+3.4 Резюме на констатациите и оценка
---+61. След извършване на посочената по - горе оценка компетентните органи следва да съставят …
---+62. Ако компетентните органи считат, че рискът за ИКТ е съществен и компетентният орган реши да …
---+Приложение — Таксономия на риска за ИКТ

3.4 Резюме на констатациите и оценка

1. Преглед

61. След извършване на посочената по - горе оценка компетентните органи следва да съставят …

След извършване на посочената по - горе оценка компетентните органи следва да съставят становище за риска за ИКТ на институцията. Това становище следва да бъде отразено в резюме на констатациите, които компетентните органи трябва да вземат предвид при определяне на оценката на операционния риск в таблица 6 от Насоките на ЕБО относно ПНПО. Компетентните органи следва да основат своето становище върху съществените рискове за ИКТ, като вземат предвид следните съображения, които трябва да бъдат включени в оценката на операционния риск:

а) Съображения относно риска
i. рисковия профил на ИКТ и експозициите на институцията;
ii. идентифицирани критични системи и услуги в областта на ИКТ; и
iii. съществеността на риска за ИКТ по отношение на критични ИКТ системи.
б) Съображения относно управлението и контрола
i. дали има съгласуваност между политиката и стратегията за управление на риска в областта на ИКТ на институцията и нейната цялостната стратегия и склонност към поемане на риск;
ii. дали организационната рамка за управление на риска за ИКТ е стабилна, с ясни отговорности и ясно разделение на задачите между собствениците на риска и функциите за управление и контрол;
iii. дали измерването на риска за ИКТ, системите за наблюдение и отчетност са подходящи; и
iv. дали рамките за контрол на съществени рискове в областта на ИКТ са надеждни.

62. Ако компетентните органи считат, че рискът за ИКТ е съществен и компетентният орган реши да …

Ако компетентните органи считат, че рискът за ИКТ е съществен и компетентният орган реши да оцени и да измерва този риск като подкатегория на операционния риск, таблицата по - долу (Таблица 1) представя съображенията, свързани с оценките на риска за ИКТ. Таблица 1: Надзорни съображения за определяне на оценки на риска, свързани с ИКТ

Оценка Становище на Съображения за присъщия риск Съображения за адекватно на надзора управление и контрол риска

1 Не се наблюдава • видим риск от съществено пруденциално въздействие върху институцията, като • се има предвид нивото на присъщ риск и механизмите за управление и контрол.	Източниците на информация, разгледани в съответствие с параграф 37, не са показали значими експозиции към риск, свързан с ИКТ. Естеството на рисковия профил на ИКТ на институцията във връзка с прегледа на критичните ИКТ системи и съществените рискове за ИКТ за системи и услуги в областта на ИКТ не са показали съществени рискове в областта на ИКТ.
2 Наблюдава се нисък • риск от съществено пруденциално въздействие върху институцията, като се има предвид • нивото на присъщ риск и механизмите за управление и контрол.	Източниците на информация, • Политиката и стратегията разгледани в съответствие с на институцията по параграф 37, не са показали отношение на риска за значими експозиции на риск, ИКТ са съизмерими с свързан с ИКТ. нейната цялостна Естеството на рисковия профил стратегия и склонност на ИКТ на институцията във към поемане на риск. връзка с прегледа на критичните • Рамката на ИКТ системи и съществените организацията по рискове за ИКТ за системи и отношение на риска за услуги в областта на ИКТ са ИКТ е стабилна, с ясни показали ограничена експозиция отговорности и ясно към риск, свързан с ИКТ (напр. не разделение на задачите повече от 2 от 5 от между собствениците на предварително определените риска и функциите за рискови категории за ИКТ). управление и контрол на
3 Налице е среден • риск от значително пруденциално въздействие върху институцията, като се има предвид нивото •	Източниците на информация, риска. разгледани в съответствие с • Системите за измерване параграф 37, са показали на риска за ИКТ и за индикации за възможни значими неговото наблюдение и експозиции към риск, свързан с отчетност са подходящи. ИКТ. • Рамката за контрол на Естеството на рисковия профил риска за ИКТ е надеждна.
на присъщ риск и механизмите за управление и контрол.	на ИКТ на институцията във връзка с прегледа на критичните ИКТ системи и съществените рискове за ИКТ за системи и услуги в областта на ИКТ са показали повишена експозиция на риска за ИКТ (напр. 3 или повече от 5 от предварително определените рискови риск за ИКТ).
4 Наблюдава се висок • риск от съществено пруденциално въздействие върху институцията, като се има предвид нивото на присъщ • риск и управлението и механизмите за контрол.	Източниците на информация, разгледани в съответствие с параграф 37, са показали множество индикации за значими експозиции на риск за ИКТ. Естеството на рисковия профил на ИКТ на институцията във връзка с прегледа на критичните ИКТ системи и съществените рискове за ИКТ за системи и услуги в областта на ИКТ са показали висока експозиция към риска, свързан с ИКТ (напр. 4 или 5 от 5 от предварително определените рискови категории за ИКТ).

Приложение — Таксономия на риска за ИКТ

Пет рискови категории за ИКТ с неизчерпателен списък на рисковете за ИКТ с потенциално висока тежест и/или въздействие във връзка с операциите, репутацията или финансите

Рискови Рискове за ИКТ категории за (неизчерпателен ИКТ списък¹⁰ )	Описание на риска	Примери:
Рискове за Неадекватно достъпа и управление на непрекъсваем капацитета остта на ИКТ;	Липсата на ресурси (напр. хардуер, софтуер, персонал, доставчици на услуги) може да доведе до невъзможност да се мащабира услугата, за да отговаря на нуждите на бизнеса, системни прекъсвания, влошаване на услугата и/или оперативни грешки.	• •	Недостигът на капацитет може да повлияе върху скоростите на предаване, както и на наличието на мрежа (интернет) за услуги като интернет банкиране. Липсата на персонал (вътрешен или на трета страна) може да доведе до системни прекъсвания и/или оперативни грешки.
Неизправности на ИКТ системата	Загуба на достъп поради неизправности с хардуера. Загубата на достъп поради неизправности или грешки със софтуера.	• • •	Неизправност/повреда на съхранението (твърди дискове), сървър или друго ИТ оборудване, причинени например от липсата на поддръжка. Безкраен цикъл в софтуерно приложение не позволява изпълнение на операцията. Прекъсвания поради продължителната употреба на остарели ИКТ системи и решения, които вече не отговарят на настоящите изисквания за достъп и устойчивост и/или вече не се поддържат от техните доставчици.
Неадекватно планиране на непрекъсваемос тта на ИКТ и възстановяванет	Неизправност на планираните решения за достъп на ИКТ и/или решения за непрекъсваемостта и/или за възстановяване след бедствие (напр. резервен център за възстановяване на данни), когато се активира в отговор на инцидент.	•	Разликите в конфигурацията между първичния и вторичния център за данни могат да доведат до невъзможност резервният център за данни да осигури планираната непрекъсваемост на услугата.
Рискови Рискове за ИКТ	Описание на риска	Примери:

категории за (неизчерпателен ИКТ списък¹⁰ )

о след бедствие

Неприемливи и разрушителни кибератаки	Атаки с различни цели (напр. активизъм, изнудване), които водят до претоварване на системите и мрежата, предотвратявайки достъп до онлайн компютърни услуги от страна на техните легитимни потребители.	•	Разпространявани атаки от типа „отказ на услуги“ се извършват с помощта на множество компютърни системи в интернет, контролирани от хакер, изпращащ голямо количество видимо легитимни заявки за интернет услуги (напр. електронно банкиране).
Рискове за Кибер атаки и сигурността на други външни ИКТ; атаки, базирани на ИКТ	Атаки, извършени от интернет или от външни мрежи с различни цели (напр. измама, шпионаж, активизъм/саботаж, кибертероризъм) с помощта на различни техники (напр. социално инженерство, опити за проникване чрез използване на уязвимости, внедряване на зловреден софтуер), което води до контрол върху вътрешни ИКТ системи. Извършване на измамни финансови операции от хакери чрез разбиване или заобикаляне на сигурността на електронното банкиране и услуги за плащане и/или чрез атакуване и използване на уязвимости в сигурността във вътрешните системи за плащания на институцията. Сключване на сделки с ценни книжа с цел измама от хакери чрез разбиване или заобикаляне на	Различни • • • • • • •	видове атаки: APT (Разширена постоянна заплаха) за поемане на контрол върху вътрешни системи или за кражба на информация (напр. кражба на информация за самоличност, информация за кредитни карти). Зловреден софтуер (напр. рансъмуер), който криптира данни с цел изнудване. Инфекция на вътрешни ИКТ системи с троянски коне за извършване на злоумишлени действия на системата по прикрит начин. Експлоатация на ИКТ система и/или на уязвимостите на (уеб) приложение (напр. „праSQL injection“ и т.н.) с цел получаване на достъп до вътрешната ИКТ система. Атаки срещу електронно банкиране или платежни услуги, с цел да се извършат неразрешени операции. Създаване и изпращане на измамни финансови операции от вътрешните системи за плащания на институцията (напр. измамни SWIFT съобщения). Атаки от типа „дъмпингови схеми с акции“, при които нападателите получават достъп до сметки
Рискови Рискове за ИКТ категории за (неизчерпателен ИКТ списък¹⁰ )	Описание на риска сигурността на услугите за електронно банкиране, които също така предоставят достъп до сметки за ценните книжа на клиента. Атаки върху комуникационни връзки и разговори от всякакъв вид или ИКТ системи с цел събиране на информация и/или извършване на измами.	Примери: •	за електронно банкиране на ценни книжа на клиенти и пускат измамни нареждания за покупка или продажба, целящи повлияване върху пазарната цена и/или реализиране на печалби на базата на предварително определени позиции на ценни книжа. Подслушване/прихващане на незащитено предаване на данни за удостоверяване на автентичността в обикновен текст.
Неадекватна вътрешна сигурност на ИКТ	Придобиване на неразрешен достъп до критични ИКТ системи в рамките на институцията с различни цели (напр. измама, извършване и скриване на нелоялни търговски дейности, кражба на данни, активизъм/саботаж) с разнообразни техники (напр. злоупотреба и/или ескалация на привилегии, кражба на самоличност, социален инженеринг, използване на уязвимости в областта на ИКТ системи, внедряване на зловреден софтуер). Неразрешени манипулации на ИКТ, дължащи се на неадекватни процедури и практики за управление на достъпа до ИКТ.	• • • • •	Инсталиране на устройства за регистриране на клавиши (кийлогъри) с цел кражба на потребителски имена и пароли за получаване на неразрешен достъп до поверителни данни и/или за извършване на измама. Разбиване/отгатване на слаби пароли с цел сдобиване с нелегитимни или по - високи права за достъп. Системен администратор използва операционни системи или бази данни (за директни модификации на бази данни) за извършване на измами. Неуспешно деактивиране или изтриване на ненужни сметки, например на служители, които са променили функциите си и/или са напуснали институцията, включително външни лица или доставчици, които вече не се нуждаят от достъп, което от своя страна осигурява неупълномощен достъп до ИКТ системи. Предоставяне на прекомерни права на достъп и привилегии, което позволява неразрешен достъп и/или прави възможно скриването на нелоялни
Рискови Рискове за ИКТ категории за (неизчерпателен ИКТ списък¹⁰ )	Описание на риска Заплахи за сигурността поради липса на информираност относно сигурността, при която служителите не разбират, проявяват небрежност или не успяват да спазват правилата и процедурите за сигурност в областта на ИКТ. Неправомерно съхранение или прехвърляне на поверителна информация извън институцията.	Примери: • • • •	дейности. Служители, които биват измамени за оказване на съдействие за атака (т.е. социално инженерство). Лоши практики по отношение на пълномощията: споделяне на пароли, използване на „лесни за отгатване“ пароли, използване на една и съща парола за различни цели и т.н. Съхранение на некриптирани поверителни данни на лаптопи и на преносими устройства за съхранение на данни (напр. USB ключове), които могат да бъдат изгубени или откраднати. Лица, които извършват кражба или умишлено изтичане или изнасяне на поверителна информация на неупълномощени лица или на обществеността.
Неадекватна физическа сигурност в областта на ИКТ	Злоупотреба или кражба на активи в областта на ИКТ чрез физически достъп, причинявайки щети, загуба на активи или данни, или осигуряване на възможност за други заплахи. Умишлено или случайно увреждане на материалните активи в областта на ИКТ, причинено от терористични действия, аварии или случайни/погрешни манипулации от страна на персонала на институцията и/или трети страни (доставчици, техник). Недостатъчна физическа защита срещу природни бедствия в резултат от частично или пълно унищожаване на ИКТ системи/центрове за данни от	• • • •	Физически взлом в офис сгради и/или центрове за данни с цел кражба на ИКТ оборудване (напр. компютри, лаптопи, решения за съхранение) и/или за копиране на данни чрез физически достъп до информационни и комуникационни системи. Физически тероризъм (т.е. терористични бомби) или саботаж на ИКТ активи. Унищожаване на център за данни, причинено от пожар, изтичане на вода или други фактори. Земетресения, екстремни температури, бури, тежки снежни бури, наводнения, пожар, мълния.
Рискови Рискове за ИКТ категории за (неизчерпателен ИКТ списък¹⁰ )	Описание на риска природни бедствия.	Примери:
Рискове в Недостатъчен следствие от контрол на промени в ИКТ промените в областта на ИКТ системите и развитието на ИКТ	Инциденти, причинени от неоткрити грешки или уязвимости в резултат от промяна (напр. непредвидени последици от промяна или лошо управлявана промяна поради липса на тестване или неправилни практики за управление на промяната), напр. софтуер, ИКТ системи и данни.	• • • • •	Въвеждане в производствения цикъл на недостатъчно тестван софтуер или промени в конфигурацията с неочаквани неблагоприятни ефекти върху данни (напр. увреждане, заличаване) и/или работа на ИКТ система (напр. повреда, влошаване на производителността). Неконтролирани промени в ИКТ системи или данни в производствена среда. Въвеждане в производствения цикъл на слабо осигурени ИКТ системи и интернет приложения, създаващи възможности хакерите да атакуват предоставяните интернет услуги и/или да нарушават вътрешните ИКТ системи. Неконтролирани промени в изходния код на вътрешно разработен софтуер. Недостатъчно тестване поради липса на подходящи условия за тестване.
Неадекватна ИКТ архитектура	Слабото управление на ИКТ архитектурата при проектирането, изграждането и поддържането на ИКТ системи (напр. софтуер, хардуер, данни) може да доведе с течение на времето до сложни, трудни, скъпи за управление и трудни за промяна ИКТ системи, които не са достатъчно съобразени с нуждите на бизнеса и които не отговарят на реалните изисквания за управление на риска.	•	Неадекватно управление на промените в областта на ИКТ системи, софтуер и/или данни за продължителен период от време, което води до сложни, разнородни и трудни за управление системи и архитектури в областта на ИКТ, причиняващи много неблагоприятни въздействия върху бизнеса и управлението на риска (напр. липса на гъвкавост и бързина, инциденти и неизправности в областта на ИКТ, високи операционни разходи, влошена сигурност и устойчивост на ИКТ, понижаване на качеството на данните и възможностите за отчитане).
Рискови Рискове за ИКТ категории за (неизчерпателен ИКТ списък¹⁰ )	Описание на риска	Примери: •	Прекомерното персонализиране и разширение на комерсиални софтуерни пакети с вътрешно разработен софтуер, което води до неспособност за изпълнение на бъдещи версии и подобрения на търговски софтуер и до риска, че вече не се поддържа от доставчика.
Неадекватен жизнен цикъл и управление на корекциите	Невъзможност да се поддържа подходящ инвентар на всички ИКТ активи в подкрепа на, както и в комбинация със стабилен жизнен цикъл и практики за управление на корекциите. Това води до недостатъчно коригирани (и по този начин по - уязвими) и остарели ИКТ системи, които не могат да поддържат нуждите на управлението на бизнеса и риска.	•	Некоригирани и остарели ИКТ системи, които могат да окажат неблагоприятно въздействие върху дейността и управлението на риска (напр. липса на гъвкавост и пъргавина, прекъсване на ИКТ, понижена сигурност и устойчивост на ИКТ).
Риск за Лошо целостта на функционираща ИКТ данните обработка или употреба на ИКТ данни	Поради грешките и неизправностите на системата, комуникацията и/или приложенията или поради процес на погрешно извличане, трансфер и натоварване (ETL) на данни, данните могат да бъдат повредени или изгубени.	• • •	Грешка в ИТ системата при обработка на партида, която води до неправилни салда в банковите сметки на клиента. Погрешно изпълнени запитвания. Загуба на данни поради грешка в репликацията на данните (бекъп).
Лошо проектирани механизми за контрол за проверка на данни в ИКТ системите	Грешки, свързани с липсващи или неефективни автоматизирани входни данни и контролни механизми за приемане (напр. за използвани данни на трети страни), трансфер на данни, обработка и контрол на изхода в ИКТ системи (напр. механизми за контрол на тяхната валидност на входа, съгласуване на данни).	• • • •	Недостатъчно или невалидно форматиране/валидиране на входящите данни в приложения и/или потребителски интерфейси. Липса на механизми за контрол за съгласуване на данните за получените резултати Липса на контрол за извършените процеси на извличане на данни (напр. заявки за базата данни), които водят до грешни данни. Използване на некачествени външни данни.
Лошо контролирани	Грешки във въведените данни поради липса на контролни механизми на коректността и	•	Разработчици или администраторите на бази данни, имащи директен достъп, които
Рискови Рискове за ИКТ категории за (неизчерпателен ИКТ списък¹⁰ )	Описание на риска	Примери:
промени на данните в производственит е ИКТ системи. Лошо проектирани и/или управлявани архитектура на данни, информационни потоци, модели	обосновано естество на манипулациите на данните, извършвани в производството на ИКТ системи. Лошо управляваните архитектури на данни, модели на данни, пренос на данни или речници за данни могат да доведат до различни версии на едни и същи данни във всички ИКТ системи, които вече не са в съответствие поради прилаганите по различен начин модели на данните или определения на данните и/или различия в основните процеси за генериране и промяна на данните.	•	извършват промяна на данните в производствените ИКТ системи по неконтролиран начин — например в случай на инцидент, свързан с ИКТ. Съществуването на различни клиентски бази данни за продукт или на бизнес единица с различни определения за данните и полетата, водещи до несъгласувани и трудни за сравнения интегрирани данни на клиентите на нивото на цялата финансова институция или група.

на данни или речници на данни

Рискове, Неадекватна свързани с устойчивост на изнасянето на услугите на дейности в трети страни или областта на на друга структура от ИКТ. групата	Липса на критични изнесени услуги в областта на ИКТ, телекомуникационните услуги и съоръжения. Загуба или повреда на критични/чувствителни данни, поверени на доставчика на услуги	• • •	Липса на основни услуги в резултат на неизправности на изнесени ИКТ системи или приложения на доставчици. Прекъсване на телекомуникационни връзки. Недостиг на захранване.
Неадекватно управление на изнесените дейности	Значимо влошаване или неизправности на услуги, дължащи се на неефективна готовност или контролни процеси на външния доставчик на услуги. Неефективното управление на изнесените дейности може да доведе до липса на подходящи умения и способности за пълно идентифициране, оценяване, редуциране и наблюдение на рисковете за ИКТ и може да доведе до ограничаване на оперативните способности на институциите.	• •	Лоши процедури за справяне с инциденти, договорни механизми за контрол и гаранции, включени в договора с доставчик на услуги, които увеличават ключовата зависимост от трети страни и търговци. Неподходящите механизми за управление на промяната по отношение на ИКТ средата на доставчик на услуги могат да доведат до значително влошаване или отказ на услуга.
Рискови Рискове за ИКТ категории за (неизчерпателен ИКТ списък¹⁰ )	Описание на риска	Примери:
Неадекватна сигурност на трета страна или на друга структура от групата.	Проникване в ИКТ системи на доставчиците на услуги на трети страни с пряко въздействие изнесените услуги или критични/поверителни данни, съхранявани от доставчика на услугата. Персоналът на доставчика на услуги получава неразрешен достъп до критични/чувствителни данни, съхранявани от доставчика на услугата.	• •	Проникване в системи на доставчиците на услуги от страна на престъпници или терористи като входна точка в ИКТ системи на институциите или с цел достъп/унищожаване на критични или чувствителни данни, съхранявани от доставчика на услугата. Злонамерени „вътрешни лица“ от страна на доставчика на услуги, които се опитват да крадат и продават чувствителни данни.

¹⁰ Рисковете за ИКТ са изброени в рисковата категория, върху която оказват най - голямо - въздействие, но могат да окажат въздействие върху други рискови категории

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани стандарти

2. Идентифицирани изисквания

Изисквания
Източник	Изискване

3. Свързани стандарти

Стандарти
Източник	Изискване

EBA - Published by the European Banking Authority at https://www.eba.europa.eu/