotne stranke v zasnovo in izvajanje testiranja iz prvega pododstavka vključijo, kot je primerno:

(a) 

klirinške člane in stranke;

(b) 

interoperabilne centralne nasprotne stranke;

(c) 

druge zainteresirane strani.

Centralne depotne družbe v zasnovo in izvajanje testiranja iz prvega pododstavka vključijo, kot je primerno:

(a) 

uporabnike,

(b) 

izvajalce ključnih javnih in drugih storitev;

(c) 

druge centralne depotne družbe;

(d) 

druge tržne infrastrukture;

(e) 

vse druge institucije, s katerimi so centralne depotne družbe ugotovile soodvisnosti v svoji politiki neprekinjenega poslovanja na področju IKT.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.