+Change Procedures
|
Change Procedures
Ensure that all changes to software, hardware, firmware components, and systems, along with security parameters, are appropriately placed and scoped. Document and communicate change details, including the purpose and scope of the change, the implementation timeline, and expected outcomes. Define clear roles and responsibilities to ensure that changes are defined, planned, transitioned, tested, and finalized in a controlled manner. Additionally, establish effective quality assurance procedures. Implement mechanisms to maintain independence between the functions that approve changes and those responsible for requesting and implementing them.
1. Översikt
1.1 Referenser
1.2 Identifierade krav
1.3 Relaterade regleringar
2. Identifierade krav
3. Relaterade regleringar
Regleringar
| Källa |
Reglering |
|
EULAW
|
Artikel 8 1.
Som en del av de IKT-relaterade säkerhetsstrategier, förfaranden, protokoll och verktyg som avses i artikel 9.2 i förordning (EU) 2022/2554 ska finansiella entiteter utarbeta, dokumentera och genomföra strategier och förfaranden för hantering av IKT-verksamheten. Dessa strategier och förfaranden ska specificera hur finansiella entiteter driver, övervakar, kontrollerar och återställer sina IKT-tillgångar, inbegripet dokumentation av IKT-verksamhet.
|
|
EULAW
|
Artikel 8 2.
De strategier och förfaranden för IKT-verksamhet som avses i punkt 1 ska innehålla allt av följande:
a)
En beskrivning av IKT-tillgångarna, inklusive
i)
krav avseende säker installation, säkert underhåll och säker konfiguration och avinstallation av ett IKT-system,
ii)
krav avseende hantering av informationstillgångar som används av IKT-tillgångar, däribland deras bearbetning och hantering och både automatiserad och manuell sådan,
iii)
krav avseende identifiering och kontroll av äldre IKT-system.
b)
Kontroll och övervakning av IKT-system, inklusive
i)
krav på säkerhetskopiering och återställning av IKT-system,
ii)
krav på schemaläggning, med beaktande av ömsesidiga beroenden mellan IKT-systemen,
iii)
protokoll för revisionsloggning och systemlogginformation,
iv)
krav för att säkerställa att utförandet av internrevision och annan testning minimerar störningar i affärsverksamheten,
v)
krav på separering av IKT-produktionsmiljöer från utvecklingsmiljöer, testmiljöer och andra miljöer som inte är produktionsmiljöer,
vi)
krav på att genomföra utveckling och testning i miljöer som är åtskilda från produktionsmiljön,
vii)
krav på att genomföra utveckling och testning i produktionsmiljöer.
c)
Felhantering avseende IKT-system, inklusive
i)
förfaranden och protokoll för felhantering,
ii)
kontakter för support och eskalering, inklusive externa supportkontakter i händelse av oväntade operativa eller tekniska problem,
iii)
förfaranden för omstart, återladdning och återställning av IKT-system för användning i händelse av avbrott i IKT-system.
Vid tillämpning av led b v ska separeringen beakta alla komponenter i miljön, inbegripet konton, uppgifter eller anslutningar, enligt artikel 13.1 a. Vid tillämpning av led b vii ska de strategier och förfaranden som avses i punkt 1 föreskriva att de fall då testning utförs i en produktionsmiljö är tydligt identifierade, motiverade, gäller begränsade tidsperioder och är godkända av den relevanta funktionen i enlighet med artikel 16.6. Finansiella entiteter ska säkerställa tillgänglighet, konfidentialitet, integritet och äkthet för IKT-system och produktionsdata under utveckling och testning i produktionsmiljön.
|
|
EULAW
|
Artikel 17 1.
Som en del av skyddsåtgärderna för att bevara uppgifternas tillgänglighet, äkthet, integritet och konfidentialitet ska finansiella entiteter i de förfaranden för hantering av IKT-förändringar som avses i artikel 9.4 e i förordning (EU) 2022/2554, när det gäller alla ändringar av programvara, hårdvara, komponenter i fast programvara, system eller säkerhetsparametrar, inkludera samtliga följande delar:
a)
En kontroll av huruvida IKT-säkerhetskraven har uppfyllts.
b)
Mekanismer för att säkerställa oberoendet mellan de funktioner som godkänner förändringar och de funktioner som ansvarar för att begära och genomföra dessa förändringar.
c)
En tydlig beskrivning av roller och ansvarsområden för att säkerställa att
i)
förändringar specificeras och planeras,
ii)
en lämplig övergång utformas,
iii)
förändringarna testas och slutförs på ett kontrollerat sätt,
iv)
det finns en effektiv kvalitetssäkring.
d)
Dokumentation och kommunikation av uppgifter om förändringar, inklusive
i)
förändringens syfte och omfattning,
ii)
tidslinjen för genomförandet av förändringen,
iii)
de förväntade resultaten.
e)
Identifiering av reservförfaranden och ansvarsområden för sådana, inklusive förfaranden och ansvarsområden för att avbryta förändringar eller återställa förändringar som inte genomförts framgångsrikt.
f)
Förfaranden, protokoll och verktyg för hantering av akuta förändringar som innehåller tillräckliga skyddsåtgärder.
g)
Förfaranden för att dokumentera, omvärdera, bedöma och godkänna akuta förändringar efter deras genomförande, inklusive kringgående operationer och programfixar.
h)
Identifiering av den potentiella inverkan av en förändring på befintliga IKT-säkerhetsåtgärder och en bedömning av huruvida en sådan förändring kräver att ytterligare IKT-säkerhetsåtgärder vidtas.
|
|
EULAW
|
Artikel 17 2.
Efter att ha gjort betydande förändringar i sina IKT-system ska centrala motparter och värdepapperscentraler låta sina IKT-system genomgå stränga tester genom att simulera ansträngda lägen. Centrala motparter ska vid behov involvera följande i utformningen och genomförandet av de tester som avses i första stycket:
a)
Clearingmedlemmar och clearingkunder.
b)
Interoperabla centrala motparter.
Värdepapperscentraler ska vid behov involvera följande i utformningen och genomförandet av de tester som avses i första stycket:
b)
Kritiska försörjningstjänster och kritiska tjänsteleverantörer.
c)
Andra värdepapperscentraler.
d)
Andra marknadsinfrastrukturer.
e)
Alla andra institut med vilka värdepapperscentralerna har identifierat ömsesidiga beroenden i sin IKT-kontinuitetspolicy.
|
|