55. Kompetente myndigheder bør vurdere, om instituttet har effektive rammer på plads til at …

Kompetente myndigheder bør vurdere, om instituttet har effektive rammer på plads til at identificere, måle og reducere IKT-sikkerhedsrisici. De kompetente myndigheder bør i forbindelse med denne vurdering navnlig tage hensyn til, om rammerne tager højde for:

• a. klart definerede roller og ansvarsfordeling vedrørende:
• i. den eller de personer eller udvalg, som er ansvarlige for og/eller står til regnskab for den daglige IKT-sikkerhedsstyring og udarbejdelsen af de generelle IKT-sikkerhedspolitikker med opmærksomhed på deres uafhængighed
• ii. udformning, implementering , styring og overvågning af IKT-sikkerhedskontroller
• iii. beskyttelse af kritiske IKT-systemer og -tjenester gennem vedtagelse af f.eks. en sårbarhedsvurdering, styring af softwarepatches, endpointbeskyttelse (f.eks. malwarevirus) og værktøjer til sporing og forebyggelse af hændelser
• iv. overvågning, klassificering og håndtering af eksterne eller interne IKT-sikkerhedshændelser, herunder hændelseshåndtering og genopretning af IKT-systemer og -tjenester
• v. løbende og proaktive trusselsvurderinger til opretholdelse af passende sikkerhedskontroller
• b. en IKT-sikkerhedspolitik, der tager højde for og, hvor det er relevant, opfylder internationalt anerkendte IKT-sikkerhedsstandarder og sikkerhedsprincipper (f.eks. princippet om sidste privilegium (”principle of last privilege”), dvs. begrænset adgang til det minimumsniveau, der giver mulighed for normal funktionalitet ved styring af adgangsrettigheder og princippet om forsvar i dybden (”principle of defence in depth”), dvs. design af sikkerhedsarkitektur, hvor lagdelte sikkerhedsmekanismer øger systemsikkerheden)
• c. en proces til identificering af IKT-systemer og tilsvarende sikkerhedskrav, der afspejler potentiel risiko for svindel, misbrug og/eller forkert anvendelse af fortrolige data, samt dokumenterede sikkerhedsforventninger som knyttes til disse identificerede IKT-systemer og data, og som sammenholdes med instituttets risikotolerance og løbende overvågning for implementering
• d. en dokumenteret proces for incidenthåndtering og eskalering, der vejleder om de forskellige incident- og eskaleringsroller og ansvarsområder, medlemmerne af kriseberedskabet eller - udvalgene og kommandokæden i tilfælde af hasteændringer relateret til sikkerhed
• e. log over adgange for at sikre en effektiv overvågning og rettidig sporing af uautoriseret aktivitet og for at bidrage til eller gennemføre kriminaltekniske undersøgelser af sikkerhedshændelser. Instituttet bør indføre logpolitikker, der definerer de logs, der skal føres, og hvor længe de skal opbevares
• f. awarenesskampagner eller -initiativer skal indgå i alle niveauer i instituttet omhandlende sikker brug og beskyttelse af instituttets IKT-systemer og de vigtigste IKT-sikkerhedsrisici (og andre risici), som de skal være opmærksomme på, navnlig vedrørende eksisterende og nye cybertrusler (f.eks. computervirusser, mulige interne eller eksterne misbrug eller angreb, cyberangreb) og deres rolle med hensyn til at mindske sikkerhedsbrud
• g. passende fysiske sikkerhedsforanstaltninger (f.eks. CCTV, tyverialarm, sikkerhedsdøre), der forebygger uautoriseret fysisk adgang til kritiske og følsomme IKT-systemer (f.eks. datacentre)
• h. sikkerhedsforanstaltninger til beskyttelse af IKT-systemerne mod angreb fra internettet (dvs. cyberangreb) eller andre eksterne netværk (f.eks. traditionelle telekomforbindelser eller forbindelser til betroede partnere). De kompetente myndigheder bør undersøge, om instituttets rammer tager højde for:
• i. en proces og løsninger, der fastholder en fuldstændig og ajourført lagerliste og oversigt over alle de udadvendte netværksforbindelsespunkter (f.eks. websteder, internetapplikationer, WIFI, fjernadgang), hvorigennem tredjeparter kan bryde ind i de interne IKT-systemer
• ii. nøje styrede og overvågede sikkerhedsforanstaltninger (f.eks. firewalls, proxyservere, mailtransmissioner, virus- og indholdsscannere), som skal sikre ind- og udgående netværkstrafik (f.eks. e-mail) og udadgående netværksforbindelser, hvorigennem tredjeparter kan bryde ind i de interne IKT-systemer
• iii. processer og løsninger, der sikrer websider og applikationer, der kan angribes direkte fra internettet og/eller uden for, som kan tjene som adgangspunkt til de interne IKT-systemer. Generelt omfatter dette en kombination af anerkendte, sikre udviklingsprocesser, IKT-systemhardening og sårbarhedsscanning og/eller implementering af yderligere sikkerhedsløsninger som f.eks. applikationsfirewalls og/eller systemer til intrusion detection (IDS) og/eller intrusion prevention (IPS)
• iv. periodiske sikkerhedspenetrationstest for at vurdere effektiviteten af de implementerede cyber- og interne IKT-sikkerhedsforanstaltninger og -processer. Disse test skal gennemføres af medarbejdere og/eller eksterne eksperter med den nødvendige ekspertise, med dokumenterede testresultater og konklusioner, som indberettes til den daglige ledelse og/eller ledelsesorganet. Hvor det er nødvendigt og anvendeligt, bør instituttet af disse test lære, hvor de kan forbedre sikkerhedskontroller og -processer yderligere og/eller opnå bedre sikring af deres effektivitet.
• c) Kontrol til styring af væsentlige IKT-ændringsrisici

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede standarder

2. Identificerede krav

3. Relaterede standarder

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/