3.2 Identifikace podstatných rizik IKT

Příslušné orgány by měly identifikovat podstatná rizika IKT, kterým instituce čelí nebo může čelit, podle postupu uvedeného níže.

3.2.1 Přezkoumání rizikového profilu IKT instituce

Při přezkoumání rizikového profilu IKT instituce by příslušné orgány měly zvážit veškeré relevantní informace o expozici instituce rizikům IKT, včetně informací uvedených v odstavci 37 a zjištěných podstatných nedostatků a slabin v organizaci IKT i kontrolních mechanismech celé instituce podle hlavy 2 těchto obecných pokynů, a ve vhodných případech by tyto informace měly přiměřeně přezkoumat. V rámci přezkoumání by příslušné orgány měly vzít v úvahu:

• a. možný dopad významného narušení systémů IKT instituce na celý finanční systém na tuzemské i mezinárodní úrovni;
• b. zda může být instituce kvůli závislosti na internetu, rozsáhlému přijímání inovativních řešení v oblasti IKT nebo jiným firemním distribučním kanálům, díky nimž se pravděpodobněji stane cílem kybernetických útoků, vystavena rizikům souvisejícím se zabezpečením nebo dostupností a kontinuitou IKT;
• c. zda nemůže být instituce více vystavena rizikům souvisejícím se zabezpečením IKT, dostupností a kontinuitou IKT, integritou dat IKT nebo se změnou IKT kvůli složitosti (např. při fúzích a akvizicích) nebo zastaralosti svých systémů IKT;
• d. zda instituce provádí podstatné změny svých systémů IKT a/nebo funkcí IKT (např. při fúzích, akvizicí ch, divesticích nebo výměně klíčových systémů IKT), které by mohly nepříznivě ovlivnit stabilitu nebo řádné fungování systémů IKT a mohly by vyvolat podstatné riziko, pokud jde
• o dostupnost, kontinuitu, zabezpečení nebo změnu IKT nebo integritu dat IKT;
• e. zd a instituce zajišťuje služby nebo systémy IKT externě, v rámci skupiny nebo mimo ni, což může instituci vystavit podstatným rizikům spojeným s externím zajištěním IKT;
• f. zda instituce provádí opatření, která agresivně snižují náklady na IKT, což může vést k omezení potřebných investic do IKT, prostředků a informačních kompetencí a zvýšit expozici všem druhům rizik IKT v klasifikaci;
• g. zda umístění důležitých provozních / datových center IKT (např. regiony, země) může instituci vystavit přírodním katastrofám (např. záplavám, zemětřesením), politické nestabilitě nebo pracovním konfliktům a občanským nepokojům, což může vést k podstatnému zvýšení rizik týkajících se dostupnosti, kontinuity a zabezpečení IKT.

3.2.2 Přezkoumání kritických systémů a služeb IKT

Příslušné orgány by v rámci procesu identifikace rizik IKT s možným významným obezřetnostním dopadem na instituci měly přezkoumat dokumentaci instituce a rozhodnout o tom, které systémy a služby IKT jsou kritické pro řádné fungování, dostupnost, kontinuitu a zabezpe čení základních činností instituce.

Za tímto účelem by příslušné orgány měly přezkoumat metodiku a procesy, které instituce používá k identifikaci kritických systémů a služeb IKT, s přihlédnutím k tomu, že některé systémy a služby IKT může instituce považo vat za kritické z hlediska zachování provozu instituce a dostupnosti, zabezpečení (např. prevence podvodů) a/nebo utajení (např. důvěrných dat). Při provádění přezkoumání by měly příslušné orgány vzít v úvahu, že by kritické systémy a služby IKT měly splňovat alespoň jednu z následujících podmínek:

• a. podporují klíčové obchodní operace a distribuční kanály (např. bankomaty, internetové a mobilní bankovnictví) instituce;
• b. podporují základní procesy systému řízení a kontroly a podnikové funkce, včetně řízení rizik (např. systémy pro řízení rizik a správu pokladny);
• c. vztahují se na ně zvláštní zákonné nebo regulatorní požadavky (pokud jsou), které v souvislosti s některými systémově důležitými službami (připadají - li v úvahu) kladou zvýšené nároky na dostupnost, odolnost, důvěrnost nebo zabezpečení (např. zákony o ochraně osobních údajů nebo případné cílové doby obnovy (RTO, tedy maximální doba nutná pro obnovení systému nebo procesu po mimořádné události) a cílové body obnovy (RPO, tedy maximální doba, za kterou mohou být v případě mimořádné události data ztracena);
• d. zpracovávají nebo ukládají důvěrná nebo citlivá data, která by v případě neoprávněného přístupu mohla významně ovlivnit reputaci, finanční výsledky nebo spolehlivost a kontinuitu podnikání instituce (n apř. databáze s citlivými údaji o zákaznících); a/nebo
• e. poskytují základní liniové funkce, které jsou životně důležité pro řádné fungování instituce (např. služby zajišťující telekomunikaci a konektivitu, služby IKT a služby kybernetického zabezpečení).

3.2.3 Identifikace podstatných rizik IKT u kritických systémů a služeb IKT

Příslušné orgány by si s přihlédnutím k provedeným přezkoumáním rizikového profilu IKT a kritických systémů a služeb IKT instituce, zmiňovaným výše, měly utvořit názor na podstatná rizika IK T, která mohou mít v rámci posouzení ze strany orgánu dohledu významný obezřetnostní dopad na kritické systémy a služby IKT instituce.

Při posuzování potenciálního dopadu rizik IKT na kritické systémy a služby IKT instituce by příslušné orgány měly vzít v úvahu:

• a. finanční dopad, včetně (mimo jiné) ztráty finančních prostředků nebo aktiv, případných kompenzací pro zákazníky, právních nákladů a nákladů na nápravné prostředky, smluvní náhrady škody, ušlého zisku;
• b. možné přerušení obchodní činnosti, s ohledem (mimo jiné) na kritickou povahu dotčených finančních služeb; počet zákazníků a/nebo poboček a zaměstnanců, kteří mohou být dotčeni;
• c. potenciální dopad na reputaci instituce na základě kritické povahy dotčené bankovní služby nebo provozní činnosti (např. odcizení údajů o zákaznících); externí profil/viditelnost dotčených systémů a služeb IKT (např. mobilních nebo on - line bankovních systémů, prodejních míst, bankomatů nebo platebních systémů);
• d. regulatorní dopad, včetně případného veřejného napomenutí ze strany regulátora, pokuty nebo dokonce změny povolení;
• e. strategický dopad na instituci, například při zneužití nebo zcizení strategického produktu nebo obchodních plánů.

Příslušné orgány by následně měly identifikovaná rizika IKT považovaná za podstatná zařadit do následujících kategorií rizik IKT. Rizika jsou blíže popsána spolu s příklady v příloze. Příslušné orgány by měly v rámci hodnocení podle hlavy 3 reagovat na rizika IKT uvedená v příloze:

• a. riziko spojené s dostupností a zachováním kontinuity IKT
• b. riziko spo jené se zabezpečením IKT
• c. riziko spojené se změnou IKT
• d. riziko ohrožení integrity dat IKT
• e. riziko spojené s externím zajištěním IKT

Přiřazení rizik do jednotlivých kategorií má příslušným orgánům pomoci určit, která rizika jsou podstatná (pokud vůbec) a měla by být proto podrobena širšímu a/nebo hlubšímu přezkoumání v dalších etapách hodnocení.