+Environment Risk Mitigation Measures

Environment Risk Mitigation Measures

Put in place measures to mitigate the risk of unintentional alteration or intentional manipulation during development, maintenance, and deployment in production. Protect the integrity and confidentiality of data in non-production environments. Store only anonymized, pseudonymized, or randomized production data. 

Production data that are not anonymized, not pseudonymized or not randomized may be stored only for specific testing occasions, for limited periods of time and following the approval by the relevant function and, for financial entities other than microenterprises, the reporting of such occasions to the ICT
risk management function.

1. Översikt

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade regleringar

2. Identifierade krav

Krav

3. Relaterade regleringar

Regleringar
EULAW Artikel 16 1.

Som en del av skyddsåtgärderna för att bevara uppgifternas tillgänglighet, äkthet, integritet och konfidentialitet ska de finansiella entiteterna utarbeta, dokumentera och genomföra en policy som styr förvärv, utveckling och underhåll av IKT-system. Denna policy ska

a) 

identifiera säkerhetsrutiner och metoder som rör förvärv, utveckling och underhåll av IKT-system,

b) 

kräva identifiering av

i) 

tekniska specifikationer och tekniska specifikationer på IKT-området, enligt definitionerna i artikel 2.4 och 2.5 i förordning (EU) nr 1025/2012,

ii) 

krav som rör förvärv, utveckling och underhåll av IKT-system, med särskilt fokus på IKT-säkerhetskrav och på deras godkännande av den relevanta affärsfunktionen och ägaren av IKT-tillgångar i enlighet med den finansiella entitetens interna styrningsarrangemang,

c) 

specificera åtgärder för att minska risken för oavsiktlig ändring eller avsiktlig manipulering av IKT-systemen under utveckling, underhåll och införande av dessa IKT-system i produktionsmiljön.
EULAW Artikel 16 2.
Finansiella entiteter ska utarbeta, dokumentera och genomföra ett förfarande för förvärv, utveckling och underhåll av IKT-system för testning och godkännande av alla IKT-system före användning och efter underhåll, i enlighet med artikel 8.2 b v, vi och vii. Testnivån ska stå i proportion till hur kritiska de berörda affärsförfarandena och IKT-tillgångarna är. Testningen ska utformas för att verifiera att nya IKT-system är lämpliga för att fungera som avsett, inbegripet kvaliteten på den programvara som utvecklats internt.

Centrala motparter ska, utöver de krav som fastställs i första stycket, vid behov involvera följande i utformningen och genomförandet av de tester som avses i första stycket:

a) 

Clearingmedlemmar och clearingkunder.

b) 

Interoperabla centrala motparter.

c) 

Andra berörda parter.

Värdepapperscentraler ska, utöver de krav som fastställs i första stycket, vid behov involvera följande i utformningen och genomförandet av de tester som avses i första stycket:

a) 

Användare.

b) 

Kritiska försörjningstjänster och kritiska tjänsteleverantörer.

c) 

Andra värdepapperscentraler.

d) 

Andra marknadsinfrastrukturer.

e) 

Alla andra institut med vilka värdepapperscentralerna har identifierat ömsesidiga beroenden i sin kontinuitetspolicy.
EULAW Artikel 16 3.

Det förfarande som avses i punkt 2 ska omfatta granskningar av källkod som omfattar både statisk och dynamisk testning. Denna testning ska innehålla säkerhetstestning för internetexponerade system och applikationer i enlighet med artikel 8.2 b v, vi och vii. De finansiella entiteterna ska

a) 

identifiera och analysera sårbarheter och avvikelser i källkoden,

b) 

anta en handlingsplan för att åtgärda dessa sårbarheter och avvikelser,

c) 

övervaka genomförandet av denna handlingsplan.
EULAW Artikel 16 4.
Det förfarande som avses i punkt 2 ska omfatta säkerhetstestning av programvarupaket senast i integrationsfasen, i enlighet med artikel 8.2 b v, vi och vii.
EULAW Artikel 16 5.

Det förfarande som avses i punkt 2 ska föreskriva att

a) 

miljöer som inte är produktionsmiljöer endast lagrar anonymiserade, pseudonymiserade eller randomiserade produktionsdata,

b) 

finansiella entiteter ska skydda uppgifternas integritet och konfidentialitet i miljöer som inte är produktionsmiljöer.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.