184. Pokud jde o riziko v oblasti IKT a bezpečnosti , příslušné orgány by měly zajistit, aby rámec …

Pokud jde o riziko v oblasti IKT a bezpečnosti⁵⁵ , příslušné orgány by měly zajistit, aby rámec řízení zajišťoval řádné, spolehlivé a bezpečné fungování informačních a komunikačních systémů podporujících činnosti úvěrových institucí, jakož i dostatečnou prevenci, monitorování a zmírňování rizik IKT v běžných dobách a během doby zátěže. Příslušné orgány by měly posoudit zejména:

• a) zda má vedoucí orgán celkovou zodpovědnost za stanovování , schvalování a kontrolu nad prováděním strategie finančních institucí týkající se IKT, která by měla být sladěna s celkovou obchodní strategií finančních institucí;
• b) jasnou definici a přiřazení hlavních úloh a povinností a příslušné linie podávání zpráv, aby byl rámec řízení rizik v oblasti bezpečnosti a IKT účinný, včetně vyčlenění vhodného rozpočtu na dostatečnou podporu provozních potřeb v oblasti IKT a řízení rizik v oblasti IKT a bezpečnosti;
• c) zda jsou řízení rizik v oblasti IKT a bezpečnosti a dohled nad nimi svěřeny nezávislé a objektivní kontrolní funkci, která je náležitě oddělena od provozních postupů v oblasti IKT a není zodpovědná za žádný vnitřní audit, a nezávislé funkci vnitřního auditu;
• d) opatření s cílem identifikovat, zřídit a aktualizovat mapování provozních funkcí, úloh a podpůrných procesů s cílem identifikovat jejich význam a jejich vzájemné závislosti související s riziky v oblasti IKT a bezpečnosti;
• e) s ohledem na rozsah uchovávání informací o systémech IKT, zda budou zavedeny požadavky pro zabezpečení informací;
• f) měřítko, složitost a význam provázaností týkajících se IKT, pokud instituce plánuje zajišťovat externě provozní funkce služeb IKT a veškerou činnost systémů IKT – včetně subjektů v rámci skupiny – nebo v souvislosti s těmito funkcemi a činností využívat třetí strany.

⁵⁵ Podle definice uvedené v Obecných pokynech orgánu EBA pro řízení rizik v oblasti IKT a bezpečnosti znamená „riziko v oblasti IKT a bezpečnosti“: „Riziko ztráty v důsledku porušení důvěrnosti, selhání integrity systémů a dat, nevhodnosti nebo nedostupno sti systémů a dat nebo neschopnosti změnit IT v přiměřeném čase a s přiměřenými náklady, pokud se mění prostředí nebo požadavky vyplývající z obchodní činnosti (tj. flexibilita). Patří sem bezpečnostní rizika vyplývající z nedostatečnosti či selhání vnitřních postupů nebo z vnějších událostí včetně kybernetických útoků či z nedostatečného fyzického zabezpečení.“

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

3. Související standardy

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/