+Source Code Reviews

Source Code Reviews

Conduct source code reviews encompassing static and dynamic testing, for the purpose of acquisition, development and maintenance of ICT-systems. Include security testing for internet-exposed systems. Identify and address vulnerabilities and anomalies in the source code and put in place plans to mitigate them. Monitor mitigation efforts. Implement controls to safeguard the integrity of source code, whether developed in-house or by a third-party service provider. Analyze and test source code and proprietary software provided by third-party service providers or from open-source projects for vulnerabilities.

1. Pregled

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani predpisi

2. Ugotovljene zahteve

Zahteve

3. Povezani predpisi

Predpisi
EULAW Člen 16 1.

Finančni subjekti v okviru zaščitnih ukrepov za ohranitev razpoložljivosti, avtentičnosti, celovitosti in zaupnosti podatkov razvijejo, dokumentirajo in izvajajo politiko, ki ureja pridobitev, razvoj in vzdrževanje sistemov IKT. S to politiko se:

(a) 

opredeli varnostne prakse in metodologije v zvezi s pridobitvijo, razvojem in vzdrževanjem sistemov IKT;

(b) 

zahteva opredelitev:

(i) 

tehničnih specifikacij in tehničnih specifikacij IKT, kot so opredeljene v členu 2, točki 4 in 5, Uredbe (EU) št. 1025/2012;

(ii) 

zahtev v zvezi s pridobitvijo, razvojem in vzdrževanjem sistemov IKT, s posebnim poudarkom na zahtevah za varnost IKT in njihovi odobritvi s strani ustrezne poslovne funkcije in lastnika sredstev IKT v skladu z ureditvami notranjega upravljanja finančnega subjekta;

(c) 

določi ukrepe za zmanjšanje tveganja nenamerne spremembe ali namerne manipulacije sistemov IKT med razvojem, vzdrževanjem in uvajanjem teh sistemov IKT v produkcijsko okolje.
EULAW Člen 16 2.
Finančni subjekti razvijejo, dokumentirajo in izvajajo postopek pridobitve, razvoja in vzdrževanja sistemov IKT za testiranje in odobritev vseh sistemov IKT pred njihovo uporabo in po vzdrževanju v skladu s členom 8(2), točka (b), točke (v), (vi) in (vii). Raven testiranja je sorazmerna s kritičnostjo zadevnih poslovnih postopkov in sredstev IKT. Testiranje je zasnovano tako, da se preveri, ali so novi sistemi IKT ustrezni za predvideno delovanje, vključno s kakovostjo notranje razvite programske opreme.

Centralne nasprotne stranke poleg zahtev iz prvega pododstavka v zasnovo in izvajanje testiranja iz prvega pododstavka vključijo, kot je primerno:

(a) 

klirinške člane in stranke;

(b) 

interoperabilne centralne nasprotne stranke;

(c) 

druge zainteresirane strani.

Centralne depotne družbe poleg zahtev iz prvega pododstavka v zasnovo in izvajanje testiranja iz prvega pododstavka vključijo, kot je primerno:

(a) 

uporabnike,

(b) 

izvajalcev ključnih javnih in drugih storitev;

(c) 

druge centralne depotne družbe;

(d) 

druge tržne infrastrukture;

(e) 

vse druge institucije, s katerimi so centralne depotne družbe ugotovile soodvisnosti v svoji politiki neprekinjenega poslovanja.
EULAW Člen 16 3.

Postopek iz odstavka 2 vsebuje izvajanje pregledov izvorne kode, ki zajemajo statično in dinamično testiranje. To testiranje vključuje varnostno testiranje za sisteme in aplikacije, ki so izpostavljeni spletu, v skladu s členom 8(2), točka (b), točke (v), (vi) in (vii). Finančni subjekti:

(a) 

prepoznajo in analizirajo ranljivosti in nepravilnosti v izvorni kodi;

(b) 

sprejmejo akcijski načrt za odpravo teh ranljivosti in nepravilnosti;

(c) 

spremljajo izvajanje tega akcijskega načrta.
EULAW Člen 16 4.
Postopek iz odstavka 2 vsebuje varnostno testiranje paketov programske opreme najpozneje v fazi integracije v skladu s členom 8(2), točke (b)(v), (vi) in (vii).
EULAW Člen 16 5.

Postopek iz odstavka 2 določa, da:

(a) 

se v neprodukcijskih okoljih shranjujejo samo anonimizirani, psevdonimizirani ali randomizirani produkcijski podatki;

(b) 

morajo finančni subjekti varovati celovitost in zaupnost podatkov v neprodukcijskih okoljih.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.