| Kategorie rizik Rizika IKT (demonstrativní | IKT výčet10 ) | Popis rizik | Příklady | |
| útoky | | legitimním uživatelům přístup k on- line počítačové službě. | | počítačových systémů, které hacker ovládá a jejichž prostřednictvím odesílá velký počet podle všeho legitimních požadavků na internetové služby (např. elektronické bankovnictví). |
| Rizika spojená Kybernetické se útoky zabezpečením rizika IKT IKT | a další externích | Útoky z internetu nebo vnějších sítí za různým účelem (např. podvod, špionáž, aktivismus/sabotáž, kybernetický terorismus) prováděné pomocí rozmanitých technik (např. sociální inženýrství, pokusy o narušení zneužitím slabin, nasazením škodlivého softwaru), jejichž výsledkem je převzetí kontroly nad interními systémy IKT. Realizace podvodných transakcí poté, co hacker prolomí nebo obejde zabezpečení elektronického bankovnictví a platebních služeb a/nebo napadne a zneužije slabá místa zabezpečení interních platebních systémů instituce. Provádění podvodných transakcí s cennými papíry poté, co hacker prolomí nebo obej de zabezpečení elektronického bankovnictví a získá současně přístup také k účtům s cennými papíry zákazníka. Útoky na komunikační připojení a konverzace všeho druhu nebo systémů IKT s cílem získat informace a/nebo spáchat podvod. | Různé • • • • • • • • | druhy útoků: Pokročilá trvalá hrozba (Advanced Persistent Threat – APT) převzetí kontroly nad interními systémy nebo odcizení informací (např. krádež informací o identitě, o kreditních kartách). Škodlivý software (např. ransomware), který zašifruje data s cílem vydírat jejich majitele. Infikování interních systémů IKT trojskými viry, které umožní v systému skrytě provádět vadné akce. Zneužití slabin systémů IKT a/nebo (webových) aplikací (např. prolomení SQL) s cílem získat přístup do interního systému IKT. Útoky na elektronické bankovnictví nebo platební služby s cílem uskutečnit neoprávněnou transakci. Vytváření a odesílání podvodných platebních transakcí z interních platebních systémů instituce (např. podvodné swiftové zprávy). Útoky typu „pump and dump“, kdy útočníci získají přístup k účtům cenných papírů v elektronickém bankovnictví zákazníka a zadávají podvodné příkazy k nákupu nebo prodeji, aby ovlivnili tržní cenu cenných papíru a/nebo vydělali na pozicích, kterých cenné papíry dříve dosáhly. Sledování/zachycování nechráněných přenosů autentizačních dat v prostém textu. |
| Kategorie rizik Rizika IKT (demonstrativní | IKT výčet10 ) | Popis rizik | Příklady | |
| Nevhodné zabezpečení interních | IKT | Získání neoprávněného přístupu ke kritickým systémům IKT zevnitř instituce k různým účelům (např. podvod, provádění a zamaskování nedovolen ého obchodování, odcizení dat, aktivismus/sabotáž) různými technikami (např. zneužití a/nebo eskalace privilegií, krádež identity, sociální inženýrství, zneužití slabin systémů IKT, nasazení škodlivého softwaru). Neoprávněná manipulace s IKT díky nevhodným postupům a praktikám řízení přístupu k IKT. Bezpečnostní hrozby vlivem nízké informovanosti o zabezpečení, kdy zaměstnanci nechápou, opomíjí nebo nedodržují zásady a postupy zabezpečení IKT. | • • • • • • • • | Instalace softwaru, který zaznamenává stisk nuté klávesy (tzv. key stroke logger nebo key logger), s cílem ukrást identifikační údaje a hesla uživatele a získat tak neoprávněný přístup k důvěrným datům a/nebo spáchat podvod. Prolomení/rozluštění slabých hesel s cílem získat nelegitimní nebo vyšší př ístupová práva. Systémový administrátor použije operační systémy a databázové utility (k přímé modifikaci databází) ke spáchání podvodu. Opomenutí deaktivovat nebo smazat nepotřebné účty, například účty pracovníků, kteří změnili funkci a/nebo z instituce odešli, včetně hostů nebo dodavatelů, kteří přístup již nepotřebují, a s tím související umožnění neoprávněného přístupu do systémů IKT. Udělení zbytečně rozsáhlých přístupových práv a privilegií a s tím související umožnění neoprávněného přístupu a/nebo zakrytí nedovolených činností. Zaměstnanci, kteří v mylné představě napomáhají útoku (tzn. sociální inženýrství). Špatné postupy v oblasti přihlašovacích údajů: sdílení hesel, používání snadno rozluštitelných hesel, používání stejného hesla k mnoha různým účelům apod. Ukládání nezašifrovaných důvěrných dat do notebooků a na přenosná úložiště (např. USB flash disky), která mohou být ztracena nebo odcizena. |
| Kategorie rizik Rizika IKT (demonstrativní | IKT výčet10 ) | Popis rizik Neoprávněné ukládání nebo přenos důvěrných informací mimo instituci. | Příklady • | Osoby, které odcizí nebo úmyslně vyzradí nebo vynesou důvěrné informace nepovolaným osobám nebo veřejnosti. |
| Nevhodné zabezpečení | fyzické IKT | Zneužití nebo odcizení aktiv IKT prostřednictvím fyzického přístupu a způsobení škody, ztráty aktiv nebo dat nebo umožnění dalších hrozeb. Úmyslné nebo náhodné poškození fyzických aktiv IKT v důsledku terorismu, nehod nebo nešťastné/nesprávné manipulace ze strany pracovníků instituce a/nebo třetích stran (dodavatelů, opravářů). Nedostatečná fyzická ochrana proti přírodním katastrofám, která má za následek částečné nebo úplné zničení systémů IKT / datových center při živelné pohromě. | • • • • | Fyzické vloupání do kancelářských budov a/nebo datových center s cílem odcizit vybavení IKT (např. počítače, notebooky, úložiště) a/nebo zkopírovat data při fyzickém přístupu do systémů IKT. Fyzický terorismus (tzn. teroristické bombové útoky) nebo sabotáž aktiv IKT. Zničení datového centra při požáru, úniku vody nebo jiných okolnostech. Zemětřesení, extrémně vysoké teploty, vichřice, siné vánice, záplavy, požár, zásah bleskem. |
| Rizika spojená Nevhodné se změnou IKT mechanismy kontroly systémů a vývoje | změn IKT IKT | Mimořádné události vyvolané neodhalenými chybami nebo slabinami vzniklými při změně (např. nepředvídané vlivy změny nebo špatně řízená změna vlivem nedo statečného testování nebo nevhodných postupů řízení změn) například softwaru, systémů IKT nebo dat. | • • • • • | Uvolnění nedostatečně otestovaných změn softwaru nebo konfigurace do produkčního prostředí s nečekaně nepříznivými dopady na data (např. poškození, výmaz) a/nebo výkonnost systémů IKT (např. pád systému, pokles výkonnosti). Nekontrolované změny systémů IKT nebo dat v produkčním prostředí. Uvolnění špatně zabezpečených systémů IKT a internetových aplikací do produkčního prostředí a vytvoření příležitostí pro útoky hackerů na poskytované internetové služby a/nebo k prolomení interních systémů IKT. Nekontrolované změny zdrojového kódu interně vyvíjeného softwaru. Nedostatečné testování bez vhodných testovacích prostředí. |
| Kategorie rizik Rizika IKT (demonstrativní | IKT výčet10 ) | Popis rizik | Příklady | |
| Nevhodná architektura | IKT | Špatná správa architektury IKT při navrhování, tvorbě a údržbě systémů IKT (např. softwaru, hardwaru, dat) může časem vést k vytvoření spletitých, složitých, z hlediska nákladů na správu náročných a nepružných systémů IKT, které nadále nevyhovují potřebám instituce a n edostačují skutečným požadavkům na řízení rizik. | • • | Nevhodně řízené změny systémů IKT, softwaru a/nebo dat po delší dobu, které vyústí ve složitou, nerovnoměrnou a obtížnou správu systémů a architektury IKT s mnoha negativními dopady na řízení obchodní činnos ti i rizik (např. nedostatečná flexibilita a odezva, nehody a selhání IKT, vysoké provozní náklady, oslabené zabezpečení a odolnost IKT, zhoršená kvalita dat a snížená schopnost podávat zprávy). Nadměrné úpravy a rozšíření komerčních softwarových sad interně vyvíjeným softwarem, které znemožní implementaci v budoucnu vydaných verzí a upgradů daného komerčního softwaru a ohrozí tak poskytování podpory ze strany prodejce. |
| Nevhodné životního a aktualizací | řízení cyklu | Neschopnost vést patřičnou evidenci všech aktiv IKT na podporu řádných postupů řízení životního cyklu a aktualizací a v kombinaci s nimi. Výsledkem jsou nedostatečně aktualizované (a tím pádem náchylnější) a zastaralé systémy IKT, které nemusí odpovídat potřebám řízení obchodní činnosti a rizik. | • | Neaktualizované a zastaralé systémy IKT, které mohou nepříznivě ovlivňovat řízení obchodní činnosti i rizik (např. nedostatečná flexibilita a odezva, výpadky IKT, oslabené zabezpečení a odolnost IKT). |
| Rizika ohrožení Nefunkční integrity dat IKT zpracování IKT nebo manipulace | dat s nimi | Data mohou být vlivem chyb nebo selhání systémů, komunikace a/nebo aplikací, nebo nesprávně provedeného procesu jejich extrakce, transformace a naplnění (ETL) poškozena nebo ztracena. | • • • | Chyba informačního systému při d ávkovém zpracování, která vede k nesprávným zůstatkům na bankovních účtech klientů. Špatně provedené dotazy. Ztráta dat kvůli chybě při jejich replikaci (zálohování). |
| Špatně kontrolní mechanismy validaci | navržené pro dat | Chyby související s chybějícími nebo neúčinnými mechanismy kontroly automatizovaných datových vstupů a jejich akceptace (např. při využití dat třetí strany), přenosu dat, zpracování a výstupů v systémech | • • | Nedosta tečné nebo neplatné formátování/ověřování datových vstupů v aplikacích a uživatelských rozhraních. Absence kontrolních mechanismů pro srovnávání |
| Kategorie rizik Rizika IKT (demonstrativní | IKT výčet10 ) | Popis rizik | Příklady | |
| v systémech | IKT | IKT (např. kontrola validity vstupních dat, srovnávání dat). | • • | dat ve vytvořených výstupech. Absence kontrolních mechanismů v procesech extrakce dat (např. databázových dot azech) mající za následek nepřesná data. Použití chybných externích dat. |
| Špatně kontrolované změny v produkčních systémech Špatně a/nebo spravovaná architektura datov datové nebo slovníky Rizika spojená Nedostatečná s externím odolnost zajištěním IKT třetí jiného skupiny Nevhodný řízení externího zajištění | dat IKT. navržená dat, é toky, modely datové služeb strany nebo subjektu systém a kontroly | Zadání chybných dat kvůli nedostatku mechanismů pro kontrolu správnosti a oprávněnosti manipulace s daty v produkčních systémech IKT. Špatně spravovaná architektura dat, datové modely, datové toky nebo datové slovníky mohou zapříčinit vznik několika verzí stejných dat v systémech IKT, které již dále nejsou kvůli rozdílně aplikovaným datovým mode lům nebo definicím konzistentní, a/nebo rozdílů v základních procesech tvorby a změn dat. Nedostupnost kritických externě zajišťovaných služeb IKT, telekomunikačních služeb a technické infrastruktury. Ztráta nebo poškození kritických/citlivých dat svěřených poskytovateli služeb. Závažné snížení výkonnosti nebo selhání služeb kvůli nedostatečné připravenosti nebo kontrolním procesům poskytovatel e externě zajišťovaných služeb. Neúčinný systém řízení a kontroly externího zajištění může vést k nedostatku vhodných schopností a kapacit k úplné identifikaci, hodnocení, snižování a monitorování rizik IKT a může omezit operační schopnosti. | • • • • • • • | Vývojáři nebo administrátoři databází, kteří mají nekontrolovaný přímý přístup k datům v produkčních systémech IKT a k jejich změnám, například při mimořádné události v oblasti IKT. Existence různých zákaznických databází u jednotlivých produktů nebo organizačních jednotek s různými datovými definicemi a poli, která má za následek neslučitelné a obtížně srovnatelné a začlenitelné údaje o zákaznících na úrovni celé finanční instituce nebo skupiny. Nedostupnost klíčových služeb v důsledku selhání (externě zajišťovaných) systémů IKT nebo aplikac í dodavatelů. Přerušení telekomunikačního připojení. Výpadek elektrické energie. Špatné postupy zvládání mimořádných událostí, smluvní kontrolní mechanismy a záruky zakotvené ve smlouvě s poskytovatelem služeb, které zvyšují závislost klíčových osob na třetích stranách a prodejcích. Nevhodné kontrolní mechanismy řízení změn v oblasti prostředí IKT poskytovatele služby mohou vést k závažnému snížení výkonnosti nebo selhání |
| Kategorie rizik Rizika IKT (demonstrativní | IKT výčet10 ) | Popis rizik | Příklady | služby. |
| Nedostatečné zabezpečení strany jiného skupiny | třetí nebo subjektu | Nabourání systémů IKT třetí stranou, která je poskytovatelem služeb, s přímým dopadem na externě zajišťované služby nebo kritická/důvěrná data uložená u poskytovatele služeb. Pracovníci poskytovatele služeb, kteří získají neoprávněný přístup ke kritickým/citlivým datům uloženým u poskytovatele služeb. | • • | Nabourání poskytovatelů služeb zločinci nebo teroristy, kteří tak získají přístup k systémům IKT institucí nebo k jejich kritickým či citlivým datům uloženým u poskytovatelů služeb a mohou tak tato data zničit. Zasvěcené osoby s nekalými úmysly, které působí u poskytovatele služeb, se pokusí citlivá data ukrás t a prodat. |