55. Die zuständigen Behörden sollten bewerten, ob das Institut über einen wirksamen Rahmen zur …

Die zuständigen Behörden sollten bewerten, ob das Institut über einen wirksamen Rahmen zur Ermittlung, Verständnis, Messung und Minderung des IKT-Sicherheitsrisikos verfügt. Bei dieser Bewertung sollten die zuständigen Behörden insbesondere prüfen, ob der Rahmen Folgendes berücksichtigt:

• a. klar definierte Rollen und Verantwortlichkeiten in Bezug auf:
• i. die Person(en) und/oder Ausschüsse, die für das tägliche IKT-Sicherheitsmanagement und die Ausarbeitung der übergreifenden IKT-Sicherheitspolitiken verantwortlich oder diesbezüglich rechenschaftspflichtig sind, unter Beachtung ihrer erforderlichen Unabhängigkeit;
• ii. die Gestaltung, Umsetzung, Verwaltung und Überwachung von IKT-Sicherheitskontrollen;
• iii. der Schutz kritischer IKT-Systeme und -Dienste, z. B. durch Verabschiedung eines Sicherheitslücken-Bewertungsprozesses, Software-Patch-Management, durchgehenden Schutz (z. B. Schadsoftware-Virus), Eindringungserkennungs- und Präventionstools;
• iv. die Überwachung, Klassifizierung und Behandlung externer oder interner IKT-Sicherheitsereignisse, einschließlich der Ereignisreaktion und der Wiederinbetriebnahme und Wiederherstellung der IKT-Systeme und -Dienste;
• v. regelmäßige und proaktive Bedrohungsbewertungen zur Aufrechterhaltung angemessener Sicherheitskontrollen.
• b. eine IKT-Sicherheitspolitik, die international anerkannte IKT-Sicherheitsstandards und Sicherheitsgrundsätze (z. B. das „Prinzip der geringsten Privilegien", d. h. die Begrenzung des Zugriffs auf das absolute Minimum, um ein normales Funktionieren der Verwaltung der Zugriffsrechte zu erlauben, und das Prinzip der „Verteidigung in der Tiefe“, d. h. überlagerte Sicherheitsmechanismen, welche die Sicherheit des Systems als Ganzes zur Entwicklung einer Sicherheitsarchitektur erhöhen) berücksichtigt und gegebenenfalls einhält;
• c. ein Prozess zur Ermittlung von IKT-Systemen, -Diensten und angemessenen Sicherheitsanforderungen, die ein potenzielles Betrugsrisiko und/oder eine unsachgemäße oder missbräuchliche Verwendung vertraulicher Daten widerspiegeln, sowie einzuhaltende dokumentierte Sicherheitserwartungen für diese ermittelten IKT-Systeme, -Dienste und -Daten, die auf die Risikotoleranz des Instituts abgestimmt sind, und deren ordnungsgemäße Umsetzung überwacht wird;
• d. einen dokumentierten Sicherheitsereignismanagement- und -eskalationsprozess, der Orientierungshilfen für die verschiedenen Ereignismanagement- und -eskalationsrollen und -verantwortlichkeiten, die Mitglieder des bzw. der Krisenausschüsse und die Befehlskette in Notfällen bei Sicherheitsproblemen vorgibt;
• e. Protokollierung der Nutzer- und Administratorenaktivität, um eine wirksame Überwachung und die rechtzeitige Aufdeckung und Reaktion auf unbefugte Zugriffe zu ermöglichen; um forensische Untersuchungen von Sicherheitsereignissen zu unterstützen oder durchzuführen. Das Institut sollte über Protokollierungsleitfaden verfügen, in der angemessene Protokolltypen sowie ihre Aufbewahrungszeiträume festgelegt sind;
• f. Sensibilisierungs- und Informationskampagnen oder -initiativen, um alle Ebenen des Instituts über die sichere Nutzung und den Schutz der IKT-Systeme des Instituts und die wichtigsten IKT-Sicherheitsrisiken (und andere) Risiken zu informieren, über die sie Bescheid wissen sollten, insbesondere hinsichtlich der bestehenden und sich entwickelnden Cyberrisiken (z. B. Computerviren, mögliche interne oder externe Missbräuche oder Angriffe, Cyber-Angriffe) und ihre Rolle bei der Minderung von Sicherheitsverstößen;
• g. angemessene physische Sicherheitsmaßnahmen (z. B. Videoüberwachung, Einbruchalarm, Sicherheitstüren), um einen unbefugten physischen Zugriff auf kritische und sensible IKT-Systeme (z. B. Rechenzentren) zu verhindern;
• h. Maßnahmen zum Schutz der IKT-Systeme vor Angriffen aus dem Internet (d. h. Cyber-Angriffe) oder anderen externen Netzwerken (z. B. traditionelle Telekommunikationsverbindungen oder Verbindungen mit vertrauenswürdigen Partnern). Die zuständigen Behörden sollten prüfen, ob der Rahmen des Instituts Folgendes berücksichtigt:
• i. einen Prozess und Lösungen zum Führen eines vollständigen und aktuellen Inventars und einer Übersicht über alle nach außen gerichteten Netzwerkverbindungspunkte (z. B. Websites, Online-Anwendungen, WLAN, Fernzugriff), durch die Dritte in die internen IKT-Systeme eindringen könnten.
• ii. genau gesteuerte und überwachte Sicherheitsmaßnahmen (z. B. Firewalls, Proxy-Server, Mail-Relays, Antivirus- und Content-Scanner), um den eingehenden und ausgehenden Netzwerkverkehr (z. B. E-Mail) und die nach außen gerichteten Netzwerkverbindungen, durch die Dritte in die internen IKT-Systeme eindringen könnten, zu sichern;
• iii. Prozesse und Lösungen zur Sicherung von Websites und Anwendungen, die direkt aus dem Internet und/oder von außen angegriffen werden können und als Zugriffspunkt in die internen IKT-Systeme dienen können. In der Regel handelt es sich dabei um eine Kombination aus anerkannten sicheren Entwicklungspraktiken, IKT-Systemhärtungs- und Sicherheitslücken-Scanning-Praktiken und/oder die Implementierung ergänzender Sicherheitslösungen, wie z. B. Anwendungs-Firewalls und/oder Eindringungserkennungs-und/oder Präventionstools;
• iv. regelmäßige Sicherheitsdurchdringungstests zur Bewertung der Wirksamkeit von implementierten Cyber- und internen IKT-Sicherheitsmaßnahmen und -prozessen. Diese Tests sollten von Mitarbeitern und/oder externen Sachverständigen mit dem erforderlichen Fachwissen durchgeführt werden, wobei dokumentierte Testergebnisse und Schlussfolgerungen der Geschäftsleitung und/oder dem Leitungsorgan mitgeteilt werden. Soweit erforderlich und anwendbar, sollte das Institut aus diesen Tests Erkenntnisse im Hinblick darauf ziehen, an welchen Stellen die Sicherheitskontrollen und -prozesse weiter verbessert werden können und/oder wie eine bessere Sicherung ihrer Wirksamkeit bewerkstelligt werden kann.
• (c) Kontrollen für den Umgang mit erheblichen IKT-Änderungsrisiken

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Standards

2. Identifizierte Anforderungen

3. Zugehörige Standards

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/