54. V tomto hodnocení by příslušné orgány měly zejména zohlednit, zda tento rámec: a. označuje …

V tomto hodnocení by příslušné orgány měly zejména zohlednit, zda tento rámec:

• a. označuje kritické procesy IKT a příslušné podpůrné systémy IKT, které by měly být součástí plánů zajištění odolnosti a zachování provozu instituce společně:
• i. s komplexní analýzou závislostí mezi kritickými podnikovými procesy a podpůrnými systémy;
• ii. s určením cílů obnovy podpůrných systémů IKT (např. instituce a/nebo předpisy obvykle stanoví RTO a RPO);
• iii. s vhodnými pohotovostními plány, které zajistí dostupnost, kontinuitu a obnovu kritických systémů a služeb IKT s cílem omezit přerušení operací instituce na přijatelnou mez;
• b. obsahuje zásady a standardy pro zajištění odolnosti a kontrolu kontinuity a provozní kontrolní mechanismy, které zahrnují:
• i. opatření, která brání tomu, aby jednotlivé scénáře, mimořádné události nebo katastrofy zasáhly jak produkční tak záložní systémy IKT;
• ii. postupy pro zálohu a obnovu kritického softwaru a dat systémů IKT, které zajišťují, aby se tyto zálohy ukládaly na zabezpečené a dos tatečně vzdálené místo a aby mimořádnou událostí ani katastrofou nemohla být tato kritická data zničena či poškozena;
• iii. monitorovací procesy pro včasné zjištění mimořádných událostí týkajících se dostupnosti a zachování kontinuity IKT;
• iv. zdokumentovaný proces řízení a eskalace mimořádných událostí, který rovněž obsahuje pokyny pro různé úlohy a odpovědnosti v rámci řízení a eskalace mimořádných událostí, členy krizových výborů a hierarchii řízení v případě krizové situace;
• v. fyzická opatření na ochranu kritické infrastruktury IKT instituce (např. datových center) před environmentálními riziky (např. záplavami a jinými přírodními katastrofami) a k zajištění vhodného provozního prostředí pro systémy IKT (např. klimatizace);
• vi. procesy, úlohy a odpovědnosti, které zajistí, aby byly do příslušných řešení a plánů zajištění odolnosti a zachování provozu instituce zahrnuty i externě zajišťované systémy a služby IKT;
• vii. řešení pro plánování a monitorování výkonnosti a kapacity kritických systémů a služeb IKT s vymezenými požad avky na dostupnost, aby bylo možné včas odhalit významná omezení výkonnosti a kapacity;
• viii. řešení na ochranu kritických internetových činností nebo služeb (např. služby elektronického bankovnictví), v nezbytných a vhodných případech, proti útokům typu DoS (odepření služeb) nebo jiným kybernetickým útokům z internetu zaměřeným na odepření nebo narušení přístupu k těmto činnostem nebo službám;
• c. testuje řešení pro zajištění dostupnosti a kontinuity IKT podle řady realistických scénářů včetně kybernetických útoků, testuje převzetí služeb při selhání a zálohy kritického softwaru a dat, přičemž tyto testy:
• i. jsou plánovány, formálně schvalovány a dokumentovány a výsledky testů slouží k posílení účinnosti řešení pro zajištění dostupnosti a kontinuity IKT;
• ii. zahrnují zúčastněné osoby a funkce v organizaci, jako je vedení jednotlivých linií podnikání včetně týmů zodpovědných za zachování provozu instituce a reakci na mimořádné a krizové události, jakož i příslušné zainteresované subjekty z vnějšího prostředí;
• iii. vedoucí orgán a vrcholné vedení jsou patřičným způsobem zapojeny (např. jako součást týmů krizového řízení) a seznámeny s výsledky testů.
• (b) Kontrolní mechanismy pro řízení podstatných rizik spojených se zabezpečením IKT

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

3. Související standardy

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/