55. Příslušné orgány by měly posoudit, zda má instituce efektivní rámec pro identifikaci, chápání …

Příslušné orgány by měly posoudit, zda má instituce efektivní rámec pro identifikaci, chápání, měření a snižování rizik spojených se zabezpečením IKT. V tomto hodnocení by příslušné orgány měly zejména zohlednit, zda daný rámec bere v potaz:

• a. jasně vymezené role a odpovědnosti, pokud jde o:
• i. osoby a/nebo výbory, které odpovídají za každodenní správu zabezpečení IKT a přípravu zastřešujících zásad zabezpečení IKT, s důrazem na jejich potřebnou nezávislost;
• ii. koncepci, provádění, řízení a monitorování kontrolních mechanismů pro zabezpečení IKT;
• iii. o chranu kritických systémů a služeb IKT například přijetím procesu hodnocení zranitelnosti, správy softwarových aktualizací, ochrany koncových bodů (např. proti škodlivému softwaru), nástrojů na detekci a prevenci neoprávněného průniku;
• iv. monitorování, klasifikaci a zpracování externích nebo interních mimořádných událostí v rámci zabezpečení IKT; včetně reakce na mimořádné události a opětovného zprovoznění a obnovy systémů a služeb IKT;
• v. pravidelné a proaktivní hodnocení hrozeb s cílem udržet kontrolní mechanismy zabezpečení v řádném stavu;
• b. zásady zabezpečení IKT, které zohledňují a ve vhodných případech také dodržují mezinárodně uznávané standardy a principy zabezpečení IKT (např. princip nejnižších možných oprávnění, to znamená omezení přístupu na minimální úroveň, která umožní běžné fungování správy přístupových práv, a princip „hloubkové ochrany“, tzn. že vrstvené bezpečnostní mechanismy posilují zabezpečení systému jako celku při navrhování architektury zabezpečení);
• c. proces identifikace systémů a služeb IK T a úměrné bezpečnostní požadavky odrážející potenciální riziko podvodů a/nebo možného nesprávného užití a/nebo zneužití důvěrných údajů spolu se zdokumentovanými bezpečnostními předpoklady, které tyto identifikované systémy, služby a data IKT musí splňovat, v souladu s rizikovou tolerancí instituce, a které musí být monitorovány z hlediska jejich správného provádění;
• d. zdokumentovaný proces řízení a eskalace mimořádných událostí v oblasti zabezpečení, který obsahuje pokyny pro různé úlohy a odpovědnosti v rá mci řízení a eskalace mimořádných událostí, členy krizových výborů a hierarchií řízení v případě krizových situací;
• e. protokolování činnosti uživatelů a administrátorů, které umožní efektivněji monitorovat a včas detekovat neoprávněnou aktivitu a reagovat na ni; pro účely asistence při forenzním šetření mimořádných událostí v oblasti bezpečnosti nebo pro účely provádění tohoto šetření. Instituce by měla mít zavedeny zásady protokolování, které vymezí patřičné druhy záznamů, jež mají být uchovávány, a také dob u, po kterou mají být uchovávány;
• f. povědomí a informační kampaně nebo iniciativy, které všechny úrovně instituce seznámí s bezpečným používáním a ochranou systémů IKT instituce a s hlavními bezpečnostními (i jinými) riziky IKT, o nichž by tito pracovníci měli vědět, zejména v souvislosti se stávajícími i rozvíjejícími se kybernetickými hrozbami (např. počítačové viry, možné interní nebo externí zneužití či útoky, kybernetické útoky) a jejich vlastní úlohou při omezování porušení zabezpečení;
• g. odpovídající fyzická bezpečnostní opatření (např. průmyslové kamery, poplašné zařízení, bezpečnostní dveře), která zabrání neoprávněnému fyzickému přístupu ke kritickým a citlivým systémům IKT (např. datovým centrům);
• h. opatření chránící systémy IKT před útoky z internetu (tzn. kybernetickými útoky) nebo jiných externích sítí (např. tradiční telekomunikační připojení nebo propojení s důvěryhodnými partnery); příslušné orgány by měly přezkoumat, zda rámec instituce zohledňuje:
• i. proces a řešení k udržování kompletního aktualizovaného inventáře a přehledu všech vnějších hraničních bodů síťového připojení (např. internetových stránek, internetových aplikací, Wi - Fi, vzdáleného přístupu), přes něž by mohly třetí strany prolomit interní systémy IKT;
• ii. přísně řízená a monitorovaná bezp ečnostní opatření (např. firewally, proxy servery, přenos pošty, antiviry a skenery obsahu) pro zabezpečení příchozího i odchozího síťového provozu (např. elektronické pošty) a vnějších hraničních síťových připojení, přes něž by mohly třetí strany prolomit interní systémy IKT;
• iii. procesy a řešení pro zabezpečení internetových stránek a aplikací, které mohou být přímo napadeny z internetu a/nebo zvenčí a které by mohly sloužit jako vstupní bod do interních systémů IKT; obecně sem patří kombinace uznávaných postupů pro vývoj zabezpečení, postupů pro posílení systémů IKT a skenování slabin a realizace doplňkových bezpečnostních řešení, například používání firewallů a/nebo systémů pro odhalování neoprávněného průniku (IDS) a/nebo prevenci neoprávněného průniku (IPS);
• iv. pravidelné bezpečnostní penetrační testy, které slouží k posouzení účinnosti prováděných opatření a procesů v rámci kybernetického a interního zabezpečení IKT; tyto testy by měli provádět pracovníci a/nebo externí specialisté, kteří mají potřebné odborné znalosti, přičemž by se výsledky a závěry testů měly dokumentovat a vykazovat vrcholnému vedení a/nebo vedoucímu orgánu; v případě potřeby a použitelnosti by instituce při těchto testech měla zjistit, zda je třeba dále zdokonalovat bezpečnostní kontrol y a procesy a/nebo získat lepší ujištění o jejich efektivitě.
• (c) Kontrolní mechanismy pro řízení podstatných rizik změn IKT

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

3. Související standardy

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.