56. Pristojni organi bi morali oceniti, ali ima institucija učinkovit okvir za opredelitev …

Pristojni organi bi morali oceniti, ali ima institucija učinkovit okvir za opredelitev, razumevanje, me rjenje in zmanjševanje tveganj glede sprememb IKT, ki je sorazmeren z naravo, obsegom in zapletenostjo dejavnosti institucije ter njenim profilom tveganja, povezanega z IKT. Okvir institucije bi moral zajemati tveganja, povezana z razvojem, preizkušanjem i n odobritvijo sprememb sistemov IKT, vključno z razvojem ali spremembo programske opreme, preden so prenesene v produkcijsko okolje, zagotavljati pa bi moral tudi ustrezno upravljanje življenjskega cikla IKT. Pri tej oceni bi morali pristojni organi zlasti preveriti, ali okvir upošteva:

• a. dokumentirane procese za upravljanje in nadziranje sprememb sistemov IKT (npr. upravljanje konfiguracije in popravkov) in podatkov IKT (npr. rešitve za hrošče ali popravki podatkov), ki zagotavljajo ustrezno upravljanje tveganj, povezanih z IKT, v primeru pomembnih sprememb IKT, ki lahko bistveno vplivajo na profil tveganja institucije ali njeno izpostavljenost tveganju;
• b. specifikacije o zahtevanem ločevanju dolžnosti v različnih fazah izvedenih procesov sprememb IKT (npr. zasnova in razvoj rešitev, preizkušanje in odobritev nove programske opreme in/ali sprememb, prenos in izvedba v produkcijskem okolju ter rešitve za hrošče) s poudarkom na rešitvah in ločevanju dolžnosti za upravljanje in nadziranje sprememb produkcijskih si stemov in podatkov IKT, ki jih izvede osebje IKT (npr. razvijalci, skrbniki sistemov IKT, skrbniki zbirk podatkov) ali druge osebe (npr. poslovni uporabniki, ponudniki storitev);
• c. testna okolja, ki so dovolj podobna produkcijskim okoljem;
• d. popis obstoječih aplikacij in sistemov IKT v produkcijskem okolju, pa tudi v testnem in razvojnem okolju, da je mogoče zahtevane spremembe (npr. posodobitve ali nadgradnje različic, popravke sistemov, spremembe konfiguracije) ustrezno upravljati, izvajati in spremljati za vse zadevne sisteme IKT;
• e. proces za spremljanje in upravljanje življenjskega cikla uporabljenih sistemov IKT, ki zagotavlja, da ti sistemi še naprej izpolnjujejo in podpirajo dejanske poslovne zahteve in zahteve upravljanja tveganja ter da imajo uporabljene rešitve in sistemi IKT še vedno podporo prodajalcev, spremljati pa jih morajo tudi ustrezni postopki za življenjski cikel razvoja programske opreme;
• f. sistem za nadzor različic izvorne kode in ustrezne postopke za preprečevanje nepooblaščen ih sprememb izvorne kode programske opreme, ki se razvija znotraj institucije;
• g. proces za preverjanje varnosti in ranljivosti novih ali pomembno spremenjenih sistemov IKT in programske opreme, preden se ti prenesejo v produkcijsko okolje in izpostavijo možn im kibernetskim napadom;
• h. proces in rešitve za preprečevanje nepooblaščenega ali nenamernega razkritja zaupnih podatkov, ko se sistemi IKT nadomestijo, arhivirajo, zavržejo ali uničijo;
• i. procese neodvisnega pregleda in potrjevanja za zmanjšanje tveganja člov eških napak pri izvajanju sprememb sistemov IKT, ki imajo lahko pomemben škodljiv vpliv na razpoložljivost, neprekinjeno poslovanje ali varnost institucije (npr. pomembne spremembe konfiguracije požarnega zidu, spremembe požarnih zidov).
• (d) Kontrole za upravl janje pomembnih tveganj glede celovitosti podatkov IKT

1. Pregled

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani standardi

2. Ugotovljene zahteve

3. Povezani standardi

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/