3.3 Vurdering af kontrollerne til reduktion af væsentlige IKT-risici

For at vurdere instituttets rest-IKT-risikoeksponering bør de kompetente myndigheder gennemgå, hvordan instituttet identificerer, overvåger, vurderer og reducerer de væsentlige risici, som de kompetente myndigheder har identificeret i ovennævnte vurdering.

Til dette formål bør de kompetente myndigheder for de identificerede væsentlige IKT-risici gennemgå gældende:

• a. IKT-risikostyringspolitik, -processer og -risikotolerance
• b. organisationsstyring og løbende overvågning
• c. intern revision og observationer og
• d. IKT-risikokontrol, som er specifik for den identificerede væsentlige IKT-risiko.

I vurderingen bør der tages højde for resultatet af analysen i rammerne for den overordnede risikostyring og de interne kontrolrammer i afsnit 5 i EBA's SREP-retningslinjer samt instituttets governance og strategi i afsnit 2 i disse retningslinjer, eftersom betydelige mangler på disse områder kan påvirke instituttets evne til at styre og reducere dets IKT-risikoeksponeringer. Hvor det er relevant, bør de kompetente myndigheder også gøre brug af informationskilderne i pkt. 37 i disse retningslinjer.

De kompetente myndigheder bør gennemgå følgende vurderingstrin på en måde, som står i forhold til arten, omfanget og kompleksiteten af instituttets aktiviteter og ved at anvende en tilsynsgennemgang, som svarer til instituttets IKT-risikoprofil.

3.3.1 IKT-risikostyringspolitik, -processer og -tolerance

De kompetente myndigheder bør gennemgå, om instituttet har passende risikostyringspolitikker, - processer og risikotolerance for de identificerede væsentlige IKT-risici. Disse kan indgå i rammerne for operationel risikostyring eller i et særskilt dokument. De kompetente myndigheder bør i forbindelse med denne vurdering tage hensyn til:

• a. om risikostyringspolitikken er formaliseret og godkendt af ledelsen og indeholder tilstrækkelig vejledning om instituttets IKT-risikovillighed og de vigtigste forfulgte IKT-risikostyringsmålsætninger og/eller anvendte IKT-risikotolerancetærskler. Den relevante IKT-risikostyringspolitik bør ligeledes formidles til alle relevante interessenter
• b. om den gældende politik dækker alle betydelige elementer for risikostyring af de identificerede væsentlige IKT-risici
• c. om instituttet har implementeret en proces og underliggende procedurer til identificering (f.eks. egenvurdering af risikokontrol (RCSA), analyser af risikoscenarier) og overvågning af de involverede væsentlige IKT-risici og
• d. om instituttet har en IKT-risikostyringsrapportering, der giver den daglige ledelse og ledelsesorganet rettidige oplysninger, og som lader den daglige ledelse og/eller ledelsesorganet vurdere og overvåge, om instituttets planer og foranstaltninger for IKT-risikoreduktion stemmer overens med den godkendte risikovillighed og/eller -tolerance (hvor dette er relevant) og overvåge ændringer af væsentlige IKT-risici.

3.3.2 Organisationsstyring og løbende overvågning

De kompetente myndigheder bør vurdere, hvordan de gældende risikostyringsroller og -ansvarsområder er indlejret og integreret i den interne organisation til styring og overvågning af de identificerede væsentlige IKT-risici. I denne henseende bør de kompetente myndigheder vurdere, om instituttet udviser:

• a. tydelige roller og ansvarsområder for identificering, vurdering, overvågning, reduktion, rapportering og tilsyn med den involverede væsentlige IKT-risiko
• b. at risikoansvar og -roller kommunikeres tydeligt, fordeles og indlejres i de relevante dele (f.eks. forretningslinjer, IT) og organisationsprocesser, herunder roller og ansvarsområder i forbindelse med indsamling og sammenlægning af risikooplysninger og rapportering til den daglige ledelse og/eller ledelsesorganet
• c. at IKT-risikostyringsaktiviteter gennemføres med tilstrækkelige og kvalitative hensigtsmæssige menneskelige og tekniske ressourcer. For at vurdere troværdigheden af de gældende risikoreduktionsplaner bør de kompetente myndigheder også vurdere, om instituttet har tildelt tilstrækkelige finansielle budgetter og/eller andre krævede ressourcer til gennemførelsen deraf
• d. en tilstrækkelig opfølgning på og svar fra ledelsesorganet med hensyn til vigtige observationer af de uafhængige kontrolfunktioner vedrørende IKT-risici under hensyntagen til eventuel uddelegering af visse aspekter til et udvalg, hvor et sådan findes, og
• e. at undtagelser fra de gældende IKT-regler og -politikker registreres og underkastes en dokumenteret gennemgang og rapportering i den uafhængige kontrolfunktion med fokus på relevante risici.

3.3.3 Intern revision og observationer

De kompetente myndigheder bør overveje, om den interne revisionsfunktion er effektiv med hensyn til at revidere de gældende IKT-risikokontrolrammer ved at gennemgå, om:

• a. IKT-risikokontrolrammerne revideres med den krævede kvalitet, dybde og hyppighed og står i forhold til instituttets størrelse, aktiviteter og IKT-risikoprofil
• b. revisionsplanen omfatter revisioner af de kritiske IKT-risici identificeret af instituttet
• c. de vigtige IKT-revisionsresultater, herunder aftalte foranstaltninger, rapporteres til ledelsesorganet og
• d. IKT-revisionsresultater, herunder aftalte foranstaltninger, følges op, og statusrapporter løbende gennemgås af den daglige ledelse og/eller revisionsudvalget.

3.3.4 IKT-risikokontrol, som er specifik for de identificerede væsentlige IKT-risici

For de identificerede væsentlige IKT-risici bør de kompetente myndigheder vurdere, om instituttet har indført specifikke kontroller til at tage hånd om disse risici. Følgende afsnit indeholder en ikke-udtømmende liste over de specifikke kontroller, som skal overvejes, når de væsentlige risici identificeret under pkt. 3.2.2, som blev kortlagt til følgende IKT-risikokategorier, vurderes:

• a. IKT-tilgængeligheds- og -kontinuitetsrisici
• b. IKT-sikkerhedsrisici
• c. IKT-ændringsrisici
• d. IKT-dataintegritetsrisici
• e. IKT-outsourcingrisici.
• a) Kontroller til styring af væsentlige IKT-tilgængeligheds- og -kontinuitetsrisici

Ud over kravene i EBA's SREP-retningslinjer (pkt. 279-281) bør de kompetente myndigheder vurdere, om instituttet har passende rammer på plads til at identificere, forstå, måle og reducere IKT-tilgængeligheds- og -kontinuitetsrisici.

De kompetente myndigheder bør i forbindelse med denne vurdering navnlig tage hensyn til, om rammerne:

• a. identificerer de kritiske IKT-processer og de relevante understøttende IKT-systemer, som bør være en del af de driftsmæssige genopretning- og beredskabsplaner med:
• i. en omfattende analyse af afhængigheden mellem kritiske forretningsprocesser og støttesystemer
• ii. bestemmelse af genopretningsmål for de understøttende IKT-systemer (som f.eks. typisk bestemmes af virksomheden og/eller lovgivningen med hensyn til RTO og RPO)
• iii. passende beredskabsplaner, der sikrer tilgængelighed, kontinuitet og genopretning af kritiske IKT-systemer og -tjenester for at minimere afbrydelser i instituttets drift inden for en acceptabel grænse
• b. har politikker, standarder og operationelle kontroller for genopretning og beredskab, som inkluderer:
• i. sikringsforanstaltninger til at undgå, at et enkelt scenario, en enkelt hændelse eller en katastrofe kan påvirke både IKT-produktionen og -genoprettelsessystemerne
• ii. IKT-systembackup og -genopretningsprocedurer for kritisk software og data, der sikrer, at disse backups lagres på en sikker og tilstrækkelig fjern placering, så en hændelse eller en katastrofe ikke kan ødelægge disse kritiske data
• iii. overvågning af løsninger til rettidig sporing af IKT-tilgængeligheds- eller -kontinuitetshændelser
• iv. en dokumenteret incident- og eskaleringsproces, der også indeholder vejledning om de forskellige incident- og eskaleringsroller og -ansvarsområder, medlemmerne af kriseudvalget eller -udvalgene og kommandokæden i hastetilfælde
• v. fysiske sikringsforanstaltninger, der både beskytter instituttets kritiske IKT-infrastruktur (f.eks. datacentre) mod miljømæssige risici (f.eks. oversvømmelser og andre naturkatastrofer) og sikrer et stabilt driftsmiljø for IKT-systemer (f.eks. ventilation)
• vi. processer, roller og ansvar, der sikrer, at også outsourcede IKT-systemer og -tjenester er omfattet af passende driftsmæssige genopretnings- og beredskabsløsninger og -planer
• vii. IKT-performance- og -kapacitetsplanlægnings- og -overvågningsløsninger for kritiske IKT-systemer og -tjenester med definerede tilgængelighedskrav, der sporer vigtige performance- og kapacitetsbegrænsninger rettidigt
• viii. løsninger, der skal beskytte kritiske internetvendte aktiviteter og tjenester (f.eks. netbanktjenester), mod ”denial of service” og andre cyberangreb fra internettet, og som derved har til formål beskytte og styre adgangen til disse aktiviteter og tjenester.
• c. teste IKT-tilgængeligheds- og -beredskabsløsninger mod en række realistiske scenarier, herunder cyberangreb, fail-over-test og test af backup til kritisk software og data, som:
• i. planlægges, formaliseres og dokumenteres, og hvor testresultaterne anvendes til at styrke effektiviteten af IKT-tilgængelighed og beredskabsløsninger
• ii. omfatter interessenter og funktioner i organisationen såsom styring af forretningslinjer, herunder forretningsberedskab, incident-- og krisehåndteringsteams samt relevante eksterne interessenter i økosystemet
• iii. ledelsesorganet og den daglige ledelse er involveret i (f.eks. som en del af krisehåndteringsteams) og underrettes om testresultater.
• b) Kontrol til styring af væsentlige IKT-sikkerhedsrisici

Kompetente myndigheder bør vurdere, om instituttet har effektive rammer på plads til at identificere, måle og reducere IKT-sikkerhedsrisici. De kompetente myndigheder bør i forbindelse med denne vurdering navnlig tage hensyn til, om rammerne tager højde for:

• a. klart definerede roller og ansvarsfordeling vedrørende:
• i. den eller de personer eller udvalg, som er ansvarlige for og/eller står til regnskab for den daglige IKT-sikkerhedsstyring og udarbejdelsen af de generelle IKT-sikkerhedspolitikker med opmærksomhed på deres uafhængighed
• ii. udformning, implementering , styring og overvågning af IKT-sikkerhedskontroller
• iii. beskyttelse af kritiske IKT-systemer og -tjenester gennem vedtagelse af f.eks. en sårbarhedsvurdering, styring af softwarepatches, endpointbeskyttelse (f.eks. malwarevirus) og værktøjer til sporing og forebyggelse af hændelser
• iv. overvågning, klassificering og håndtering af eksterne eller interne IKT-sikkerhedshændelser, herunder hændelseshåndtering og genopretning af IKT-systemer og -tjenester
• v. løbende og proaktive trusselsvurderinger til opretholdelse af passende sikkerhedskontroller
• b. en IKT-sikkerhedspolitik, der tager højde for og, hvor det er relevant, opfylder internationalt anerkendte IKT-sikkerhedsstandarder og sikkerhedsprincipper (f.eks. princippet om sidste privilegium (”principle of last privilege”), dvs. begrænset adgang til det minimumsniveau, der giver mulighed for normal funktionalitet ved styring af adgangsrettigheder og princippet om forsvar i dybden (”principle of defence in depth”), dvs. design af sikkerhedsarkitektur, hvor lagdelte sikkerhedsmekanismer øger systemsikkerheden)
• c. en proces til identificering af IKT-systemer og tilsvarende sikkerhedskrav, der afspejler potentiel risiko for svindel, misbrug og/eller forkert anvendelse af fortrolige data, samt dokumenterede sikkerhedsforventninger som knyttes til disse identificerede IKT-systemer og data, og som sammenholdes med instituttets risikotolerance og løbende overvågning for implementering
• d. en dokumenteret proces for incidenthåndtering og eskalering, der vejleder om de forskellige incident- og eskaleringsroller og ansvarsområder, medlemmerne af kriseberedskabet eller - udvalgene og kommandokæden i tilfælde af hasteændringer relateret til sikkerhed
• e. log over adgange for at sikre en effektiv overvågning og rettidig sporing af uautoriseret aktivitet og for at bidrage til eller gennemføre kriminaltekniske undersøgelser af sikkerhedshændelser. Instituttet bør indføre logpolitikker, der definerer de logs, der skal føres, og hvor længe de skal opbevares
• f. awarenesskampagner eller -initiativer skal indgå i alle niveauer i instituttet omhandlende sikker brug og beskyttelse af instituttets IKT-systemer og de vigtigste IKT-sikkerhedsrisici (og andre risici), som de skal være opmærksomme på, navnlig vedrørende eksisterende og nye cybertrusler (f.eks. computervirusser, mulige interne eller eksterne misbrug eller angreb, cyberangreb) og deres rolle med hensyn til at mindske sikkerhedsbrud
• g. passende fysiske sikkerhedsforanstaltninger (f.eks. CCTV, tyverialarm, sikkerhedsdøre), der forebygger uautoriseret fysisk adgang til kritiske og følsomme IKT-systemer (f.eks. datacentre)
• h. sikkerhedsforanstaltninger til beskyttelse af IKT-systemerne mod angreb fra internettet (dvs. cyberangreb) eller andre eksterne netværk (f.eks. traditionelle telekomforbindelser eller forbindelser til betroede partnere). De kompetente myndigheder bør undersøge, om instituttets rammer tager højde for:
• i. en proces og løsninger, der fastholder en fuldstændig og ajourført lagerliste og oversigt over alle de udadvendte netværksforbindelsespunkter (f.eks. websteder, internetapplikationer, WIFI, fjernadgang), hvorigennem tredjeparter kan bryde ind i de interne IKT-systemer
• ii. nøje styrede og overvågede sikkerhedsforanstaltninger (f.eks. firewalls, proxyservere, mailtransmissioner, virus- og indholdsscannere), som skal sikre ind- og udgående netværkstrafik (f.eks. e-mail) og udadgående netværksforbindelser, hvorigennem tredjeparter kan bryde ind i de interne IKT-systemer
• iii. processer og løsninger, der sikrer websider og applikationer, der kan angribes direkte fra internettet og/eller uden for, som kan tjene som adgangspunkt til de interne IKT-systemer. Generelt omfatter dette en kombination af anerkendte, sikre udviklingsprocesser, IKT-systemhardening og sårbarhedsscanning og/eller implementering af yderligere sikkerhedsløsninger som f.eks. applikationsfirewalls og/eller systemer til intrusion detection (IDS) og/eller intrusion prevention (IPS)
• iv. periodiske sikkerhedspenetrationstest for at vurdere effektiviteten af de implementerede cyber- og interne IKT-sikkerhedsforanstaltninger og -processer. Disse test skal gennemføres af medarbejdere og/eller eksterne eksperter med den nødvendige ekspertise, med dokumenterede testresultater og konklusioner, som indberettes til den daglige ledelse og/eller ledelsesorganet. Hvor det er nødvendigt og anvendeligt, bør instituttet af disse test lære, hvor de kan forbedre sikkerhedskontroller og -processer yderligere og/eller opnå bedre sikring af deres effektivitet.
• c) Kontrol til styring af væsentlige IKT-ændringsrisici

De kompetente myndigheder bør vurdere, om instituttet har effektive rammer på plads til at identificere, forstå, måle og mindske IKT-ændringsrisici, som står i forhold til arten, omfanget og kompleksiteten af instituttets aktiviteter og instituttets IKT-risikoprofil. Instituttets rammer bør omfatte risici forbundet med udvikling, test og godkendelse af IKT-systemændringer, herunder udvikling eller ændring af software, inden de migreres til produktionsmiljøet samt sikre en passende styring af IKT-livscyklussen. De kompetente myndigheder bør i forbindelse med denne vurdering navnlig tage hensyn til, om rammerne tager højde for:

• a. dokumenterede processer for forvaltning og kontrol af ændringer til IKT-systemer (f.eks. konfiguration og patchstyring) og data (f.eks. fejlretning eller datarettelser), sikring af passende inddragelse af IKT-risikostyringsfunktionen i forbindelse med vigtige IKT-ændringer, som kan påvirke instituttets risikoprofil og -eksponering
• b. specifikationer vedrørende funktionsadskillelse (”segregation of duties”, SoD) i de forskellige faser af de implementerede IKT-ændringsprocesser (f.eks. udformning og udvikling af løsninger, test og godkendelse af ny software og/eller ændringer, migration og implementering i produktionsmiljøet og fejlretning) med fokus på de implementerede løsninger og funktionsadskillelse til styring og kontrol af ændringer i produktions-IKT-systemer og -data for IKT-medarbejdere (f.eks. udviklere, IKT-systemadministratorer, databaseadministratorer) eller andre parter (f.eks. brugere, leverandører)
• c. testmiljøer, der på passende vis afspejler produktionsmiljøet
• d. en fortegnelse over eksisterende applikationer og IKT-systemer i produktionsmiljøet samt test- og udviklingsmiljøet, så de pågældende ændringer (f.eks. versionsopdateringer eller opgraderinger, systemrettelser, konfigurationsændringer) kan styres, gennemføres og overvåges rigtigt for de involverede IKT-systemer
• e. en proces til overvågning og styring af IKT-systemers livscyklus for at sikre, at de fortsat opfylder og støtter de faktiske forretnings- og risikostyringskrav, og for at sikre, at de anvendte IKT-løsninger og -systemer fortsat støttes af leverandøren, og at dette ledsages af passende procedurer til softwareudviklingscyklussen (SDLC)
• f. kontrol af softwarekildekode og passende procedurer til at forebygge uautoriserede ændringer i kildekoden til software som udvikles internt
• g. en proces for sikkerheds- og sårbarhedsscreening af nye eller væsentlige ændrede IKT-systemer og -software, inden de frigives til produktion og eksponeres for mulige cyberangreb
• h. en proces og løsninger, der forebygger uautoriseret eller utilsigtet frigivelse af fortrolige oplysninger ved udskiftning, arkivering, kassering eller ødelæggelse af IKT-systemer
• i. en uafhængig gennemgangs- og valideringsproces, der skal mindske risikoen for menneskelige fejl, når der foretages ændringer til IKT-systemerne, som kan have en stor negativ indvirkning på instituttets tilgængelighed, kontinuitet eller sikkerhed (f.eks. vigtige ændringer til firewallkonfigurationen) eller instituttets sikkerhed (f.eks. ændringer til firewalls).
• d) Kontrol til styring af væsentlige IKT-dataintegritetsrisici

De kompetente myndigheder bør vurdere om instituttet har effektive rammer på plads til at identificere, forstå, måle og mindske IKT-dataintegritetsrisici, som står i forhold til arten, omfanget og kompleksiteten af instituttets aktiviteter og IKT-risikoprofil. Instituttets rammer bør tage højde for risici relateret til bevarelse af integriteten af de data, som er lagret og behandles i IKT-systemerne. De kompetente myndigheder bør i forbindelse med denne vurdering navnlig tage hensyn til, om der i rammerne tages højde for:

• a. en politik, der definerer roller og ansvar for styring af dataintegriteten i IKT-systemerne (f.eks. dataarkitekter, dataansvarlige⁶ , databeskyttere⁷ , dataejere/-forvaltere⁸ ) og vejleder om, hvilke data som er kritiske ud fra et dataintegritetsperspektiv og hvilke data der bør være underlagt specifikke IKT-kontroller (f.eks. kontroller for automatiserede inputvalideringer, dataoverførsler, afstemninger mv.) eller -gennemgange (f.eks. kontrol af kompatibilitet med dataarkitekturen) i de forskellige faser af IKT-dataenes livscyklus
• b. en dokumenteret dataarkitektur, datamodel og/eller datarelationer/-strukturer, som er valideret med relevante forretnings- og it-interessenter i forhold til at støtte den nødvendige datakonsistens på tværs af IKT-systemer og sikre, at dataarkitekturen, datamodellen og/eller datarelationerne/-strukturerne fortsat er tilpasset forretnings- og risikostyringsbehov
• c. en politik vedrørende tilladt brug af slutbrugercomputere, navnlig vedrørende identifikation, registrering og dokumentation af vigtige computerløsninger for slutbrugere (f.eks. ved behandling af vigtige data) og de forventede sikkerhedsniveauer med hensyn til at forebygge uautoriserede ændringer, både i selve værktøjet samt af de data, der er lagret i det
• d. dokumenterede processer til håndtering af undtagelser med hensyn til at løse identificerede IKT-dataintegritetsproblemer efter deres alvor og følsomhed.

⁶ En dataansvarlig er ansvarlig for databehandling og -brug.

⁷ En databeskytter er ansvarlig for sikker opbevaring, transport og lagring af data.

⁸ En dataforvalter er ansvarlig for forvaltningen og egnetheden af dataelementer – både indhold og metadata.

Med hensyn til institutter, der er underlagt tilsyn under BCBS 239-principperne for effektiv indsamling af risikodata og risikorapportering⁹ , bør de kompetente myndigheder gennemgå instituttets risikoanalyse af risikorapporteringen og dataindsamlingsmulighederne sammenlignet med principperne og den udarbejdede dokumentation under hensyntagen til gennemførelsestiden og overgangsordningerne i disse principper.

• e) Kontrol til styring af væsentlige IKT-outsourcingrisici

De kompetente myndigheder bør vurdere, om instituttets outsourcingstrategi i overensstemmelse med kravene i CEBS's outsourcingretningslinjer (2006) og i tillæg til kravene i pkt. 85, litra d), i EBA's SREP-retningslinjer på passende vis finder anvendelse på IKT-outsourcing, herunder intern outsourcing af IKT-tjenester i koncernen. I forbindelse med vurderingen af IKT-outsourcingrisici bør de kompetente myndigheder tage højde for, at IKT-outsourcingrisici også kan dækkes som en del af vurderingen af iboende operationelle risici i pkt. 240, litra j), i EBA's SREP-retningslinjer for at undgå dobbeltarbejde eller dobbelttælling.

De kompetente myndigheder bør navnlig vurdere, om instituttet har effektive rammer på plads til at identificere, forstå og måle IKT-outsourcingrisici og navnlig kontroller og et kontrolmiljø til reduktion af risici i forbindelse med væsentlige outsourcede IKT-tjenester, som står i forhold til instituttets størrelse, aktiviteter og IKT-risikoprofil og omfatter:

• a. en vurdering af IKT-outsourcingens indvirkning på instituttets risikostyring i forbindelse med brug af leverandører (dvs. leverandører af cloudservices) og deres tjenester i indkøbsprocessen, som den daglige ledelse eller ledelsesorganet har dokumenteret og taget højde for i beslutningen om at outsource tjenester. Instituttet bør gennemgå leverandørens IKT-risikostyringspolitikker og IKT-kontroller og -kontrolmiljø for at sikre, at de opfylder instituttets interne risikostyringsmål og risikovillighed. Denne gennemgang bør ajourføres løbende i outsourcingperioden under hensyntagen til kendetegnene ved de outsourcede tjenester
• b. overvågning af IKT-risiciene ved de outsourcede tjenester i outsourcingperioden som led i instituttets risikostyring, der indgår i instituttets IKT-risikostyringsrapportering (f.eks. rapportering om den forretningsmæssige kontinuitet, sikkerhedsrapportering)
• c. overvågning og sammenligning af de modtagne serviceniveauer og de aftalte serviceniveauer, som bør indgå i outsourcingkontrakten eller serviceniveauaftalen (SLA) og
• d. tilstrækkelige medarbejdere, ressourcer og kompetencer til at overvåge og styre IKT-risici fra de outsourcede tjenester.

9 Basel Committee on Banking Supervision, Principles for effective risk data aggregation and risk reporting, januar 2013, findes online: http://www.bis.org/publ/bcbs239.pdf.