+3.4 Opsummering af observationer og scoring
---+61. Efter ovennævnte vurdering bør de kompetente myndigheder danne sig en mening om instituttets …
---+62. Hvis de kompetente myndigheder vurderer, at IKT-risikoen er væsentlig, og de kompetente …
---+Bilag – IKT-risikoklassificering
|
3.4 Opsummering af observationer og scoring
3.4 Opsummering af observationer og scoring
1. Oversigt
| Titel |
Regulering |
|
61. Efter ovennævnte vurdering bør de kompetente myndigheder danne sig en mening om instituttets …
|
Efter ovennævnte vurdering bør de kompetente myndigheder danne sig en mening om instituttets IKT-risiko. Denne mening bør afspejles i en opsummering af observationer, som de kompetente myndigheder bør tage højde for, når de fastsætter en score for operationel risiko i tabel 6 i EBA's SREP-retningslinjer. De kompetente myndigheder bør basere deres mening på væsentlige IKT-risici under hensyntagen til følgende betragtninger, som skal indgå i den operationelle risikovurdering: - a. Risikobetragtninger
- i. Instituttets IKT-risikoprofil og eksponeringer
- ii. de identificerede kritiske IKT-systemer og -tjenester og
- iii. væsentligheden af IKT-risiko vedrørende kritiske IKT-systemer.
- b. Betragtninger om styring og kontrol
- i. Om der er overensstemmelse mellem instituttets IKT-risikostyringspolitik og -strategi og dets generelle strategi og risikovillighed.
- ii. Om den organisatoriske struktur for IKT-risikostyring er robust og baseret på klare ansvarsområder og en klar opgavefordeling mellem risikoejere og styrings- og kontrolfunktioner.
- iii. Om systemerne til IKT-risikomåling, -overvågning og -rapportering er passende.
- iv. Om kontrolrammerne for væsentlige IKT-risici er forsvarlige.
|
|
62. Hvis de kompetente myndigheder vurderer, at IKT-risikoen er væsentlig, og de kompetente …
|
Hvis de kompetente myndigheder vurderer, at IKT-risikoen er væsentlig, og de kompetente myndigheder beslutter at vurdere og score denne risiko som en underkategori af operationel risiko, indeholder nedenstående tabel (tabel 1) betragtninger vedrørende IKT-risikoscore. Tabel 1: Tilsynsmæssige betragtninger vedrørende fastsættelse af IKT-risikoscore Risikoscore Tilsynsmæssig Betragtninger om iboende risiko Betragtninger om vurdering tilstrækkelig styring og | 1 Der er ingen • mærkbar risiko for væsentlig tilsynsmæssig påvirkning af • instituttet som følge af den iboende risiko samt risikostyringen og -kontrollen. | kontrol De informationskilder, som skal overvejes i pkt. 37, afslørede ingen betydelige IKT-risikoeksponeringer. Arten af instituttets IKT-risikoprofil sammen med gennemgangen af de kritiske IKT-systemer og væsentlige IKT-risici for IKT-systemer og -tjenester har ikke afsløret væsentlige IKT-risici. | | 2 Der er en lav risiko • for væsentlig | De informationskilder, som skal overvejes i pkt. 37, afslørede | | tilsynsmæssig påvirkning af instituttet som følge • af den iboende risiko samt risikostyringen og -kontrollen. | ingen betydelige IKT-risikoeksponeringer. Arten af instituttets IKT-risikoprofil sammen med • Instituttets IKT-gennemgangen af de kritiske IKT- risikopolitik og -strategi systemer og væsentlige IKT-risici stemmer overens med for IKT-systemer og -tjenester den overordnede strategi afslørede en begrænset IKT- og risikovillighed. risikoeksponering (f.eks. ikke • Den organisatoriske mere end to ud af fem af de struktur i relation til IKT-foruddefinerede IKT- risici er robust og baseret risikokategorier). på klare ansvarsområder | | 3 Der er en mellemhøj • risiko for væsentlig tilsynsmæssig påvirkning af instituttet som følge • af den iboende risiko samt risikostyringen og -kontrollen. | De informationskilder, som skal og en klar overvejes i pkt. 37, afslørede opgavefordeling mellem tegn på mulige væsentlige IKT- risikoejere og styrings- og risikoeksponeringer. kontrolfunktioner. Arten af instituttets IKT- • Systemerne til måling, risikoprofil sammen med overvågning og gennemgangen af de kritiske IKT- rapportering af IKT-risici systemer og væsentlige IKT-risici er passende. for IKT-systemer og -tjenester • Kontrolrammerne for IKT-afslørede en forhøjet IKT- risici er forsvarlige. risikoeksponering (f.eks. tre eller flere ud af fem af de foruddefinerede IKT-risikokategorier). | | 4 Der er en høj risiko • for væsentlig tilsynsmæssig påvirkning af instituttet som følge • af den iboende risiko samt risikostyringen og -kontrollen. | De informationskilder, som skal overvejes i pkt. 37, afslørede flere tegn på væsentlige IKT-risikoeksponeringer. Arten af instituttets IKT-risikoprofil sammen med gennemgangen af de kritiske IKT-systemer og væsentlige IKT-risici for IKT-systemer og -tjenester afslørede en høj IKT-risikoeksponering (f.eks. fire eller fem ud af fem af de foruddefinerede IKT-risikokategorier). |
|
|
Bilag – IKT-risikoklassificering
|
5 IKT-risikokategorier med en ikke-udtømmende liste over IKT-risici med potentielt høj alvorlighed og/eller påvirkning af drift, omdømme eller økonomi | IKT- IKT-risici (ikke-risikokategorier udtømmende10 ) IKT- Utilstrækkelig tilgængelighed kapacitetsstyring og beredskabsrisici | Risikobeskrivelse Mangel på ressourcer (f.eks. hardware, software, medarbejdere, leverandører) kan medføre, at tjenesten ikke i tilstrækkelig grad opfylder de forretningsmæssige behov, og kan forårsage systemafbrydelser, nedbrud og/eller operationelle fejl. | Eksempler • • | Kapacitetsmangel kan påvirke transmissionshastigheder og netværkstilgængelighed (internettet) for tjenesten som f.eks. netbank. Mangel på medarbejdere (interne eller hos tredjeparter) kan medføre systemafbrydelser og/eller operationelle fejl. | | IKT-systemfejl | Manglende tilgængelighed på grund af hardwarefejl. Manglende tilgængelighed på grund af softwarefejl eller andre fejl. | • • • | Fejl/funktionsfejl i lagerplads (harddisk), server eller andet IKT-udstyr som følge af f.eks. manglende vedligeholdelse. Uendeligt loop i anvendelsen af software forhindrer gennemførelse af transaktioner. Afbrydelser som følge af fortsat brug af forældede IKT-systemer og løsninger, der ikke længere opfylder nuværende krav til tilgængelighed og modstandsdygtighed, understøttes ikke længere af sælgerne. | | Utilstrækkelig IKT-beredskabs- og - katastrofebereds kabsplaner. Ødelæggende og | Fejl i planlagt IKT-tilgængelighed og/eller kontinuitetsløsninger og/eller katastrofeberedskab (f.eks. datacenter til fallback), som aktiveres i forbindelse med en hændelse. Angreb med forskellige formål (f.eks. aktivisme, | • • | Konfigurationsforskelle mellem det primære og sekundære datacenter kan medføre manglende kapacitet for fallback-datacentret med hensyn til at levere den planlagte kontinuitet i tjenesten. Distribuerede "denial of service"-angreb udføres |
10 IKT-risici fremgår under den risikokategori, som de påvirker mest, men de kan også påvirke andre risikokategorier | IKT- IKT-risici (ikke-risikokategorier udtømmende10 ) destruktive cyberangreb | Risikobeskrivelse afpresning), som medfører en overbelastning af systemer og netværk og forhindrer brugerne i at få adgang til onlinetjenester på computeren. | Eksempler | også ved hjælp af en lang række computersystemer på internettet, som kontrolleres af en hacker, der sender store mængder tilsyneladende lovlige anmodninger til internetbaserede tjenester (f.eks. netbank). | | IKT- Cyberangreb og sikkerhedsrisici andre eksterne IKT-baserede angreb | Angreb gennemført fra internettet eller uden for netværk med forskellige formål (f.eks. svig, spionage, aktivisme/sabotage, cyberterrorisme) ved hjælp af forskellige teknikker (f.eks. social manipulation, indtrængningsangreb gennem udnyttelse af sårbarheder, anvendelse af skadelig software), der overtager kontrollen med interne IKT-systemer. Hacking af svigagtige betalingstransaktioner ved indbrud i eller omgåelse af sikkerheden i netbank- eller betalingstjenester og/eller ved at angribe og udnytte sikkerhedssårbarheder i et instituts interne betalingssystemer. Hacking af svigagtige sikkerhedstransaktioner ved indbrud i eller omgåelse af sikkerheden i netbanktjenester, der også giver adgang til kundernes sikkerhedskonti. Angreb på kommunikationsforbindelser og alle former for samtaler eller IKT-systemer med det formål at | Forskellige • • • • • • • • | typer angreb: APT (Advanced Persistent Threat), hvor der tages kontrol med interne systemer, eller der stjæles oplysninger (f.eks. oplysninger vedrørende identitetstyveri, kreditkortoplysninger). Skadelig software (f.eks. ransomware), som krypterer data med henblik på afpresning. Inficering af interne it-systemer med trojanske heste med henblik på at skjule skadelige systemaktioner. Udnyttelse af IKT-system og/eller (web)applikationssårbarheder (f.eks. SQL-injektion ...) for at få adgang til det interne IKT-system. Angreb mod netbank- eller betalingstjenester med det formål at foretage uautoriserede transaktioner. Oprettelse og udsendelse af svigagtige betalingstransaktioner fra et instituts interne betalingssystemer (f.eks. svigagtige SWIFT-meddelelser). "Pump and dump"-angreb, hvor angriberne får adgang til kundernes værdipapirkonti via netbank og placerer svigagtige købs- eller salgsordrer for at påvirke markedspriserne og/eller få en gevinst baseret på tidligere etablerede værdipapirpositioner. Aflytning/indsamling af ubeskyttede transmissioner af ægthedskontroldata i tekstform. | | IKT- IKT-risici (ikke-risikokategorier udtømmende10 ) | Risikobeskrivelse indsamle oplysninger og/eller begå svig. | Eksempler | | | Utilstrækkelig intern IKT-sikkerhed | Uautoriseret adgang til kritiske IKT-systemer internt i instituttet til forskellige formål (f.eks. svig, gennemføre og skjule svindelaktiviteter, datatyveri, aktivisme/sabotage) med en række forskellige teknikker (f.eks. misbrug og/eller eskalerende privilegier, identitetstyveri, social manipulation, udnyttelse af sårbarheder i IKT-systemer, anvendelse af skadelig software). Uautoriserede IKT-manipulationer som følge af utilstrækkelig IKT-adgangsstyringsprocedurer og - praksis. Sikkerhedstrusler som følge af manglende opmærksomhed på sikkerhed, hvorved medarbejderne ikke forstår, undlader eller undgår at følge IKT-sikkerhedspolitikker og -procedurer. Uautoriseret lagring eller overførsel af fortrolige oplysninger uden for instituttet. | • • • • • • • • • | Installation af keylogger (til registrering af tastaturanslag) med henblik på at stjæle bruger-ID og adgangskoder for at få uautoriseret adgang til fortrolige data og/eller begå svig. Bryde/gætte svage adgangskoder for at opnå ulovlige eller højere adgangsrettigheder. Systemadministrator bruger operativsystemer eller databasefunktioner (til direkte databaseændringer) til at begå svig. Manglende deaktivering eller sletning af unødvendige konti, som giver uautoriseret adgang til IKT-systemer, f.eks. konti tilhørende personale, som har fået nye funktioner og/eller har forladt instituttet, herunder gæster og leverandører, som ikke længere har behov for adgang. For omfattende adgangsrettigheder og privilegier, der giver uautoriseret adgang og/eller gør det muligt at skjule svindelaktiviteter. Medarbejdere, der forledes til at yde bistand til et angreb (f.eks. social manipulation). Dårlig praksis med hensyn til brugeridentifikation: deling af adgangskoder, brug af adgangskoder, som er lette at gætte, brug af samme adgangskode til mange forskellige formål mv. Lagring af ikke-krypterede fortrolige oplysninger på bærbare pc'er og andre datalagringsløsninger (f.eks. USB-nøgler), som kan mistes eller blive stjålet. Personer, der stjæler eller bevidst lækker eller smugler fortrolige oplysninger ud til uautoriserede personer eller offentligheden. | | Utilstrækkelig | Misbrug eller tyveri af IKT-aktiver via fysisk adgang, der | • | Fysisk indbrud i kontorbygninger og/eller | | IKT- IKT-risici (ikke-risikokategorier udtømmende10 ) fysisk IKT-sikkerhed | Risikobeskrivelse forårsager skader, tab af aktiver eller data eller muliggør andre trusler. Bevidst eller tilfældig beskadigelse af fysiske IKT-aktiver som følge af terrorisme, ulykker eller utilsigtet/fejlagtig håndtering fra instituttets medarbejderes og/eller tredjeparters (leverandører, reparatører) side. Utilstrækkelig fysisk beskyttelse mod naturkatastrofer, som medfører hel eller delvis ødelæggelse af IKT-systemer/datacentre. | Eksempler • • • | datacentre for at stjæle IKT-udstyr (f.eks. computere, bærebare pc'er, lagringsløsninger) og/eller kopiere data ved fysisk at tilgå IKT-systemer. Fysisk terrorisme (f.eks. terrorbomber) eller sabotage af IKT-aktiver. Ødelæggelse af datacentre på grund af brand, vandskade eller andre faktorer. Jordskælv, ekstrem varme, orkaner, voldsomme snestorme, oversvømmelser, brand, lynnedslag. | | IKT- Utilstrækkelig ændringsrisici kontrol med IKT-systemændringer og IKT-udvikling | Hændelser som følge af uopdagede fejl eller sårbarheder som følge af en ændring (f.eks. uventede virkninger af en ændring eller en dårligt håndteret ændring som følge af manglende test eller forkert ændringsstyringspraksis) i f.eks. software, IKT-systemer og data. | • • • • • | Utilstrækkeligt testet software, der ligges i produktionsløjet, eller konfigurationsændringer med uventede skadelige virkninger på data (f.eks. ødelæggelse, sletning) og/eller på IKT-systemets ydeevne (f.eks. nedbrud, dårligere ydeevne). Ukontrollerede ændringer i IKT-systemer eller data i produktionsmiljøet. Dårligt sikrede IKT-systemer og internetapplikationer, der ligges i produktionsmiljøet, og som giver hackere mulighed for at angribe internettjenesterne og/eller bryde ind i interne IKT-systemer. Ukontrollerede ændringer i kildekoden i internt udviklet software. Utilstrækkelig test på grund af utilstrækkelige testmiljøer. | | Utilstrækkelig IKT-arkitektur | En svag IKT-arkitektur ved design, opbygning og vedligeholdelse af IKT-systemer (f.eks. software, hardware, data) kan over tid føre til komplekse, svære, omkostningstunge og stive IKT-systemer, der ikke længere er tilstrækkeligt tilpasset de | • | Utilstrækkeligt styrede ændringer i IKT-systemer, software og/eller data over en længere periode, der medfører, at komplekse, heterogene IKT-systemer og arkitekturer er vanskelige at styre, og som har mange skadelige virkninger på forretningsdriften og | | IKT- IKT-risici (ikke-risikokategorier udtømmende10 ) | Risikobeskrivelse forretningsmæssige behov og har mangler i forhold til de faktiske risikostyringskrav. | Eksempler • | risikostyringen (f.eks. manglende fleksibilitet og smidighed, IKT-hændelser og -fejl, store driftsomkostninger, ringere IKT-sikkerhed og - modstandsdygtighed, dårligere datakvalitet og rapporteringsmuligheder). Overdreven tilpasning og udvidelse af kommercielle softwarepakker med internt udviklet software, som gør det umuligt senere hen at frigive og opgradere den kommercielle software og medfører risiko for, at sælger ikke længere understøtter den. | | Utilstrækkelig livscyklus og patchstyring | Manglende vedligeholdelse af fortegnelse over alle IKT-aktiver til støtte for og kombineret med forsvarlige livscyklus- og patchstyringspraksisser. Dette medfører utilstrækkelig patchning (og dermed mere sårbare) og forældede IKT-systemer, der muligvis ikke støtter forretnings- og risikostyringsbehovene. | • | Ikke-patchede og forældede IKT-systemer, der kan have en negativ virkning på forretnings- og risikostyringen (f.eks. manglende fleksibilitet og smidighed, IKT-nedbrud, svag IKT-sikkerhed og modstandsdygtighed). | | IKT- Dysfunktionel dataintegritetsr IKT-isici databehandling eller -håndtering | På grund af system-, kommunikations- og/eller applikationsfejl eller fejlagtigt gennemførte datatransaktions-, overførsels- og belastningsprocesser (ETL) kan data blive ødelagt eller gå tabt. | • • • | IT-systemfejl i batchbehandling, der giver ubalancer i kundernes bankkonti. Forkert udførte forespørgsler. Datatab på grund af fejl ved datareplikation (backup). | | Dårligt designede datavalideringsko ntroller i IKT-systemer. | Fejl i forbindelse med manglende eller ineffektive automatiske datainput- og acceptkontroller (f.eks. til anvendte tredjepartsdata), dataoverførsels-, behandlings- og outputkontroller i IKT-systemerne (f.eks. inputvaliditetskontrol, dataafstemninger). | • • • • | Utilstrækkelig eller ugyldig formatering/validering af datainput i applikationer og/eller brugergrænseflader. Manglende dataafstemningskontrol af produceret output Manglende kontrol med gennemførte dataudtrækningsprocesser (f.eks. databasesøgninger), der medfører fejlbehæftede data. Brug af fejlbehæftede eksterne data. | | Dårligt | Datafejl som følge af manglende kontrol med, om | • | Udviklere eller databaseadministratorer, der direkte | | IKT- IKT-risici (ikke-risikokategorier udtømmende10 ) kontrollerede dataudvekslinger i produktions-IKT-systemer. Dårligt designet og/eller styret dataarkitektur, datastrømme, datamodeller eller data struktur/relatione r. IKT- Utilstrækkelig outsourcingrisic modstandsdygtig i hed hos tredjeparter eller andre koncernenheder. Utilstrækkelig styring af outsourcing. | Risikobeskrivelse datamanipulationer udført i forbindelse med produktionen af IKT-systemer er korrekte og berettigede. Dårligt styret dataarkitektur, datamodeller, datastrømme eller datastruktur/-relationer kan medføre flere versioner af samme data på tværs af IKT-systemerne, som ikke længere er konsekvente på grund af forskelligt anvendte datamodeller eller datadefinitioner og/eller forskelle i den underliggende datagenererings- og ændringsproces. Manglende tilgængelighed af kritisk outsourcede IKT-tjenester, telekommunikationstjenester og forsyningsvirksomheder. Tabte eller ødelagte kritiske/følsomme data, som var betroet leverandøren Større nedbrud eller fejl i tjenester som følge af ineffektive beredskabs- eller kontrolprocesser hos den outsourcede leverandør. Ineffektiv forvaltning af outsourcing kan medføre manglende færdigheder og muligheder for fuldt ud at identificere, vurdere, mindske og overvåge IKT-risici og kan begrænse institutternes operationelle kapacitet. | Eksempler • • • • • • | tilgår og ændrer data i produktions-IKT-systemer på en ikke-kontrolleret måde, f.eks. i tilfælde af en IKT-hændelse. Forskellige kundedatabaser pr. produkt eller forretningsenhed med forskellige datadefinitioner og -områder, som medfører uafstemte og vanskeligt sammenlignelige kundedata i hele det finansielle institut eller koncernen. Manglende tilgængelighed af centrale tjenester som følge af fejl i leverandørers (outsourcede) IKT-systemer eller -applikationer. Afbrydelse af telekommunikationsforbindelser. Manglende strømforsyning. Dårlige procedurer for håndtering af hændelser, kontraktlige kontrolmekanismer og garantier indbygget i leverandøraftalen, som øger afhængigheden af tredjeparter og sælgere. Utilstrækkelige ændringsstyringskontroller vedrørende leverandørens IKT-miljø kan medføre en kraftig forringelse af tjenesten, eller at de helt bryder ned. | | Utilstrækkelig sikkerhed hos tredjeparter eller andre koncernenheder. | Hacking af tredjepartsleverandørers IKT-systemer, som direkte påvirker de outsourcede tjenester eller kritiske/fortrolige data lagret hos leverandøren. Leverandørens medarbejdere får uautoriseret adgang til kritiske/følsomme data lagret hos leverandøren. | • • | Kriminelle eller terroristers hacking af leverandører som indgangspunkt til instituttets IKT-systemer eller for at få adgang til/ødelægge kritiske eller følsomme data, som er lagret hos leverandøren. Ansatte hos leverandører, der i ond hensigt forsøger at stjæle og sælge følsomme oplysninger. |
|
,
1.1 Referencer
1.2 Identificerede krav
1.3 Relaterede standarder
2. Identificerede krav
3. Relaterede standarder
- EBA - Published by the European Banking Authority at https://www.eba.europa.eu/
|