+Source Code Reviews

Source Code Reviews

Conduct source code reviews encompassing static and dynamic testing, for the purpose of acquisition, development and maintenance of ICT-systems. Include security testing for internet-exposed systems. Identify and address vulnerabilities and anomalies in the source code and put in place plans to mitigate them. Monitor mitigation efforts. Implement controls to safeguard the integrity of source code, whether developed in-house or by a third-party service provider. Analyze and test source code and proprietary software provided by third-party service providers or from open-source projects for vulnerabilities.

1. Översikt

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade regleringar

2. Identifierade krav

Krav

3. Relaterade regleringar

Regleringar
EULAW Artikel 16 1.

Som en del av skyddsåtgärderna för att bevara uppgifternas tillgänglighet, äkthet, integritet och konfidentialitet ska de finansiella entiteterna utarbeta, dokumentera och genomföra en policy som styr förvärv, utveckling och underhåll av IKT-system. Denna policy ska

a) 

identifiera säkerhetsrutiner och metoder som rör förvärv, utveckling och underhåll av IKT-system,

b) 

kräva identifiering av

i) 

tekniska specifikationer och tekniska specifikationer på IKT-området, enligt definitionerna i artikel 2.4 och 2.5 i förordning (EU) nr 1025/2012,

ii) 

krav som rör förvärv, utveckling och underhåll av IKT-system, med särskilt fokus på IKT-säkerhetskrav och på deras godkännande av den relevanta affärsfunktionen och ägaren av IKT-tillgångar i enlighet med den finansiella entitetens interna styrningsarrangemang,

c) 

specificera åtgärder för att minska risken för oavsiktlig ändring eller avsiktlig manipulering av IKT-systemen under utveckling, underhåll och införande av dessa IKT-system i produktionsmiljön.
EULAW Artikel 16 2.
Finansiella entiteter ska utarbeta, dokumentera och genomföra ett förfarande för förvärv, utveckling och underhåll av IKT-system för testning och godkännande av alla IKT-system före användning och efter underhåll, i enlighet med artikel 8.2 b v, vi och vii. Testnivån ska stå i proportion till hur kritiska de berörda affärsförfarandena och IKT-tillgångarna är. Testningen ska utformas för att verifiera att nya IKT-system är lämpliga för att fungera som avsett, inbegripet kvaliteten på den programvara som utvecklats internt.

Centrala motparter ska, utöver de krav som fastställs i första stycket, vid behov involvera följande i utformningen och genomförandet av de tester som avses i första stycket:

a) 

Clearingmedlemmar och clearingkunder.

b) 

Interoperabla centrala motparter.

c) 

Andra berörda parter.

Värdepapperscentraler ska, utöver de krav som fastställs i första stycket, vid behov involvera följande i utformningen och genomförandet av de tester som avses i första stycket:

a) 

Användare.

b) 

Kritiska försörjningstjänster och kritiska tjänsteleverantörer.

c) 

Andra värdepapperscentraler.

d) 

Andra marknadsinfrastrukturer.

e) 

Alla andra institut med vilka värdepapperscentralerna har identifierat ömsesidiga beroenden i sin kontinuitetspolicy.
EULAW Artikel 16 3.

Det förfarande som avses i punkt 2 ska omfatta granskningar av källkod som omfattar både statisk och dynamisk testning. Denna testning ska innehålla säkerhetstestning för internetexponerade system och applikationer i enlighet med artikel 8.2 b v, vi och vii. De finansiella entiteterna ska

a) 

identifiera och analysera sårbarheter och avvikelser i källkoden,

b) 

anta en handlingsplan för att åtgärda dessa sårbarheter och avvikelser,

c) 

övervaka genomförandet av denna handlingsplan.
EULAW Artikel 16 4.
Det förfarande som avses i punkt 2 ska omfatta säkerhetstestning av programvarupaket senast i integrationsfasen, i enlighet med artikel 8.2 b v, vi och vii.
EULAW Artikel 16 5.

Det förfarande som avses i punkt 2 ska föreskriva att

a) 

miljöer som inte är produktionsmiljöer endast lagrar anonymiserade, pseudonymiserade eller randomiserade produktionsdata,

b) 

finansiella entiteter ska skydda uppgifternas integritet och konfidentialitet i miljöer som inte är produktionsmiljöer.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.