54. За тази оценка, компетентните органи следва по - специално да вземат предвид дали рамката: а) …

За тази оценка, компетентните органи следва по - специално да вземат предвид дали рамката:

• а) идентифицира критичните процеси в областта на ИКТ и съответните поддържащи ИКТ системи, които трябва да бъдат част от плановете за бизнес устойчивост и непрекъсваемост посредством:
• i. цялостен анализ на зависимостите между критичните бизнес процеси и поддържащите системи;
• ii. определяне на цели за възстановяване за поддържащите ИКТ системи (напр. обикновено определяни от бизнеса и/или от нормативните разпоредби от гледна точка на целта за времето на възстановяване (RTO) и целта за момент на възстановяване (RPO);
• iii. подходящи планове за действие при непредвидени обстоятелства, даващи възможност за достъп, непрекъсваемост и възстановяване на критични системи и услуги в областта на ИКТ, които да сведат прекъсването на дейностите на институцията до приемливи граници.
• б) има политики и стандарти за бизнес устойчивост, за контрол на непрекъсваемостта на средата , както и оперативни контроли, които включват:
• i. мерки за предотвратяване на възможността даден сценарий, инцидент или бедствие да засегнат както системите за производство, така и системите за възстановяване на ИКТ;
• ii. процедури за резервно копиране и възстановяване на ИКТ системи за критичен софтуер и данни, с които се гарантира, че тези резервни копия се съхраняват на сигурно и достатъчно отдалечено място, така че даден инцидент или природно бедствие да не могат да унищожат или повредят тези критични данни;
• iii. решения за наблюдение за навременно откриване на инциденти с достъпа или непрекъсваемостта на ИКТ;
• iv. процес на документирано управление на инцидентите и тяхната ескалация, който също така дава насоки относно различните роли и отговорности за управление и ескалация на инцидентите до членовете на кризисния(те) комитет(и) и на съответното управленско ниво в случай на извънредни ситуации;
• v. физически мерки за защита на критичната инфраструктура на ИКТ на институцията (напр. центрове за данни) от рисковете, свързани с околната среда (напр. наводнения и други природни бедствия), както и за осигуряване на подходяща операционна среда за ИКТ системи (напр. климатична инсталация);
• vi. процеси, роли и отговорности, които да гарантират, че изнесените към външни изпълнители системи и услуги в областта на ИКТ също са обхванати от подходящи решения и планове за бизнес устойчивост и непрекъсваемост;
• vii. решения за планиране и наблюдение на производителността и капацитета на критични ИКТ системи и услуги с определени изисквания за достъпност, които да идентифицират своевременно важни ограничения в достъпността и капацитета;
• viii. решения за защита на критични интернет дейности или услуги (напр. услуги за електронно банкиране), когато е необходимо и целесъобразно, срещу отказ на услугата и други видове кибератаки от интернет, насочени към предотвратяване или смущаване на достъпа до тези дейности и услуги;
• в) тестване на решенията за достъп и непрекъсваемост на ИКТ спрямо редица реалистични сценарии, включително кибератаки, тестове за отказ поради повреда на отделни елементи и тестове за създаване на резервни копия на критичен софтуер и данни, които са:
• i. планирани, формализирани и документирани, и резултатите от тестовете са използвани за повишаване на ефективността на достъпа и непрекъсваемостта на ИКТ решения;
• ii. включват заинтересовани страни и функции в рамките на организацията, например управление на вид дейност, включително непрекъсваемост на дейността, екипи за реагиране при инциденти и кризи, както и съответните външни заинтересовани страни;
• iii. ръководният орган и висшето ръководство са включени по подходящ начин (напр. като част от екипа за управление на кризи) и се информират за резултатите от тестовете. Б) Контролни механизми за управление на съществените рискове за сигурността на ИКТ

1. Преглед

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани стандарти

2. Идентифицирани изисквания

3. Свързани стандарти

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/