3.3 Оценка на механизмите за контрол за редуциране на съществени рискове за ИКТ

За да оценят остатъчната експозиция на риска за ИКТ на институцията, компетентните органи следва да преразгледат начина, по който институцията идентифицира, наблюдава, оценява и редуцира съществените рискове, установени от компетентните органи в оценката по - горе.

За тази цел, за идентифицираните съществени рискове за ИКТ, компетентните органи следва да преразгледат приложимите:

• а) политика за управление на риска за ИКТ, процеси и прагове за допустимост на риска;
• б) организационна рамка, управление и контрол;
• в) обхват и констатации от вътрешния одит; и
• г) рискови контроли за ИКТ, специфични за идентифицирания съществен риск за ИКТ.

Оценката следва да вземе предвид резултатите от анализа на цялостната рамка за управление на риска и вътрешния контрол, както е посочено в дял 5 от Насоките на ЕБО, както и управлението и стратегията на институцията, разгледани в дял 2 от настоящите насоки, тъй като съществените недостатъци, установени в тези области, могат да повлияят на способността на институцията да управлява и редуцира рисковете, свързани с ИКТ. Когато е уместно, компетентните органи следва също така да използват източниците на информация в параграф 37 от настоящите насоки.

Компетентните органи следва да извършват следните стъпки на оценка по начин, който е пропорционален на естеството, мащаба и сложността на дейностите на институцията, и като прилагат надзорен преглед, който съответства на рисковия профил на институцията.

3.3.1 Политика за управление на риска, процеси и прагове на допустимост на риск

Компетентните органи следва да преценят дали институцията има подходящи политики за управление на риска, процеси и прагове за допустимост на риск за идентифицираните съществени рискове за ИКТ. Те могат да бъдат част от рамката за управление на операционния риск или отделен документ. За тази оценка компетентните органи следва да вземат предвид дали:

• а) политиката за управление на риска е формализирана и одобрена от ръководния орган и съдържа достатъчно насоки относно склонността на институцията за поемане на риск в областта на ИКТ и основните преследвани цели за управление на риска за ИКТ и/или прилаганите прагове за допустимост на риска за ИКТ; съответната политика за управление на риска за ИКТ следва също така да бъде сведена до знанието на всички заинтересовани страни;
• б) приложимата политика обхваща всички съществени елементи за управлението на риска на идентифицираните съществени рискове за ИКТ;
• в) институцията е въвела процеси и основни процедури за идентификация (напр. „Самооценки на механизмите за контрол на риска“ (RCSA), анализ на рисковите сценарии) и наблюдение на съответните съществени рискове за ИКТ; и
• г) институцията има отчетност за управление на риска за ИКТ, която осигурява навременна информация на висшето ръководство и на ръководния орган, и която дава възможност на висшето ръководство и/или на ръководния орган за оценка и наблюдение дали плановете и мерките за редуциране на риска за ИКТ на институцията са съвместими с одобрената склонност за поемане на риск и/или допустими прагове (когато е приложимо) и за наблюдение на промени в съществените рискове за ИКТ. 3.3.2 Рамка за организационно управление и контрол

Компетентните органи следва да оценят как приложимите роли и отговорности за управление на риска са вградени и интегрирани във вътрешната организация за управление и контрол на идентифицираните съществени рискове за ИКТ. В тази връзка компетентните органи следва да оценят дали институцията демонстрира:

• а) ясни роли и отговорности за идентифициране, оценка, наблюдение, редуциране, отчитане и контрол на включения съществен риск за ИКТ;
• б) отговорностите и ролите, свързани с риска, са ясно съобщени, разпределени и вградени във всички съответни части (напр. видове дейност, ИТ) и процеси на организацията, включително ролите и отговорностите за събиране и обобщаване на информацията за риска и докладването ѝ на висшето ръководство и/или на ръководния орган;
• в) дейностите по управлението на риска за ИКТ се извършват с подходящи като брой и качество човешки и технически ресурси. За да се оцени надеждността на приложимите планове за редуциране на риска, компетентните органи следва да преценят дали институцията е отделила достатъчно финансови средства и/или други необходими ресурси за изпълнението им;
• г) подходящо проследяване и отговор на ръководния орган във връзка с важни констатации на независимите контролни функции по отношение на риска(овете) за ИКТ, като се взема предвид възможното възлагане на някои аспекти на комитет, когато такъв съществува; и
• д) изключенията от приложимите разпоредби и политики в областта на ИКТ се записват и подлежат на документиран преглед и докладване от независимата контролна функция, с акцент върху свързаните с това рискове.

3.3.3 Обхват и констатации на вътрешния одит

Компетентните органи следва да преценят дали функцията за вътрешен одит е ефективна по отношение на проверката на приложимата рамка за контрол на риска за ИКТ, като прави преглед дали:

• а) рамката за контрол на риска за ИКТ се одитира с необходимото качество, дълбочина и честота и е съобразена с размера, дейностите и рисковия профил по отношение на ИКТ на институцията;
• б) планът за одит включва одити на критичните рискове за ИКТ, установени от институцията;
• в) важните констатации от одита на ИКТ, включително съгласуваните действия, се докладват на ръководния орган; и
• г) одитните констатации в областта на ИКТ, включително съгласуваните действия, се проследяват и докладите за напредъка се преразглеждат периодично от висшето ръководство и/или одитния комитет. 3.3.4 Механизми за контрол на рисковете за ИКТ, които са специфични за идентифицираните съществени рискове за ИКТ

По отношение на идентифицираните съществени рискове за ИКТ, компетентните органи следва да преценят дали институцията има създадени специфични механизми за контрол по отношение на тези рискове. Следващите раздели съдържат неизчерпателен списък на конкретните механизми за контрол, които трябва да се вземат предвид при оценката на съществените рискове, идентифицирани в точка 3.2.3, които са разпределени в следните категории рискове за ИКТ:

• а) рискове за достъпа и непрекъсваемостта на ИКТ;
• б) рискове за сигурността на ИКТ;
• в) рискове в следствие от промени на ИКТ;
• г) рискове за целостта на ИКТ данните;
• д) рискове, свързани с изнасянето на дейности в областта на ИКТ.

А) Механизми за контрол за управление на рисковете за достъпа и непрекъсваемостта на ИКТ

В допълнение към изискванията в Насоките на ЕБО относно ПНПО (параграфи 279 — 281) компетентните органи следва да оценят дали институцията има създадена подходяща рамка за идентифициране, разбиране, измерване и редуциране на рисковете за достъпа и непрекъсваемостта на ИКТ.

За тази оценка, компетентните органи следва по - специално да вземат предвид дали рамката:

• а) идентифицира критичните процеси в областта на ИКТ и съответните поддържащи ИКТ системи, които трябва да бъдат част от плановете за бизнес устойчивост и непрекъсваемост посредством:
• i. цялостен анализ на зависимостите между критичните бизнес процеси и поддържащите системи;
• ii. определяне на цели за възстановяване за поддържащите ИКТ системи (напр. обикновено определяни от бизнеса и/или от нормативните разпоредби от гледна точка на целта за времето на възстановяване (RTO) и целта за момент на възстановяване (RPO);
• iii. подходящи планове за действие при непредвидени обстоятелства, даващи възможност за достъп, непрекъсваемост и възстановяване на критични системи и услуги в областта на ИКТ, които да сведат прекъсването на дейностите на институцията до приемливи граници.
• б) има политики и стандарти за бизнес устойчивост, за контрол на непрекъсваемостта на средата , както и оперативни контроли, които включват:
• i. мерки за предотвратяване на възможността даден сценарий, инцидент или бедствие да засегнат както системите за производство, така и системите за възстановяване на ИКТ;
• ii. процедури за резервно копиране и възстановяване на ИКТ системи за критичен софтуер и данни, с които се гарантира, че тези резервни копия се съхраняват на сигурно и достатъчно отдалечено място, така че даден инцидент или природно бедствие да не могат да унищожат или повредят тези критични данни;
• iii. решения за наблюдение за навременно откриване на инциденти с достъпа или непрекъсваемостта на ИКТ;
• iv. процес на документирано управление на инцидентите и тяхната ескалация, който също така дава насоки относно различните роли и отговорности за управление и ескалация на инцидентите до членовете на кризисния(те) комитет(и) и на съответното управленско ниво в случай на извънредни ситуации;
• v. физически мерки за защита на критичната инфраструктура на ИКТ на институцията (напр. центрове за данни) от рисковете, свързани с околната среда (напр. наводнения и други природни бедствия), както и за осигуряване на подходяща операционна среда за ИКТ системи (напр. климатична инсталация);
• vi. процеси, роли и отговорности, които да гарантират, че изнесените към външни изпълнители системи и услуги в областта на ИКТ също са обхванати от подходящи решения и планове за бизнес устойчивост и непрекъсваемост;
• vii. решения за планиране и наблюдение на производителността и капацитета на критични ИКТ системи и услуги с определени изисквания за достъпност, които да идентифицират своевременно важни ограничения в достъпността и капацитета;
• viii. решения за защита на критични интернет дейности или услуги (напр. услуги за електронно банкиране), когато е необходимо и целесъобразно, срещу отказ на услугата и други видове кибератаки от интернет, насочени към предотвратяване или смущаване на достъпа до тези дейности и услуги;
• в) тестване на решенията за достъп и непрекъсваемост на ИКТ спрямо редица реалистични сценарии, включително кибератаки, тестове за отказ поради повреда на отделни елементи и тестове за създаване на резервни копия на критичен софтуер и данни, които са:
• i. планирани, формализирани и документирани, и резултатите от тестовете са използвани за повишаване на ефективността на достъпа и непрекъсваемостта на ИКТ решения;
• ii. включват заинтересовани страни и функции в рамките на организацията, например управление на вид дейност, включително непрекъсваемост на дейността, екипи за реагиране при инциденти и кризи, както и съответните външни заинтересовани страни;
• iii. ръководният орган и висшето ръководство са включени по подходящ начин (напр. като част от екипа за управление на кризи) и се информират за резултатите от тестовете. Б) Контролни механизми за управление на съществените рискове за сигурността на ИКТ

Компетентните органи следва да оценят дали институцията има създадена ефективна рамка за идентифициране, разбиране, измерване и редуциране на риска за сигурността на ИКТ. За тази оценка компетентните органи следва по - специално да вземат предвид дали рамката включва:

• а) ясно определени роли и отговорности по отношение на:
• i. лицето(ата) и/или комитетите, които отговарят за ежедневното управление на сигурността на ИКТ и за разработването на общи политики за сигурност в областта на ИКТ, обръщайки внимание на независимостта, от която се нуждаят;
• ii. проектирането, имплементиране, управлението и наблюдението на механизмите за контрол на сигурността в областта на ИКТ;
• iii. защитата на критичните ИКТ системи и услуги, например чрез приемане на процес за оценка на уязвимостите, управление на софтуерните корекции, защита на крайните точки (напр. зловреден софтуер), инструменти за идентифициране и предотвратяване на проникване;
• iv. наблюдението, класифицирането и обработката на външните или вътрешни инциденти със сигурността на ИКТ, включително реагиране на инциденти и възобновяването и възстановяването на ИКТ системите и услугите;
• v. редовни и проактивни оценки на заплахите за поддържане на подходящи механизми за контрол на сигурността;
• б) политика за сигурност в областта на ИКТ, която взема под внимание и, при необходимост, се придържа към международно признатите стандарти и принципи за сигурност в областта на ИКТ (напр. принципа за „най - малка привилегия“, т.е. ограничаване на достъпа до минималното ниво, което позволява нормалното функциониране за управление на правото на достъп, и принципа на „защита в дълбочина“, т.е. многопластовите механизми за сигурност увеличават сигурността на системата като цяло за проектиране на архитектура за сигурност);
• в) процедура за идентифициране на ИКТ системи, услуги и съизмерими изисквания за сигурност, които отразяват потенциалния риск от измами и/или възможно неправилно използване и/или злоупотреба с поверителни данни, заедно с документирани очаквания за сигурност, които трябва да се спазват за тези идентифицирани ИКТ системи, услуги и данни, съгласувани с рисковия толеранс на институцията и следени за правилното им прилагане;
• г) документирано управление на инцидентите, свързани със сигурността и на процеса на ескалация, който дава насоки за различните роли и отговорности за управление и ескалация на инцидентите, членовете на кризисния(те) комитет(и) и командната верига в случай на извънредна ситуации със сигурността;
• д) регистриране на операциите на потребителите и администраторите, за да се даде възможност за ефективно наблюдение и навременно откриване и реакция при неразрешена дейност; за съдействие или за провеждане на съдебни разследвания на инциденти, свързани със сигурността. Институцията трябва да има създадени политики на регистрация, определящи подходящите видове регистри, които трябва да се поддържат, както и техния срок на съхранение;
• е) информационни кампании или инициативи за повишаване на осведомеността на всички нива в институцията относно безопасното използване и защита на ИКТ системите на институцията и основните рискове за сигурността на ИКТ, както и за (други) рискове, с които трябва да са запознати, по - специално по отношение на съществуващите и нововъзникващите кибер заплахи (напр. компютърни вируси, възможни вътрешни или външни злоупотреби или атаки, кибератаки) и тяхната роля за редуциране на нарушения на сигурността;
• ж) адекватни мерки за физическа сигурност (напр. видеонаблюдение, алармена система срещу кражба, защитни врати), за да се предотврати неразрешен физически достъп до критични и чувствителни ИКТ системи (напр. центрове за данни);
• з) мерки за защита на ИКТ системи от атаки от интернет (напр. кибератаки) или други външни мрежи (напр. традиционни телекомуникационни връзки или връзки с доверени партньори). Компетентните органи следва да прегледат дали рамката на институцията включва:
• i. процес и решения за поддържане на пълен и актуален инвентарен опис на данните и преглед на всички насочени навън точки за мрежова връзка (напр. уебсайтове, интернет приложения, WIFI, отдалечен достъп), чрез които трети лица биха могли да проникнат във вътрешните ИКТ системи.
• ii. детайлно управлявани и контролирани мерки за сигурност (напр. защитни стени, прокси сървъри, релейни сървъри за електронна поща, антивирусни програми и скенери на съдържание) за защитаване на входящия и изходящия мрежови трафик (напр. електронна поща) и насочените навън точки за мрежова връзка, чрез които трети лица биха могли да проникнат във вътрешните ИКТ системи;
• iii. процеси и решения за защитаване на уебсайтове и приложения, които могат да бъдат директно атакувани от интернет и/или отвън, и които могат да служат като входяща точка във вътрешните ИКТ системи. Най - общо те включват комбинация от признатите практики за развитие на сигурността, практики за укрепване на ИКТ системите и сканиране за уязвимости и/или прилагане на допълнителни решения за сигурност, например прилагане на защитни стени и/или идентифициране на проникване (IDS) и/или системи за предотвратяване на прониквания (IPS);
• iv. периодично тестване на проникването в системата за сигурност, за да се оцени ефективността на въведените кибер и вътрешни мерки и процеси за сигурност на ИКТ. Тези тестове трябва да се извършват от служители и/или външни експерти с необходимата експертиза, като документираните резултати от тестовете и заключенията се докладват на висшето ръководство и/или на управителния орган. Когато е необходимо и приложимо, институцията трябва да се обучава от тези тестове, както и да открива областите, където е необходимо подобрение в механизмите за контрол на сигурността и процесите и/или където може да се засили подсигуряването на тяхната ефективност. В) Контролни механизми за управление на съществените рискове от промени на ИКТ

Компетентните органи следва да оценят дали институцията има създадена ефективна рамка за идентифициране, разбиране, измерване и редуциране на риска от промени на ИКТ, съответстваща на естеството, мащаба и сложността на дейностите на институцията и рисковия профил на ИКТ на институцията. Рамката на институцията трябва да обхваща рисковете, свързани с разработването, тестването и одобряването на промени в ИКТ системите, включително разработката или промяната на софтуера, преди да бъдат мигрирани към производствената среда, и да осигури адекватно управление на жизнения цикъл на ИКТ. За тази оценка компетентните органи следва по - специално да вземат предвид дали рамката включва:

• а) документирани процедури за управление и контрол на промените в ИКТ системите (напр. конфигуриране и управление на софтуерните корекции) и данните (напр. отстраняване на грешки или корекции на данни), осигуряване на адекватно участие на управлението на рисковете за ИКТ при важни промени в ИКТ, които могат да окажат значително въздействие върху рисковия профил или експозиция на институцията;
• б) спецификации по отношение на необходимото разпределение на отговорностите по време на различните етапи на процесите на промяна в областта на ИКТ (напр. проектиране и разработване на решения, тестване и одобрение на нов софтуер и/или промени, миграция и внедряване в производствената среда, както и коригиране на софтуерни дефекти), с акцент върху прилаганите решения и разпределение на отговорностите за управление и контрол на промените в системите за производство и данните за ИКТ от страна на персонала в областта на ИКТ (напр. разработчици, системни администратори на ИКТ, администратори на бази данни) или всяка друга страна (напр. бизнес потребители, доставчици на услуги);
• в) тестови среди, които отразяват по подходящ начин производствените среди;
• г) опис на активите, свързани със съществуващите приложения и ИКТ системи в производствената среда, както и средата за тестване и развитие, така че необходимите промени (напр. актуализиране или осъвременяване на версията, корекции на системи, промени в конфигурацията) да бъдат адекватно управлявани, прилагани и наблюдавани по отношение на включените ИКТ системи;
• д) процес за наблюдение и управление на жизнения цикъл на използваните ИКТ системи, гарантиращ, че те продължават да отговарят на действителните изисквания на бизнеса и на управлението на риска, както и че използваните ИКТ решения и системи все още се поддържат от техните доставчици; и че това е придружено от адекватни процедури за разработване по време на жизнения цикъл на софтуера (SDLC);
• е) система за контрол на изходния код на софтуера и подходящи процедури, които предотвратяват неразрешени промени в изходния код на софтуера, разработен в самата организация;
• ж) процес за провеждане на скрининг на сигурността и уязвимостите на нови или съществено променени ИКТ системи и софтуер, преди да бъдат пуснати в производство и да бъдат изложени на евентуални кибератаки;
• з) процес и решения за предотвратяване на неразрешено или непреднамерено разкриване на поверителни данни при замяна, архивиране, преустановяване на ползването или унищожаване на ИКТ системи;
• и) независими процеси за преглед и валидиране за намаляване на рисковете от човешки грешки при извършване на промени в ИКТ системи, които могат да имат значителен неблагоприятен ефект върху достъпа, непрекъсваемостта или сигурността на институцията (напр. важни промени в конфигурацията на защитната стена), или в сигурността на институцията (напр. промени в защитните стени).

Г) Контролни механизми за управление на съществените рискове за целостта на ИКТ данните

Компетентните органи следва да оценят дали институцията има създадена ефективна рамка за идентифициране, разбиране, измерване и редуциране на рисковете за целостта на ИКТ данните в съответствие с естеството, мащаба и сложността на дейностите на институцията и рисковия профил на ИКТ на институцията. Рамката на институцията трябва да вземе предвид рисковете, свързани с опазване на целостта на данните, съхранявани и обработвани от ИКТ системите. За тази оценка компетентните органи следва по - специално да вземат предвид дали рамката включва:

• а) политика, която определя ролите и отговорностите за управление на целостта на данните в ИКТ системите (напр. архитект на данни, отговорници за данни⁶ , попечители на данни⁷ , собственици/разпоредители с данни⁸ ) и дава насоки за това кои данни са от решаващо значение от гледна точка на целостта на данните и следва да подлежат на специфични мерки за контрол в областта на ИКТ (напр. автоматизирани механизми за контрол за валидиране на входящи данни, контрол на трансфера на данни, изравнявания и т.н.) или прегледи (напр. проверка на съвместимостта с архитектурата на данни) в различните етапи от жизнения цикъл на ИКТ данните;
• б) документирана архитектура на данните, модел на данните и/или речник, който е потвърден от съответните заинтересовани лица от бизнеса и ИТ за поддържане на необходимата съгласуваност на данните в ИКТ системите и за гарантиране, че архитектурата на данни, моделът на данни и/или речникът продължават да изпълняват нуждите на бизнеса и управлението на рисковете;
• в) политика по отношение на разрешеното използване и зависимост от компютърните системи на крайния потребител, по - специално по отношение на идентифицирането, регистрирането и документирането на важни за крайния потребител компютърни решения (напр. при обработката на важни данни) и очакваните нива на сигурност за предотвратяване на неразрешени модификации, както в самите инструменти, така и в данните, съхранявани в тях;
• г) документирани процеси за обработка на изключения за разрешаване на идентифицираните проблеми в целостта на ИКТ данните в съответствие с тяхната критичност и чувствителност.

⁶ Отговорникът за данните следи процеса за обработка на данните и тяхното използване.

⁷ Попечителят на данни е отговорен за безопасното пазене, транспортиране и съхранение на данните.

⁸ Собственикът/разпоредителят на данни е отговорен за управлението и годността на елементите на данните — както на съдържанието, така и на метаданните.

За поднадзорни институции, които попадат в обхвата на принципите на BCBS 239 за ефективно агрегиране на данните за риска и отчитане на риска⁹ , компетентните органи трябва да прегледат анализа на риска на институцията за отчитането на риска от нейна страна и за възможностите за агрегиране на данните в сравнение с принципите и подготвената документация за тях, като се вземат предвид сроковете на изпълнение и преходните разпоредби на тези принципи.

Д) Контролни механизми за управление на съществените рискове, свързани с изнасяне на дейности, свързани с ИКТ

⁹ Базелски комитет по банков надзор, Принципи за ефективно агрегиране на данните за риска и отчитане на риска, януари 2013 г., достъпен онлайн на: http://www.bis.org/publ/bcbs239.pdf.

Компетентните органи следва да оценят дали стратегията за изнасяне на дейности на институцията, в съответствие с изискванията на насоките за изнасяне на дейности на Комитета на европейските банкови надзорници (CEBS) (2006 г.) и в допълнение към изискванията, посочени в параграф 85, буква г) на Насоките на ЕБО относно ПНПО, се отнася адекватно при изнасяне на дейности, свързани с ИКТ, включително за изнасянето на дейности в рамките на групата, предоставяща ИКТ услуги вътре в групата. При оценката на рисковете, свързани с изнасяне на дейности, свързани ИКТ, компетентните органи трябва да вземат предвид, че рисковете, свързани с изнасянето на дейности в областта на ИКТ, могат да бъдат обхванати и като част от оценката на присъщите операционни рискове съгласно параграф 240, буква й) от Насоките на ЕБО относно ПНПО, за да се избегне дублирането на дейности или двойно отчитане.

По - специално, компетентните органи следва да преценят дали институцията има създадена ефективна рамка за идентифициране, разбиране и измерване на риска, свързан с изнасяне на дейности в областта на ИКТ, и по - специално въведени контролни механизми и среда за контрол за редуциране на рисковете, свързани със съществени изнесени ИКТ услуги, които са съизмерими с размера, дейностите и рисковия профил на ИКТ на институцията и включват:

• а) оценка на въздействието на изнасянето на дейности в областта на ИКТ за управлението на риска на институцията във връзка с използването на доставчици на услуги (напр. доставчици на облачни (“ cloud ”) услуги) и тяхното обслужване по време на процеса на възлагане на услуги, който е документиран и се взема под внимание от висшето ръководство или от ръководния орган за решението дали да се изнасяте тези дейности или не. Институцията следва да преразгледа политиките за управление на риска за ИКТ и контролните механизми на ИКТ и средата за контрол на доставчика на услуги, за да се гарантира, че те отговарят на вътрешните цели за управление на риска на институцията и на склонността към поемане на риск. Този преглед трябва да се актуализира периодично по време на периода на договора за изнасяне на дейности, като се вземат предвид характеристиките на изнесените услуги;
• б) наблюдение на рисковете за ИКТ на изнесените услуги по време на договора за изнасяне на дейности като част от управлението на риска на институцията, чиито данни постъпват в отчетността за управлението на риска за ИКТ на институцията (напр. отчитане на непрекъсваемостта на дейността, докладване, свързано със сигурността);
• в) наблюдение и сравняване на получените нива на обслужване с договорените нива на обслужване, които следва да бъдат част от договора за изнасяне на дейности или от споразумение за нивото на обслужване (SLA); и
• г) подходящи човешки и финансови ресурси и компетентности за наблюдение и управление на рисковете за ИКТ от изнесените услуги.