4.6 Řízení rizik v oblasti IKT a bezpečnosti

Úvěrové a finanční instituce by měly identifikovat a řídit svá rizika v oblasti IKT a bezpečnosti související s používáním procesu onboardingu klientů na dálku, včetně případů, kdy se spoléhají na třetí strany nebo kdy je služba zajišťována externě, včetně subjekty ve skupině.

Úvěrové a finanční instituce by kromě dodržování požadavků stanovených v obecných pokynech orgánu EBA pro řízení rizik v oblasti IKT a bezpečnosti¹⁰ měly v příslušných případech používat během procesu onboardingu klientů na dálku pro interakci s klienty zabezpečené komunikační kanály. Řešení pro onboarding klientů na dálku by mělo používat zabezpečené protokoly a kryptografické algoritmy podle osvědčených postupů v odvětví, aby byla v případě potřeby zajištěna důvěrnost, pravost a integrita vyměňovaných údajů.

¹⁰ EBA/GL/2019/04.

Úvěrové a finanční instituce by měly poskytnout bezpečný přístupový bod pro zahájení procesu onboardingu klienta na dálku na základě kvalifikovaných certifikátů pro elektronickou pečeť ve smyslu čl. 3 bodu 30 nařízení (EU) č. 910/2014 nebo kvalifikovaných certifikátů pro autentizaci internetových stránek ve smyslu čl. 3 bodu 39 uvedeného nařízení. Klient by měl být rovněž informován o příslušných bezpečnostních opatřeních, která by měla být přijata k zajištění bezpečného používání systému.

Pokud se k provádění procesu onboardingu klientů na dálku používá víceúčelové zařízení, mělo by být pro spuštění softwarového kódu na straně klienta případně použito zabezpečené prostředí. Měla by být zavedena další bezpečnostní opatření, aby byla zajištěna bezpečnost a spolehlivost softwarového kódu a shromážděných údajů v souladu s posouzením bezpečnostních rizik, jak je stanoveno v obecných pokynech orgánu EBA pro řízení rizik v oblasti IKT a bezpečnosti.