55. Компетентните органи следва да оценят дали институцията има създадена ефективна рамка за …

Компетентните органи следва да оценят дали институцията има създадена ефективна рамка за идентифициране, разбиране, измерване и редуциране на риска за сигурността на ИКТ. За тази оценка компетентните органи следва по - специално да вземат предвид дали рамката включва:

• а) ясно определени роли и отговорности по отношение на:
• i. лицето(ата) и/или комитетите, които отговарят за ежедневното управление на сигурността на ИКТ и за разработването на общи политики за сигурност в областта на ИКТ, обръщайки внимание на независимостта, от която се нуждаят;
• ii. проектирането, имплементиране, управлението и наблюдението на механизмите за контрол на сигурността в областта на ИКТ;
• iii. защитата на критичните ИКТ системи и услуги, например чрез приемане на процес за оценка на уязвимостите, управление на софтуерните корекции, защита на крайните точки (напр. зловреден софтуер), инструменти за идентифициране и предотвратяване на проникване;
• iv. наблюдението, класифицирането и обработката на външните или вътрешни инциденти със сигурността на ИКТ, включително реагиране на инциденти и възобновяването и възстановяването на ИКТ системите и услугите;
• v. редовни и проактивни оценки на заплахите за поддържане на подходящи механизми за контрол на сигурността;
• б) политика за сигурност в областта на ИКТ, която взема под внимание и, при необходимост, се придържа към международно признатите стандарти и принципи за сигурност в областта на ИКТ (напр. принципа за „най - малка привилегия“, т.е. ограничаване на достъпа до минималното ниво, което позволява нормалното функциониране за управление на правото на достъп, и принципа на „защита в дълбочина“, т.е. многопластовите механизми за сигурност увеличават сигурността на системата като цяло за проектиране на архитектура за сигурност);
• в) процедура за идентифициране на ИКТ системи, услуги и съизмерими изисквания за сигурност, които отразяват потенциалния риск от измами и/или възможно неправилно използване и/или злоупотреба с поверителни данни, заедно с документирани очаквания за сигурност, които трябва да се спазват за тези идентифицирани ИКТ системи, услуги и данни, съгласувани с рисковия толеранс на институцията и следени за правилното им прилагане;
• г) документирано управление на инцидентите, свързани със сигурността и на процеса на ескалация, който дава насоки за различните роли и отговорности за управление и ескалация на инцидентите, членовете на кризисния(те) комитет(и) и командната верига в случай на извънредна ситуации със сигурността;
• д) регистриране на операциите на потребителите и администраторите, за да се даде възможност за ефективно наблюдение и навременно откриване и реакция при неразрешена дейност; за съдействие или за провеждане на съдебни разследвания на инциденти, свързани със сигурността. Институцията трябва да има създадени политики на регистрация, определящи подходящите видове регистри, които трябва да се поддържат, както и техния срок на съхранение;
• е) информационни кампании или инициативи за повишаване на осведомеността на всички нива в институцията относно безопасното използване и защита на ИКТ системите на институцията и основните рискове за сигурността на ИКТ, както и за (други) рискове, с които трябва да са запознати, по - специално по отношение на съществуващите и нововъзникващите кибер заплахи (напр. компютърни вируси, възможни вътрешни или външни злоупотреби или атаки, кибератаки) и тяхната роля за редуциране на нарушения на сигурността;
• ж) адекватни мерки за физическа сигурност (напр. видеонаблюдение, алармена система срещу кражба, защитни врати), за да се предотврати неразрешен физически достъп до критични и чувствителни ИКТ системи (напр. центрове за данни);
• з) мерки за защита на ИКТ системи от атаки от интернет (напр. кибератаки) или други външни мрежи (напр. традиционни телекомуникационни връзки или връзки с доверени партньори). Компетентните органи следва да прегледат дали рамката на институцията включва:
• i. процес и решения за поддържане на пълен и актуален инвентарен опис на данните и преглед на всички насочени навън точки за мрежова връзка (напр. уебсайтове, интернет приложения, WIFI, отдалечен достъп), чрез които трети лица биха могли да проникнат във вътрешните ИКТ системи.
• ii. детайлно управлявани и контролирани мерки за сигурност (напр. защитни стени, прокси сървъри, релейни сървъри за електронна поща, антивирусни програми и скенери на съдържание) за защитаване на входящия и изходящия мрежови трафик (напр. електронна поща) и насочените навън точки за мрежова връзка, чрез които трети лица биха могли да проникнат във вътрешните ИКТ системи;
• iii. процеси и решения за защитаване на уебсайтове и приложения, които могат да бъдат директно атакувани от интернет и/или отвън, и които могат да служат като входяща точка във вътрешните ИКТ системи. Най - общо те включват комбинация от признатите практики за развитие на сигурността, практики за укрепване на ИКТ системите и сканиране за уязвимости и/или прилагане на допълнителни решения за сигурност, например прилагане на защитни стени и/или идентифициране на проникване (IDS) и/или системи за предотвратяване на прониквания (IPS);
• iv. периодично тестване на проникването в системата за сигурност, за да се оцени ефективността на въведените кибер и вътрешни мерки и процеси за сигурност на ИКТ. Тези тестове трябва да се извършват от служители и/или външни експерти с необходимата експертиза, като документираните резултати от тестовете и заключенията се докладват на висшето ръководство и/или на управителния орган. Когато е необходимо и приложимо, институцията трябва да се обучава от тези тестове, както и да открива областите, където е необходимо подобрение в механизмите за контрол на сигурността и процесите и/или където може да се засили подсигуряването на тяхната ефективност. В) Контролни механизми за управление на съществените рискове от промени на ИКТ

1. Преглед

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани стандарти

2. Идентифицирани изисквания

3. Свързани стандарти

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/