54. V tomto hodnocení by příslušné orgány měly zejména zohlednit, zda tento rámec: a. označuje …

V tomto hodnocení by příslušné orgány měly zejména zohlednit, zda tento rámec:

• a. označuje kritické procesy IKT a příslušné podpůrné systémy IKT, které by měly být součástí plánů zajištění odolnosti a zachování provozu instituce společně:
• i. s komplexní analýzou závislostí mezi kritickými podnikovými procesy a podpůrnými systémy;
• ii. s určením cílů obnovy podpůrných systémů IKT (např. instituce a/nebo předpisy obvykle stanoví RTO a RPO);
• iii. s vhodnými pohotovostními plány, které zajistí dostupnost, kontinuitu a obnovu kritických systémů a služeb IKT s cílem omezit přerušení operací instituce na přijatelnou mez;
• b. obsahuje zásady a standardy pro zajištění odolnosti a kontrolu kontinuity a provozní kontrolní mechanismy, které zahrnují:
• i. opatření, která brání tomu, aby jednotlivé scénáře, mimořádné události nebo katastrofy zasáhly jak produkční tak záložní systémy IKT;
• ii. postupy pro zálohu a obnovu kritického softwaru a dat systémů IKT, které zajišťují, aby se tyto zálohy ukládaly na zabezpečené a dos tatečně vzdálené místo a aby mimořádnou událostí ani katastrofou nemohla být tato kritická data zničena či poškozena;
• iii. monitorovací procesy pro včasné zjištění mimořádných událostí týkajících se dostupnosti a zachování kontinuity IKT;
• iv. zdokumentovaný proces řízení a eskalace mimořádných událostí, který rovněž obsahuje pokyny pro různé úlohy a odpovědnosti v rámci řízení a eskalace mimořádných událostí, členy krizových výborů a hierarchii řízení v případě krizové situace;
• v. fyzická opatření na ochranu kritické infrastruktury IKT instituce (např. datových center) před environmentálními riziky (např. záplavami a jinými přírodními katastrofami) a k zajištění vhodného provozního prostředí pro systémy IKT (např. klimatizace);
• vi. procesy, úlohy a odpovědnosti, které zajistí, aby byly do příslušných řešení a plánů zajištění odolnosti a zachování provozu instituce zahrnuty i externě zajišťované systémy a služby IKT;
• vii. řešení pro plánování a monitorování výkonnosti a kapacity kritických systémů a služeb IKT s vymezenými požad avky na dostupnost, aby bylo možné včas odhalit významná omezení výkonnosti a kapacity;
• viii. řešení na ochranu kritických internetových činností nebo služeb (např. služby elektronického bankovnictví), v nezbytných a vhodných případech, proti útokům typu DoS (odepření služeb) nebo jiným kybernetickým útokům z internetu zaměřeným na odepření nebo narušení přístupu k těmto činnostem nebo službám;
• c. testuje řešení pro zajištění dostupnosti a kontinuity IKT podle řady realistických scénářů včetně kybernetických útoků, testuje převzetí služeb při selhání a zálohy kritického softwaru a dat, přičemž tyto testy:
• i. jsou plánovány, formálně schvalovány a dokumentovány a výsledky testů slouží k posílení účinnosti řešení pro zajištění dostupnosti a kontinuity IKT;
• ii. zahrnují zúčastněné osoby a funkce v organizaci, jako je vedení jednotlivých linií podnikání včetně týmů zodpovědných za zachování provozu instituce a reakci na mimořádné a krizové události, jakož i příslušné zainteresované subjekty z vnějšího prostředí;
• iii. vedoucí orgán a vrcholné vedení jsou patřičným způsobem zapojeny (např. jako součást týmů krizového řízení) a seznámeny s výsledky testů.
• (b) Kontrolní mechanismy pro řízení podstatných rizik spojených se zabezpečením IKT

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

3. Související standardy

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.