184. По отношение на риска в областта на ИКТ и сигурността компетентните органи следва да се …

По отношение на риска в областта на ИКТ и сигурността⁵⁵ компетентните органи следва да се уверят, че рамката за управление ще осигури стабилно, надеждно и сигурно функциониране на информационните и комуникационните системи , подпомагащи дейностите на кредитните институции, както и подходяща превенция, наблюдение и редуциране на рисковете за ИКТ в обичайно време и в условията на стрес. Компетентните органи следва да оценят по - специално:

• а. дали ръководният орган носи цялата отговорност за определянето, одобряването и контрола на изпълнението на стратегията на финансовите институции в областта на ИКТ, която следва да бъде съгласувана с цялостната бизнес стратегия на финансовите институции;
• б. ясното определяне и разпределяне на ключови роли и отговорности, както и съответните отчетни линии, за да може рамката за управление на риска в областта на ИКТ и сигурността да бъде ефективна, включително отпускането на подходящ бюджет за адекватно подпомагане на оперативните нужди на ИКТ и управлението на риска в областта на ИКТ и сигурността ;
• в. дали управлението и контролът на рисковете в областта на ИКТ и сигурността са поверени на независима и обективна контролна функция, подходящо отделена от оперативните процеси в областта на ИКТ и която не отговаря за вътрешния одит, както и на независима функция за вътрешен одит;
• г. уредбата, с която се гарантира идентифицирането, установяването и поддържането на актуализирано картографиране на бизнес функциите, ролите и поддържащите процеси, за да се установи значението на всяка от тях и тяхната взаимозависимост във връзка с рисковете в областта на ИКТ и сигурността;
• д. доколкото информацията се съхранява в информационните и комуникационните системи, дали ще бъдат въведени изискванията за информационна сигурност;
• е. мащаба, сложността и значението на свързаните с ИКТ зависимости, ако се предвижда възлагането на външни изпълнители на оперативните функции на ИКТ услугите и всяка дейност на ИКТ системите — включително на субекти от групата — или използването на трети лица във връзка с такива функции и дейности.

⁵⁵ Съгласно определението в Насоките на ЕБО относно управлението на риска в областта на ИКТ и сигурността „риск в областта на ИКТ и сигурността“ означава: „Риск от загуба поради нарушаване на поверителността, нарушение на целостта на системи и данни, неподходящи или неналични системи и данни, или невъзможност за промяна на информационни технологии в приемлив срок и с разумни разходи, когато изискванията на средата или дейността се променят (т.е. бързина на извършване на промяна). Това включва рискове за сигурността, произтичащи от неподходящи или неуспешни вътрешни процеси или външни събития, включително кибератаки или неадекватна физическа сигурност.“

1. Преглед

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани стандарти

2. Идентифицирани изисквания

3. Свързани стандарти

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/