56. Behöriga myndigheter ska bedöma huruvida institutet har ett effektivt ramverk för att …

Behöriga myndigheter ska bedöma huruvida institutet har ett effektivt ramverk för att identifiera, förstå, mäta och minska risker vid IKT-förändringar i proportion till karaktär, omfattning och komplexitet vad gäller institutets verksamhet och dess IKT-riskprofil. Institutets ramverk ska omfatta de risker som är förknippade med utveckling, testning och godkännande av IKT-systemförändringar, inbegripet utveckling och förändringar av programvara, innan de införs i produktionsmiljön, och säkerställa en lämplig förvaltning av IKT-livscykeln. Vid denna bedömning ska de behöriga myndigheterna i synnerhet ta hänsyn till huruvida ramverket beaktar följande:

• a. Dokumenterade processer för hantering och kontroll av ändringar av IKT-systemen (t.ex. konfigurering och uppdateringshantering) och data (t.ex. korrigering av programfel och justering av uppgifter), varigenom tillräcklig IKT-riskhantering säkerställs för viktiga IKT-förändringar som väsentligen kan påverka institutets riskprofil eller riskexponering.
• b. Specifikationer avseende den nödvändiga ansvarsuppdelningen under de olika faserna i processen för de IKT-ändringar som genomförs (t.ex. utformning och utveckling av lösningar, testning och godkännande av ny programvara och/eller ändringar, införande i produktionsmiljön, liksom rättning av programfel), med fokus på de genomförda lösningarna och ansvarsuppdelningen för att hantera och kontrollera ändringar i IKT-produktionssystemen och data från IKT-personalen (t.ex. utvecklare, IKT-systemadministratörer, databasadministratörer) eller någon annan part (t.ex. användare, tjänsteleverantörer).
• c. Testmiljöer som korrekt avspeglar produktionsmiljöerna.
• d. Ett tillgångsregister av befintliga applikationer och IKT-system i produktionsmiljön, liksom i test- och utvecklingsmiljön, vilket innebär att de ändringar som krävs (t.ex. versionsuppdateringar eller uppgraderingar, systemuppdateringar, ändring av konfiguration) kan hanteras, genomföras och övervakas på ett korrekt sätt för de IKT-system som berörs.
• e. En process för att övervaka och hantera de använda IKT-systemens livscykel, för att säkerställa att de fortsätter att uppfylla och stödja de faktiska kraven från affärsverksamheten och riskhanteringen och att säkerställa att de IKT-lösningar och IKT-system som används fortfarande stödjs av leverantören, samt att detta åtföljs av lämpliga processer för systemutveckling.
• f. Ett kontrollsystem för källkod och lämpliga processer för att hindra otillåtna ändringar i källkoden för internt utvecklad programvara.
• g. Ett förfarande för att genomföra en säkerhets- och sårbarhetsgranskning av nya eller väsentligen ändrade IKT-system och programvara innan de tas i bruk och exponeras för eventuella cyber-attacker.
• h. En process och lösningar för att förhindra otillåtet eller oavsiktligt utlämnande av konfidentiella uppgifter vid utbyte, arkivering, kassering eller förstörelse av IKT-system.
• i. Ett oberoende gransknings- och valideringsförfarande för att minska riskerna för mänskliga misstag vid genomförande av ändringar i IKT-systemen som kan ha väsentliga negativa effekter på institutets tillgänglighet, kontinuitet eller säkerhet (t.ex. viktiga ändringar i brandväggskonfiguration), eller institutets säkerhet (t.ex. ändringar av brandväggarna).
• (d) Kontroller för att hantera väsentliga IKT-dataintegritetsrisker

1. Översikt

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade standarder

2. Identifierade krav

3. Relaterade standarder

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.