56. Behöriga myndigheter ska bedöma huruvida institutet har ett effektivt ramverk för att …

Behöriga myndigheter ska bedöma huruvida institutet har ett effektivt ramverk för att identifiera, förstå, mäta och minska risker vid IKT-förändringar i proportion till karaktär, omfattning och komplexitet vad gäller institutets verksamhet och dess IKT-riskprofil. Institutets ramverk ska omfatta de risker som är förknippade med utveckling, testning och godkännande av IKT-systemförändringar, inbegripet utveckling och förändringar av programvara, innan de införs i produktionsmiljön, och säkerställa en lämplig förvaltning av IKT-livscykeln. Vid denna bedömning ska de behöriga myndigheterna i synnerhet ta hänsyn till huruvida ramverket beaktar följande:

• a. Dokumenterade processer för hantering och kontroll av ändringar av IKT-systemen (t.ex. konfigurering och uppdateringshantering) och data (t.ex. korrigering av programfel och justering av uppgifter), varigenom tillräcklig IKT-riskhantering säkerställs för viktiga IKT-förändringar som väsentligen kan påverka institutets riskprofil eller riskexponering.
• b. Specifikationer avseende den nödvändiga ansvarsuppdelningen under de olika faserna i processen för de IKT-ändringar som genomförs (t.ex. utformning och utveckling av lösningar, testning och godkännande av ny programvara och/eller ändringar, införande i produktionsmiljön, liksom rättning av programfel), med fokus på de genomförda lösningarna och ansvarsuppdelningen för att hantera och kontrollera ändringar i IKT-produktionssystemen och data från IKT-personalen (t.ex. utvecklare, IKT-systemadministratörer, databasadministratörer) eller någon annan part (t.ex. användare, tjänsteleverantörer).
• c. Testmiljöer som korrekt avspeglar produktionsmiljöerna.
• d. Ett tillgångsregister av befintliga applikationer och IKT-system i produktionsmiljön, liksom i test- och utvecklingsmiljön, vilket innebär att de ändringar som krävs (t.ex. versionsuppdateringar eller uppgraderingar, systemuppdateringar, ändring av konfiguration) kan hanteras, genomföras och övervakas på ett korrekt sätt för de IKT-system som berörs.
• e. En process för att övervaka och hantera de använda IKT-systemens livscykel, för att säkerställa att de fortsätter att uppfylla och stödja de faktiska kraven från affärsverksamheten och riskhanteringen och att säkerställa att de IKT-lösningar och IKT-system som används fortfarande stödjs av leverantören, samt att detta åtföljs av lämpliga processer för systemutveckling.
• f. Ett kontrollsystem för källkod och lämpliga processer för att hindra otillåtna ändringar i källkoden för internt utvecklad programvara.
• g. Ett förfarande för att genomföra en säkerhets- och sårbarhetsgranskning av nya eller väsentligen ändrade IKT-system och programvara innan de tas i bruk och exponeras för eventuella cyber-attacker.
• h. En process och lösningar för att förhindra otillåtet eller oavsiktligt utlämnande av konfidentiella uppgifter vid utbyte, arkivering, kassering eller förstörelse av IKT-system.
• i. Ett oberoende gransknings- och valideringsförfarande för att minska riskerna för mänskliga misstag vid genomförande av ändringar i IKT-systemen som kan ha väsentliga negativa effekter på institutets tillgänglighet, kontinuitet eller säkerhet (t.ex. viktiga ändringar i brandväggskonfiguration), eller institutets säkerhet (t.ex. ändringar av brandväggarna).
• (d) Kontroller för att hantera väsentliga IKT-dataintegritetsrisker

1. Översikt

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade standarder

2. Identifierade krav

3. Relaterade standarder

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/