+3.4 Souhrn zjištění a bodové hodnocení
---+61. Příslušné orgány by si měly na základě výše uvedeného posouzení utvořit názor o rizicích IKT …
---+62. Pokud příslušné orgány považují riziko IKT za podstatné a rozhodnou se jej posuzovat a hodnotit …
---+Příloha – Klasifikace rizik IKT

3.4 Souhrn zjištění a bodové hodnocení

3.4 Souhrn zjištění a bodové hodnocení

1. Přehled

,
61. Příslušné orgány by si měly na základě výše uvedeného posouzení utvořit názor o rizicích IKT …

Příslušné orgány by si měly na základě výše uvedeného posouzení utvořit názor o rizicích IKT instituce. Tento názor by se měl promítnout do souhrnu zjištění, která by příslušné orgány měly zohlednit při přidělování skóre operačnímu riziku v tabulce č. 6 Obecných pokynů orgánu EBA k proc esu přezkoumání a vyhodnocení. Příslušné orgány by měly své stanovisko založit na podstatných rizicích IKT s přihlédnutím k následujícím posuzovaným faktorům a ty zohlednit v hodnocení operačního rizika:

  • a. Posuzované rizikové faktory
  • i. rizikový profil IKT a expozice instituce;
  • ii. identifikované kritické systémy a služby IKT; a
  • iii. podstatnost rizika IKT z hlediska kritických systémů IKT.
  • b. Posuzované faktory v oblasti řízení a kontrolních mechanismů
  • i. zda jsou zásady a strategie řízení rizik IKT instituce v souladu s její celkovou strategií a ochotou podstupovat riziko;
  • ii. zda je organizační rámec řízení rizik IKT stabilní, zda vlastníkům rizik a řídicím a kontrolním funkcím jasně vymezuje odpovědnosti a zda zřetelně odděluje jejich úlohy;
  • iii. zda jsou systémy pro měření, m onitorování a vykazování rizik IKT přiměřené; a
  • iv. zda jsou rámce kontroly podstatných rizik IKT důkladné.
62. Pokud příslušné orgány považují riziko IKT za podstatné a rozhodnou se jej posuzovat a hodnotit …

Pokud příslušné orgány považují riziko IKT za podstatné a rozhodnou se jej posuzovat a hodnotit jako dílčí kategorii operačního rizika, poskytuje jim níže uvedená tabulka (tabulka č. 1) faktory, které by měly při bodovém hodnocení rizik IKT zvážit.

Tabulka č. 1: Faktory, které orgány dohledu zohlední při určování skóre rizik IKT

Skóre Názor orgánů Posuzované faktory u inherentního Posuzované faktory rizika dohledu rizika u přiměřeného řízení

1 Vzhledem k úrovni • inherentního rizika a k řízení a kontrolním mechanismům • neexistuje zjistitelné riziko významného obezřetnostního dopadu na instituci. 2 Vzhledem k úrovni • inherentního rizika a k řízení a kontrolním mechanismům • existuje nízkéa kontrolních mechanismů Zdroje informací zohledněné v souladu s odstavcem 37 neodhalily žádné významné expozice rizikům IKT. Povaha rizikového profilu IKT instituce ani přezkoumání kritických systémů IKT a podstatných rizik systémů a služeb IKT neodhalily žádné podstatné riziko IKT. Zdroje informací zohledněné v souladu s odstavcem 37 neodhalily žádné významné expozice rizikům IKT. Povaha rizikového profilu IKT • Zásady a strategie instituce instituce, spolu s přezkoumáním v oblasti rizik IKT je
zjistitelné riziko významného obezřetnostního dopadu na instituci.kritických systémů IKT v souladu s její celkovou a podstatných rizik systémů strategií a ochotou a služeb IKT, odhalily jen omezenou podstupovat riziko. expozici rizikům IKT (např. pouze • Organizační rámec řízení ve 2 z 5 předem stanovených rizik IKT je stabilní, kategorií rizik IKT). vlastníkům rizik a řídicím
3 Vzhledem k úrovni • inherentního rizika a k řízení a kontrolním mechanismům • existuje středně vysoké riziko významného obezřetnostního dopadu na instituci.Zdroje informací zohledněné a kontrolním funkcím jasně v souladu s odstavcem 37 odhalily vymezuje odpovědnosti náznaky možné významné expozice a zřetelně odděluje jejich rizikům IKT. úlohy. Povaha rizikového profilu IKT • Systémy pro měření, instituce, spolu s přezkoumáním monitorování a vykazování kritických systémů IKT rizik IKT jsou přiměřené. a podstatných rizik systémů • Rámec kontroly rizik IKT je a služeb IKT, odhalily zvýšenou důkladný. expozici rizikům IKT (např. nejméně ve 3 z 5 předem stanovených kategorií rizik IKT).
4 Vzhledem k úrovni • inherentního rizika a k řízení a kontrolním mechanismům • existuje vysoké zjistitelné riziko významného obezřetnostního dopadu na instituci.Zdroje informací zohledněné v souladu s odstavcem 37 odhalily četné náznaky možné významné expozice rizikům IKT. Povaha rizikového profilu IKT instituce, spolu s přezkoumáním kritických systémů IKT a podstatných rizik systémů a služeb IKT, odhalily vysokou expozici rizikům IKT (např. ve 4 až 5 z 5 předem stanovených kategorií rizik IKT).
Příloha – Klasifikace rizik IKT

5 kategorií rizik IKT s demonstrativním výčtem rizik IKT, která mají potenciálně vysoce závažné dopady a/nebo dopady na operace, reputaci nebo finance instituce

Kategorie rizik Rizika IKT (demonstrativníIKT výčet10 )Popis rizikPříklady
Rizika spojená Nedostatečné s dostupností řízení a zachováním kontinuity IKTkapacitNedostatek prostředků (např. hardwaru, softwaru, personálu, poskytovatelů služeb) může vést k neschopnosti škálovat službu podle podnikových potřeb, k narušení systémů, snížení výkonnosti služby a/nebo k chybné obsluze.• •Nedosta tečná kapacita může ovlivnit přenosovou rychlost a dostupnost sítě (internetu) pro služby jako je internetové bankovnictví. Nedostatek pracovníků (interních nebo třetích stran) může vést k narušení systému a/nebo k chybné obsluze.
Selhání IKTsystémůZtráta dostupnosti kvůli selháním hardwaru. Ztráta dostupnosti kvůli selháním a chybám softwaru.• • •Selhání / špatné fungování úložišť (pevných disků), serverů nebo jiného vybavení IKT způsobené například nedostatečnou údržbou. Zacyklení aplikačního softwaru brání provedení transakce. Výpadky kvůli neustálému používání zastaralých systémů a řešení IKT, které už nesplňují aktuální požadavky na dostupnost a odolnost a/nebo již nejsou ze strany prodejců podporovány.
Nevhodné na zajištění kontinuity a obnovy po katastrofě Rušivé kyberneticképlány IKT a ničivéSelhání řešení v oblasti zajištění plánované dostupnosti a/nebo kontinuity IKT a/nebo jejich obnovy po katastrofě (např. nouzová obnova datového centra) při jejich aktivaci v rámci reakce na mimořádnou událost. Útoky za různým účelem (např. aktivismus, vydírání), které mohou přetížit systémy i síť a znemožnit• •Rozdíly v konfiguraci primárního a sekundárního datového centra mohou vést k tomu, že nouzové datové centrum nedokáže plánovanou kontinuitu služby zajistit. Distribuované útoky s cílem odepření služeb (DoS) probíhají na internetu za použití množství

10 Rizika IKT jsou uvedena v kategorii rizik, na níž mají největší dopad, mohou však mít dopad i na jiné kategorie

Kategorie rizik Rizika IKT (demonstrativníIKT výčet10 )Popis rizikPříklady
útokylegitimním uživatelům přístup k on- line počítačové službě.počítačových systémů, které hacker ovládá a jejichž prostřednictvím odesílá velký počet podle všeho legitimních požadavků na internetové služby (např. elektronické bankovnictví).
Rizika spojená Kybernetické se útoky zabezpečením rizika IKT IKTa další externíchÚtoky z internetu nebo vnějších sítí za různým účelem (např. podvod, špionáž, aktivismus/sabotáž, kybernetický terorismus) prováděné pomocí rozmanitých technik (např. sociální inženýrství, pokusy o narušení zneužitím slabin, nasazením škodlivého softwaru), jejichž výsledkem je převzetí kontroly nad interními systémy IKT. Realizace podvodných transakcí poté, co hacker prolomí nebo obejde zabezpečení elektronického bankovnictví a platebních služeb a/nebo napadne a zneužije slabá místa zabezpečení interních platebních systémů instituce. Provádění podvodných transakcí s cennými papíry poté, co hacker prolomí nebo obej de zabezpečení elektronického bankovnictví a získá současně přístup také k účtům s cennými papíry zákazníka. Útoky na komunikační připojení a konverzace všeho druhu nebo systémů IKT s cílem získat informace a/nebo spáchat podvod.Různé • • • • • • • •druhy útoků: Pokročilá trvalá hrozba (Advanced Persistent Threat – APT) převzetí kontroly nad interními systémy nebo odcizení informací (např. krádež informací o identitě, o kreditních kartách). Škodlivý software (např. ransomware), který zašifruje data s cílem vydírat jejich majitele. Infikování interních systémů IKT trojskými viry, které umožní v systému skrytě provádět vadné akce. Zneužití slabin systémů IKT a/nebo (webových) aplikací (např. prolomení SQL) s cílem získat přístup do interního systému IKT. Útoky na elektronické bankovnictví nebo platební služby s cílem uskutečnit neoprávněnou transakci. Vytváření a odesílání podvodných platebních transakcí z interních platebních systémů instituce (např. podvodné swiftové zprávy). Útoky typu „pump and dump“, kdy útočníci získají přístup k účtům cenných papírů v elektronickém bankovnictví zákazníka a zadávají podvodné příkazy k nákupu nebo prodeji, aby ovlivnili tržní cenu cenných papíru a/nebo vydělali na pozicích, kterých cenné papíry dříve dosáhly. Sledování/zachycování nechráněných přenosů autentizačních dat v prostém textu.
Kategorie rizik Rizika IKT (demonstrativníIKT výčet10 )Popis rizikPříklady
Nevhodné zabezpečení interníchIKTZískání neoprávněného přístupu ke kritickým systémům IKT zevnitř instituce k různým účelům (např. podvod, provádění a zamaskování nedovolen ého obchodování, odcizení dat, aktivismus/sabotáž) různými technikami (např. zneužití a/nebo eskalace privilegií, krádež identity, sociální inženýrství, zneužití slabin systémů IKT, nasazení škodlivého softwaru). Neoprávněná manipulace s IKT díky nevhodným postupům a praktikám řízení přístupu k IKT. Bezpečnostní hrozby vlivem nízké informovanosti o zabezpečení, kdy zaměstnanci nechápou, opomíjí nebo nedodržují zásady a postupy zabezpečení IKT.• • • • • • • •Instalace softwaru, který zaznamenává stisk nuté klávesy (tzv. key stroke logger nebo key logger), s cílem ukrást identifikační údaje a hesla uživatele a získat tak neoprávněný přístup k důvěrným datům a/nebo spáchat podvod. Prolomení/rozluštění slabých hesel s cílem získat nelegitimní nebo vyšší př ístupová práva. Systémový administrátor použije operační systémy a databázové utility (k přímé modifikaci databází) ke spáchání podvodu. Opomenutí deaktivovat nebo smazat nepotřebné účty, například účty pracovníků, kteří změnili funkci a/nebo z instituce odešli, včetně hostů nebo dodavatelů, kteří přístup již nepotřebují, a s tím související umožnění neoprávněného přístupu do systémů IKT. Udělení zbytečně rozsáhlých přístupových práv a privilegií a s tím související umožnění neoprávněného přístupu a/nebo zakrytí nedovolených činností. Zaměstnanci, kteří v mylné představě napomáhají útoku (tzn. sociální inženýrství). Špatné postupy v oblasti přihlašovacích údajů: sdílení hesel, používání snadno rozluštitelných hesel, používání stejného hesla k mnoha různým účelům apod. Ukládání nezašifrovaných důvěrných dat do notebooků a na přenosná úložiště (např. USB flash disky), která mohou být ztracena nebo odcizena.
Kategorie rizik Rizika IKT (demonstrativníIKT výčet10 )Popis rizik Neoprávněné ukládání nebo přenos důvěrných informací mimo instituci.Příklady •Osoby, které odcizí nebo úmyslně vyzradí nebo vynesou důvěrné informace nepovolaným osobám nebo veřejnosti.
Nevhodné zabezpečenífyzické IKTZneužití nebo odcizení aktiv IKT prostřednictvím fyzického přístupu a způsobení škody, ztráty aktiv nebo dat nebo umožnění dalších hrozeb. Úmyslné nebo náhodné poškození fyzických aktiv IKT v důsledku terorismu, nehod nebo nešťastné/nesprávné manipulace ze strany pracovníků instituce a/nebo třetích stran (dodavatelů, opravářů). Nedostatečná fyzická ochrana proti přírodním katastrofám, která má za následek částečné nebo úplné zničení systémů IKT / datových center při živelné pohromě.• • • •Fyzické vloupání do kancelářských budov a/nebo datových center s cílem odcizit vybavení IKT (např. počítače, notebooky, úložiště) a/nebo zkopírovat data při fyzickém přístupu do systémů IKT. Fyzický terorismus (tzn. teroristické bombové útoky) nebo sabotáž aktiv IKT. Zničení datového centra při požáru, úniku vody nebo jiných okolnostech. Zemětřesení, extrémně vysoké teploty, vichřice, siné vánice, záplavy, požár, zásah bleskem.
Rizika spojená Nevhodné se změnou IKT mechanismy kontroly systémů a vývojezměn IKT IKTMimořádné události vyvolané neodhalenými chybami nebo slabinami vzniklými při změně (např. nepředvídané vlivy změny nebo špatně řízená změna vlivem nedo statečného testování nebo nevhodných postupů řízení změn) například softwaru, systémů IKT nebo dat.• • • • •Uvolnění nedostatečně otestovaných změn softwaru nebo konfigurace do produkčního prostředí s nečekaně nepříznivými dopady na data (např. poškození, výmaz) a/nebo výkonnost systémů IKT (např. pád systému, pokles výkonnosti). Nekontrolované změny systémů IKT nebo dat v produkčním prostředí. Uvolnění špatně zabezpečených systémů IKT a internetových aplikací do produkčního prostředí a vytvoření příležitostí pro útoky hackerů na poskytované internetové služby a/nebo k prolomení interních systémů IKT. Nekontrolované změny zdrojového kódu interně vyvíjeného softwaru. Nedostatečné testování bez vhodných testovacích prostředí.
Kategorie rizik Rizika IKT (demonstrativníIKT výčet10 )Popis rizikPříklady
Nevhodná architekturaIKTŠpatná správa architektury IKT při navrhování, tvorbě a údržbě systémů IKT (např. softwaru, hardwaru, dat) může časem vést k vytvoření spletitých, složitých, z hlediska nákladů na správu náročných a nepružných systémů IKT, které nadále nevyhovují potřebám instituce a n edostačují skutečným požadavkům na řízení rizik.• •Nevhodně řízené změny systémů IKT, softwaru a/nebo dat po delší dobu, které vyústí ve složitou, nerovnoměrnou a obtížnou správu systémů a architektury IKT s mnoha negativními dopady na řízení obchodní činnos ti i rizik (např. nedostatečná flexibilita a odezva, nehody a selhání IKT, vysoké provozní náklady, oslabené zabezpečení a odolnost IKT, zhoršená kvalita dat a snížená schopnost podávat zprávy). Nadměrné úpravy a rozšíření komerčních softwarových sad interně vyvíjeným softwarem, které znemožní implementaci v budoucnu vydaných verzí a upgradů daného komerčního softwaru a ohrozí tak poskytování podpory ze strany prodejce.
Nevhodné životního a aktualizacířízení cykluNeschopnost vést patřičnou evidenci všech aktiv IKT na podporu řádných postupů řízení životního cyklu a aktualizací a v kombinaci s nimi. Výsledkem jsou nedostatečně aktualizované (a tím pádem náchylnější) a zastaralé systémy IKT, které nemusí odpovídat potřebám řízení obchodní činnosti a rizik.•Neaktualizované a zastaralé systémy IKT, které mohou nepříznivě ovlivňovat řízení obchodní činnosti i rizik (např. nedostatečná flexibilita a odezva, výpadky IKT, oslabené zabezpečení a odolnost IKT).
Rizika ohrožení Nefunkční integrity dat IKT zpracování IKT nebo manipulacedat s nimiData mohou být vlivem chyb nebo selhání systémů, komunikace a/nebo aplikací, nebo nesprávně provedeného procesu jejich extrakce, transformace a naplnění (ETL) poškozena nebo ztracena.• • •Chyba informačního systému při d ávkovém zpracování, která vede k nesprávným zůstatkům na bankovních účtech klientů. Špatně provedené dotazy. Ztráta dat kvůli chybě při jejich replikaci (zálohování).
Špatně kontrolní mechanismy validacinavržené pro datChyby související s chybějícími nebo neúčinnými mechanismy kontroly automatizovaných datových vstupů a jejich akceptace (např. při využití dat třetí strany), přenosu dat, zpracování a výstupů v systémech• •Nedosta tečné nebo neplatné formátování/ověřování datových vstupů v aplikacích a uživatelských rozhraních. Absence kontrolních mechanismů pro srovnávání
Kategorie rizik Rizika IKT (demonstrativníIKT výčet10 )Popis rizikPříklady
v systémechIKTIKT (např. kontrola validity vstupních dat, srovnávání dat).• •dat ve vytvořených výstupech. Absence kontrolních mechanismů v procesech extrakce dat (např. databázových dot azech) mající za následek nepřesná data. Použití chybných externích dat.
Špatně kontrolované změny v produkčních systémech Špatně a/nebo spravovaná architektura datov datové nebo slovníky Rizika spojená Nedostatečná s externím odolnost zajištěním IKT třetí jiného skupiny Nevhodný řízení externího zajištěnídat IKT. navržená dat, é toky, modely datové služeb strany nebo subjektu systém a kontrolyZadání chybných dat kvůli nedostatku mechanismů pro kontrolu správnosti a oprávněnosti manipulace s daty v produkčních systémech IKT. Špatně spravovaná architektura dat, datové modely, datové toky nebo datové slovníky mohou zapříčinit vznik několika verzí stejných dat v systémech IKT, které již dále nejsou kvůli rozdílně aplikovaným datovým mode lům nebo definicím konzistentní, a/nebo rozdílů v základních procesech tvorby a změn dat. Nedostupnost kritických externě zajišťovaných služeb IKT, telekomunikačních služeb a technické infrastruktury. Ztráta nebo poškození kritických/citlivých dat svěřených poskytovateli služeb. Závažné snížení výkonnosti nebo selhání služeb kvůli nedostatečné připravenosti nebo kontrolním procesům poskytovatel e externě zajišťovaných služeb. Neúčinný systém řízení a kontroly externího zajištění může vést k nedostatku vhodných schopností a kapacit k úplné identifikaci, hodnocení, snižování a monitorování rizik IKT a může omezit operační schopnosti.• • • • • • •Vývojáři nebo administrátoři databází, kteří mají nekontrolovaný přímý přístup k datům v produkčních systémech IKT a k jejich změnám, například při mimořádné události v oblasti IKT. Existence různých zákaznických databází u jednotlivých produktů nebo organizačních jednotek s různými datovými definicemi a poli, která má za následek neslučitelné a obtížně srovnatelné a začlenitelné údaje o zákaznících na úrovni celé finanční instituce nebo skupiny. Nedostupnost klíčových služeb v důsledku selhání (externě zajišťovaných) systémů IKT nebo aplikac í dodavatelů. Přerušení telekomunikačního připojení. Výpadek elektrické energie. Špatné postupy zvládání mimořádných událostí, smluvní kontrolní mechanismy a záruky zakotvené ve smlouvě s poskytovatelem služeb, které zvyšují závislost klíčových osob na třetích stranách a prodejcích. Nevhodné kontrolní mechanismy řízení změn v oblasti prostředí IKT poskytovatele služby mohou vést k závažnému snížení výkonnosti nebo selhání
Kategorie rizik Rizika IKT (demonstrativníIKT výčet10 )Popis rizikPříkladyslužby.
Nedostatečné zabezpečení strany jiného skupinytřetí nebo subjektuNabourání systémů IKT třetí stranou, která je poskytovatelem služeb, s přímým dopadem na externě zajišťované služby nebo kritická/důvěrná data uložená u poskytovatele služeb. Pracovníci poskytovatele služeb, kteří získají neoprávněný přístup ke kritickým/citlivým datům uloženým u poskytovatele služeb.• •Nabourání poskytovatelů služeb zločinci nebo teroristy, kteří tak získají přístup k systémům IKT institucí nebo k jejich kritickým či citlivým datům uloženým u poskytovatelů služeb a mohou tak tato data zničit. Zasvěcené osoby s nekalými úmysly, které působí u poskytovatele služeb, se pokusí citlivá data ukrás t a prodat.

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

Požadavky

3. Související standardy

Standardy
  • EBA - Published by the European Banking Authority at https://www.eba.europa.eu/