55. Příslušné orgány by měly posoudit, zda má instituce efektivní rámec pro identifikaci, chápání …

Příslušné orgány by měly posoudit, zda má instituce efektivní rámec pro identifikaci, chápání, měření a snižování rizik spojených se zabezpečením IKT. V tomto hodnocení by příslušné orgány měly zejména zohlednit, zda daný rámec bere v potaz:

• a. jasně vymezené role a odpovědnosti, pokud jde o:
• i. osoby a/nebo výbory, které odpovídají za každodenní správu zabezpečení IKT a přípravu zastřešujících zásad zabezpečení IKT, s důrazem na jejich potřebnou nezávislost;
• ii. koncepci, provádění, řízení a monitorování kontrolních mechanismů pro zabezpečení IKT;
• iii. o chranu kritických systémů a služeb IKT například přijetím procesu hodnocení zranitelnosti, správy softwarových aktualizací, ochrany koncových bodů (např. proti škodlivému softwaru), nástrojů na detekci a prevenci neoprávněného průniku;
• iv. monitorování, klasifikaci a zpracování externích nebo interních mimořádných událostí v rámci zabezpečení IKT; včetně reakce na mimořádné události a opětovného zprovoznění a obnovy systémů a služeb IKT;
• v. pravidelné a proaktivní hodnocení hrozeb s cílem udržet kontrolní mechanismy zabezpečení v řádném stavu;
• b. zásady zabezpečení IKT, které zohledňují a ve vhodných případech také dodržují mezinárodně uznávané standardy a principy zabezpečení IKT (např. princip nejnižších možných oprávnění, to znamená omezení přístupu na minimální úroveň, která umožní běžné fungování správy přístupových práv, a princip „hloubkové ochrany“, tzn. že vrstvené bezpečnostní mechanismy posilují zabezpečení systému jako celku při navrhování architektury zabezpečení);
• c. proces identifikace systémů a služeb IK T a úměrné bezpečnostní požadavky odrážející potenciální riziko podvodů a/nebo možného nesprávného užití a/nebo zneužití důvěrných údajů spolu se zdokumentovanými bezpečnostními předpoklady, které tyto identifikované systémy, služby a data IKT musí splňovat, v souladu s rizikovou tolerancí instituce, a které musí být monitorovány z hlediska jejich správného provádění;
• d. zdokumentovaný proces řízení a eskalace mimořádných událostí v oblasti zabezpečení, který obsahuje pokyny pro různé úlohy a odpovědnosti v rá mci řízení a eskalace mimořádných událostí, členy krizových výborů a hierarchií řízení v případě krizových situací;
• e. protokolování činnosti uživatelů a administrátorů, které umožní efektivněji monitorovat a včas detekovat neoprávněnou aktivitu a reagovat na ni; pro účely asistence při forenzním šetření mimořádných událostí v oblasti bezpečnosti nebo pro účely provádění tohoto šetření. Instituce by měla mít zavedeny zásady protokolování, které vymezí patřičné druhy záznamů, jež mají být uchovávány, a také dob u, po kterou mají být uchovávány;
• f. povědomí a informační kampaně nebo iniciativy, které všechny úrovně instituce seznámí s bezpečným používáním a ochranou systémů IKT instituce a s hlavními bezpečnostními (i jinými) riziky IKT, o nichž by tito pracovníci měli vědět, zejména v souvislosti se stávajícími i rozvíjejícími se kybernetickými hrozbami (např. počítačové viry, možné interní nebo externí zneužití či útoky, kybernetické útoky) a jejich vlastní úlohou při omezování porušení zabezpečení;
• g. odpovídající fyzická bezpečnostní opatření (např. průmyslové kamery, poplašné zařízení, bezpečnostní dveře), která zabrání neoprávněnému fyzickému přístupu ke kritickým a citlivým systémům IKT (např. datovým centrům);
• h. opatření chránící systémy IKT před útoky z internetu (tzn. kybernetickými útoky) nebo jiných externích sítí (např. tradiční telekomunikační připojení nebo propojení s důvěryhodnými partnery); příslušné orgány by měly přezkoumat, zda rámec instituce zohledňuje:
• i. proces a řešení k udržování kompletního aktualizovaného inventáře a přehledu všech vnějších hraničních bodů síťového připojení (např. internetových stránek, internetových aplikací, Wi - Fi, vzdáleného přístupu), přes něž by mohly třetí strany prolomit interní systémy IKT;
• ii. přísně řízená a monitorovaná bezp ečnostní opatření (např. firewally, proxy servery, přenos pošty, antiviry a skenery obsahu) pro zabezpečení příchozího i odchozího síťového provozu (např. elektronické pošty) a vnějších hraničních síťových připojení, přes něž by mohly třetí strany prolomit interní systémy IKT;
• iii. procesy a řešení pro zabezpečení internetových stránek a aplikací, které mohou být přímo napadeny z internetu a/nebo zvenčí a které by mohly sloužit jako vstupní bod do interních systémů IKT; obecně sem patří kombinace uznávaných postupů pro vývoj zabezpečení, postupů pro posílení systémů IKT a skenování slabin a realizace doplňkových bezpečnostních řešení, například používání firewallů a/nebo systémů pro odhalování neoprávněného průniku (IDS) a/nebo prevenci neoprávněného průniku (IPS);
• iv. pravidelné bezpečnostní penetrační testy, které slouží k posouzení účinnosti prováděných opatření a procesů v rámci kybernetického a interního zabezpečení IKT; tyto testy by měli provádět pracovníci a/nebo externí specialisté, kteří mají potřebné odborné znalosti, přičemž by se výsledky a závěry testů měly dokumentovat a vykazovat vrcholnému vedení a/nebo vedoucímu orgánu; v případě potřeby a použitelnosti by instituce při těchto testech měla zjistit, zda je třeba dále zdokonalovat bezpečnostní kontrol y a procesy a/nebo získat lepší ujištění o jejich efektivitě.
• (c) Kontrolní mechanismy pro řízení podstatných rizik změn IKT

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

3. Související standardy

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/