| IKT- IKT-risici (ikke-risikokategorier udtømmende10 ) destruktive cyberangreb | Risikobeskrivelse afpresning), som medfører en overbelastning af systemer og netværk og forhindrer brugerne i at få adgang til onlinetjenester på computeren. | Eksempler | også ved hjælp af en lang række computersystemer på internettet, som kontrolleres af en hacker, der sender store mængder tilsyneladende lovlige anmodninger til internetbaserede tjenester (f.eks. netbank). |
| IKT- Cyberangreb og sikkerhedsrisici andre eksterne IKT-baserede angreb | Angreb gennemført fra internettet eller uden for netværk med forskellige formål (f.eks. svig, spionage, aktivisme/sabotage, cyberterrorisme) ved hjælp af forskellige teknikker (f.eks. social manipulation, indtrængningsangreb gennem udnyttelse af sårbarheder, anvendelse af skadelig software), der overtager kontrollen med interne IKT-systemer. Hacking af svigagtige betalingstransaktioner ved indbrud i eller omgåelse af sikkerheden i netbank- eller betalingstjenester og/eller ved at angribe og udnytte sikkerhedssårbarheder i et instituts interne betalingssystemer. Hacking af svigagtige sikkerhedstransaktioner ved indbrud i eller omgåelse af sikkerheden i netbanktjenester, der også giver adgang til kundernes sikkerhedskonti. Angreb på kommunikationsforbindelser og alle former for samtaler eller IKT-systemer med det formål at | Forskellige • • • • • • • • | typer angreb: APT (Advanced Persistent Threat), hvor der tages kontrol med interne systemer, eller der stjæles oplysninger (f.eks. oplysninger vedrørende identitetstyveri, kreditkortoplysninger). Skadelig software (f.eks. ransomware), som krypterer data med henblik på afpresning. Inficering af interne it-systemer med trojanske heste med henblik på at skjule skadelige systemaktioner. Udnyttelse af IKT-system og/eller (web)applikationssårbarheder (f.eks. SQL-injektion ...) for at få adgang til det interne IKT-system. Angreb mod netbank- eller betalingstjenester med det formål at foretage uautoriserede transaktioner. Oprettelse og udsendelse af svigagtige betalingstransaktioner fra et instituts interne betalingssystemer (f.eks. svigagtige SWIFT-meddelelser). "Pump and dump"-angreb, hvor angriberne får adgang til kundernes værdipapirkonti via netbank og placerer svigagtige købs- eller salgsordrer for at påvirke markedspriserne og/eller få en gevinst baseret på tidligere etablerede værdipapirpositioner. Aflytning/indsamling af ubeskyttede transmissioner af ægthedskontroldata i tekstform. |
| IKT- IKT-risici (ikke-risikokategorier udtømmende10 ) | Risikobeskrivelse indsamle oplysninger og/eller begå svig. | Eksempler | |
| Utilstrækkelig intern IKT-sikkerhed | Uautoriseret adgang til kritiske IKT-systemer internt i instituttet til forskellige formål (f.eks. svig, gennemføre og skjule svindelaktiviteter, datatyveri, aktivisme/sabotage) med en række forskellige teknikker (f.eks. misbrug og/eller eskalerende privilegier, identitetstyveri, social manipulation, udnyttelse af sårbarheder i IKT-systemer, anvendelse af skadelig software). Uautoriserede IKT-manipulationer som følge af utilstrækkelig IKT-adgangsstyringsprocedurer og - praksis. Sikkerhedstrusler som følge af manglende opmærksomhed på sikkerhed, hvorved medarbejderne ikke forstår, undlader eller undgår at følge IKT-sikkerhedspolitikker og -procedurer. Uautoriseret lagring eller overførsel af fortrolige oplysninger uden for instituttet. | • • • • • • • • • | Installation af keylogger (til registrering af tastaturanslag) med henblik på at stjæle bruger-ID og adgangskoder for at få uautoriseret adgang til fortrolige data og/eller begå svig. Bryde/gætte svage adgangskoder for at opnå ulovlige eller højere adgangsrettigheder. Systemadministrator bruger operativsystemer eller databasefunktioner (til direkte databaseændringer) til at begå svig. Manglende deaktivering eller sletning af unødvendige konti, som giver uautoriseret adgang til IKT-systemer, f.eks. konti tilhørende personale, som har fået nye funktioner og/eller har forladt instituttet, herunder gæster og leverandører, som ikke længere har behov for adgang. For omfattende adgangsrettigheder og privilegier, der giver uautoriseret adgang og/eller gør det muligt at skjule svindelaktiviteter. Medarbejdere, der forledes til at yde bistand til et angreb (f.eks. social manipulation). Dårlig praksis med hensyn til brugeridentifikation: deling af adgangskoder, brug af adgangskoder, som er lette at gætte, brug af samme adgangskode til mange forskellige formål mv. Lagring af ikke-krypterede fortrolige oplysninger på bærbare pc'er og andre datalagringsløsninger (f.eks. USB-nøgler), som kan mistes eller blive stjålet. Personer, der stjæler eller bevidst lækker eller smugler fortrolige oplysninger ud til uautoriserede personer eller offentligheden. |
| Utilstrækkelig | Misbrug eller tyveri af IKT-aktiver via fysisk adgang, der | • | Fysisk indbrud i kontorbygninger og/eller |
| IKT- IKT-risici (ikke-risikokategorier udtømmende10 ) fysisk IKT-sikkerhed | Risikobeskrivelse forårsager skader, tab af aktiver eller data eller muliggør andre trusler. Bevidst eller tilfældig beskadigelse af fysiske IKT-aktiver som følge af terrorisme, ulykker eller utilsigtet/fejlagtig håndtering fra instituttets medarbejderes og/eller tredjeparters (leverandører, reparatører) side. Utilstrækkelig fysisk beskyttelse mod naturkatastrofer, som medfører hel eller delvis ødelæggelse af IKT-systemer/datacentre. | Eksempler • • • | datacentre for at stjæle IKT-udstyr (f.eks. computere, bærebare pc'er, lagringsløsninger) og/eller kopiere data ved fysisk at tilgå IKT-systemer. Fysisk terrorisme (f.eks. terrorbomber) eller sabotage af IKT-aktiver. Ødelæggelse af datacentre på grund af brand, vandskade eller andre faktorer. Jordskælv, ekstrem varme, orkaner, voldsomme snestorme, oversvømmelser, brand, lynnedslag. |
| IKT- Utilstrækkelig ændringsrisici kontrol med IKT-systemændringer og IKT-udvikling | Hændelser som følge af uopdagede fejl eller sårbarheder som følge af en ændring (f.eks. uventede virkninger af en ændring eller en dårligt håndteret ændring som følge af manglende test eller forkert ændringsstyringspraksis) i f.eks. software, IKT-systemer og data. | • • • • • | Utilstrækkeligt testet software, der ligges i produktionsløjet, eller konfigurationsændringer med uventede skadelige virkninger på data (f.eks. ødelæggelse, sletning) og/eller på IKT-systemets ydeevne (f.eks. nedbrud, dårligere ydeevne). Ukontrollerede ændringer i IKT-systemer eller data i produktionsmiljøet. Dårligt sikrede IKT-systemer og internetapplikationer, der ligges i produktionsmiljøet, og som giver hackere mulighed for at angribe internettjenesterne og/eller bryde ind i interne IKT-systemer. Ukontrollerede ændringer i kildekoden i internt udviklet software. Utilstrækkelig test på grund af utilstrækkelige testmiljøer. |
| Utilstrækkelig IKT-arkitektur | En svag IKT-arkitektur ved design, opbygning og vedligeholdelse af IKT-systemer (f.eks. software, hardware, data) kan over tid føre til komplekse, svære, omkostningstunge og stive IKT-systemer, der ikke længere er tilstrækkeligt tilpasset de | • | Utilstrækkeligt styrede ændringer i IKT-systemer, software og/eller data over en længere periode, der medfører, at komplekse, heterogene IKT-systemer og arkitekturer er vanskelige at styre, og som har mange skadelige virkninger på forretningsdriften og |
| IKT- IKT-risici (ikke-risikokategorier udtømmende10 ) | Risikobeskrivelse forretningsmæssige behov og har mangler i forhold til de faktiske risikostyringskrav. | Eksempler • | risikostyringen (f.eks. manglende fleksibilitet og smidighed, IKT-hændelser og -fejl, store driftsomkostninger, ringere IKT-sikkerhed og - modstandsdygtighed, dårligere datakvalitet og rapporteringsmuligheder). Overdreven tilpasning og udvidelse af kommercielle softwarepakker med internt udviklet software, som gør det umuligt senere hen at frigive og opgradere den kommercielle software og medfører risiko for, at sælger ikke længere understøtter den. |
| Utilstrækkelig livscyklus og patchstyring | Manglende vedligeholdelse af fortegnelse over alle IKT-aktiver til støtte for og kombineret med forsvarlige livscyklus- og patchstyringspraksisser. Dette medfører utilstrækkelig patchning (og dermed mere sårbare) og forældede IKT-systemer, der muligvis ikke støtter forretnings- og risikostyringsbehovene. | • | Ikke-patchede og forældede IKT-systemer, der kan have en negativ virkning på forretnings- og risikostyringen (f.eks. manglende fleksibilitet og smidighed, IKT-nedbrud, svag IKT-sikkerhed og modstandsdygtighed). |
| IKT- Dysfunktionel dataintegritetsr IKT-isici databehandling eller -håndtering | På grund af system-, kommunikations- og/eller applikationsfejl eller fejlagtigt gennemførte datatransaktions-, overførsels- og belastningsprocesser (ETL) kan data blive ødelagt eller gå tabt. | • • • | IT-systemfejl i batchbehandling, der giver ubalancer i kundernes bankkonti. Forkert udførte forespørgsler. Datatab på grund af fejl ved datareplikation (backup). |
| Dårligt designede datavalideringsko ntroller i IKT-systemer. | Fejl i forbindelse med manglende eller ineffektive automatiske datainput- og acceptkontroller (f.eks. til anvendte tredjepartsdata), dataoverførsels-, behandlings- og outputkontroller i IKT-systemerne (f.eks. inputvaliditetskontrol, dataafstemninger). | • • • • | Utilstrækkelig eller ugyldig formatering/validering af datainput i applikationer og/eller brugergrænseflader. Manglende dataafstemningskontrol af produceret output Manglende kontrol med gennemførte dataudtrækningsprocesser (f.eks. databasesøgninger), der medfører fejlbehæftede data. Brug af fejlbehæftede eksterne data. |
| Dårligt | Datafejl som følge af manglende kontrol med, om | • | Udviklere eller databaseadministratorer, der direkte |
| IKT- IKT-risici (ikke-risikokategorier udtømmende10 ) kontrollerede dataudvekslinger i produktions-IKT-systemer. Dårligt designet og/eller styret dataarkitektur, datastrømme, datamodeller eller data struktur/relatione r. IKT- Utilstrækkelig outsourcingrisic modstandsdygtig i hed hos tredjeparter eller andre koncernenheder. Utilstrækkelig styring af outsourcing. | Risikobeskrivelse datamanipulationer udført i forbindelse med produktionen af IKT-systemer er korrekte og berettigede. Dårligt styret dataarkitektur, datamodeller, datastrømme eller datastruktur/-relationer kan medføre flere versioner af samme data på tværs af IKT-systemerne, som ikke længere er konsekvente på grund af forskelligt anvendte datamodeller eller datadefinitioner og/eller forskelle i den underliggende datagenererings- og ændringsproces. Manglende tilgængelighed af kritisk outsourcede IKT-tjenester, telekommunikationstjenester og forsyningsvirksomheder. Tabte eller ødelagte kritiske/følsomme data, som var betroet leverandøren Større nedbrud eller fejl i tjenester som følge af ineffektive beredskabs- eller kontrolprocesser hos den outsourcede leverandør. Ineffektiv forvaltning af outsourcing kan medføre manglende færdigheder og muligheder for fuldt ud at identificere, vurdere, mindske og overvåge IKT-risici og kan begrænse institutternes operationelle kapacitet. | Eksempler • • • • • • | tilgår og ændrer data i produktions-IKT-systemer på en ikke-kontrolleret måde, f.eks. i tilfælde af en IKT-hændelse. Forskellige kundedatabaser pr. produkt eller forretningsenhed med forskellige datadefinitioner og -områder, som medfører uafstemte og vanskeligt sammenlignelige kundedata i hele det finansielle institut eller koncernen. Manglende tilgængelighed af centrale tjenester som følge af fejl i leverandørers (outsourcede) IKT-systemer eller -applikationer. Afbrydelse af telekommunikationsforbindelser. Manglende strømforsyning. Dårlige procedurer for håndtering af hændelser, kontraktlige kontrolmekanismer og garantier indbygget i leverandøraftalen, som øger afhængigheden af tredjeparter og sælgere. Utilstrækkelige ændringsstyringskontroller vedrørende leverandørens IKT-miljø kan medføre en kraftig forringelse af tjenesten, eller at de helt bryder ned. |
| Utilstrækkelig sikkerhed hos tredjeparter eller andre koncernenheder. | Hacking af tredjepartsleverandørers IKT-systemer, som direkte påvirker de outsourcede tjenester eller kritiske/fortrolige data lagret hos leverandøren. Leverandørens medarbejdere får uautoriseret adgang til kritiske/følsomme data lagret hos leverandøren. | • • | Kriminelle eller terroristers hacking af leverandører som indgangspunkt til instituttets IKT-systemer eller for at få adgang til/ødelægge kritiske eller følsomme data, som er lagret hos leverandøren. Ansatte hos leverandører, der i ond hensigt forsøger at stjæle og sælge følsomme oplysninger. |