3.2 Προσδιορισμός ουσιωδών κινδύνων ΤΠΕ

Οι αρμόδιες αρχές θα πρέπει να εντοπίζουν τους ουσιώδεις κινδύνους ΤΠΕ στους οποίους εκτίθεται ή ενδέχεται να εκτίθεται το ίδρυμα ακολουθώντας τα παρακάτω βήματα.

3.2.1 Επανεξέταση του προφίλ κινδύνων ΤΠΕ του ιδρύματος

Κατά την επανεξέταση του προφίλ κινδύνων ΤΠΕ του ιδρύματος, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν υπόψη όλες τις σχετικές πληροφορίες για την έκθεση του ιδρύματος σε κινδύνους ΤΠΕ, συμπεριλαμβανομένων των πληροφοριών της παραγράφου 37 και των ουσιωδών ανεπαρκειών ή αδυναμιών που έχουν εντοπιστεί στην οργάνωση ΤΠΕ και στους ελέγχους σε επίπεδο ιδρύματος, δυνάμει του τίτλου 2 των παρόντων κατευθυντήριων γραμμών και, εφόσον ενδείκνυται, να επανεξετάζουν τις πληροφορίες αυτές κατά αναλογικό τρόπο. Στο πλαίσιο αυτής της επανεξέτασης, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν υπόψη:

• α. τον ενδεχόμενο αντίκτυπο μιας σημαντικής διατάραξης των συστημάτων ΤΠΕ του ιδρύματος στο χρηματοπιστωτικό σύστημα είτε σε εγχώριο είτε σε διεθνές επίπεδο·
• β. εάν το ίδρυμα ενδέχεται να υπόκειται σε κινδύνους που αφορούν την ασφάλεια των ΤΠΕ ή σε κινδύνους που αφορούν τη διαθεσιμότητα και τη συνέχεια των ΤΠΕ λόγω εξάρτησης από το διαδίκτυο, εφαρμογής καινοτόμων λύσεων ΤΠΕ σε μεγάλη έκταση ή άλλων επιχειρηματικών διαύλων διανομής που ενδέχεται να το καθιστούν πιθανότερο στόχο επιθέσεων από τον κυβερνοχώρο·
• γ. εάν το ίδρυμα μπορεί να είναι περισσότερο εκτεθειμένο σε κινδύνους ασφάλειας ΤΠΕ, κινδύνους διαθεσιμότητας και συνέχειας των ΤΠΕ, κινδύνους ακεραιότητας δεδομένων ΤΠΕ ή κινδύνους αλλαγών των ΤΠΕ λόγω της πολυπλοκότητας (π.χ. ως αποτέλεσμα συγχωνεύσεων ή εξαγορών) ή του παρωχημένου χαρακτήρα των συστημάτων ΤΠΕ που διαθέτει·
• δ. εάν το ίδρυμα πραγματοποιεί ουσιώδεις αλλαγές στα συστήματα ΤΠΕ που διαθέτει και/ή στο τμήμα ΤΠΕ (π.χ. ως αποτέλεσμα συγχωνεύσεων, εξαγορών, εκποιήσεων ή της αντικατάστασης των βασικών συστημάτων ΤΠΕ που διαθέτει), οι οποίες δύνανται να επηρεάσουν αρνητικά τη σταθερότητα ή την ορθή λειτουργία των συστημάτων ΤΠΕ και να προκαλέσουν ουσιώδεις κινδύνους διαθεσιμότητας και συνέχειας των ΤΠΕ, κινδύνους ασφάλειας των ΤΠΕ, κινδύνους αλλαγών των ΤΠΕ ή κινδύνους ακεραιότητας δεδομένων ΤΠΕ·
• ε. εάν το ίδρυμα έχει αναθέσει εξωτερικά υπηρεσίες ΤΠΕ ή συστήματα ΤΠΕ εντός ή εκτός του ομίλου και, λόγω αυτής της ενέργειας, μπορεί να εκτίθεται σε ουσιώδεις κινδύνους εξωτερικής ανάθεσης ΤΠΕ· στ. εάν το ίδρυμα εφαρμόζει επιθετικά μέτρα μείωσης του κόστους των ΤΠΕ τα οποία δύνανται να επιφέρουν μείωση των απαιτούμενων επενδύσεων σε ΤΠΕ, πόρων ΤΠΕ και τεχνογνωσίας στον τομέα της πληροφορικής και να αυξήσουν την έκθεση σε όλους τους τύπους κινδύνων ΤΠΕ στην ταξινόμηση·
• ζ. εάν η τοποθεσία σημαντικών δραστηριοτήτων/ μηχανογραφικών κέντρων ΤΠΕ (π.χ. περιφέρειες, χώρες) δύναται να εκθέτει το ίδρυμα σε φυσικές καταστροφές (π.χ. πλημμύρες, σεισμούς), πολιτική αστάθεια ή εργασιακές διαμάχες και πολιτικές αναταραχές οι οποίες μπορεί να επιφέρουν ουσιαστική αύξηση των κινδύνων διαθεσιμότητας και συνέχειας των ΤΠΕ και των κινδύνων ασφάλειας των ΤΠΕ.

3.2.2 Επανεξέταση των κρίσιμων συστημάτων και υπηρεσιών ΤΠΕ

Στο πλαίσιο της διαδικασίας εντοπισμού των κινδύνων ΤΠΕ, οι οποίοι ενδέχεται να έχουν ουσιώδη αρνητικό αντίκτυπο στο ίδρυμα από πλευράς προληπτικής εποπτείας, οι αρμόδιες αρχές θα πρέπει να εξετάζουν έγγραφα τεκμηρίωσης από το ίδρυμα και να διαμορφώνουν γνώμη σχετικά με τα συστήματα και τις υπηρεσίες ΤΠΕ που είναι κρίσιμες για την επαρκή λειτουργία, διαθεσιμότητα, συνέχεια και ασφάλεια των ουσιαστικών δραστηριοτήτων του ιδρύματος.

Για τον σκοπό αυτό, οι αρμόδιες αρχές θα πρέπει να επανεξετάζουν τη μεθοδολογία και τις διαδικασίες που εφαρμόζει το ίδρυμα για τον εντοπισμό των συστημάτων και των υπηρεσιών ΤΠΕ που είναι κρίσιμης σημασίας, λαμβάνοντας υπόψη ότι ορισμένα συστήματα και υπηρεσίες ΤΠΕ μπορεί να θεωρούνται κρίσιμα από το ίδρυμα από άποψη επιχειρηματικής συνέχειας και διαθεσιμότητας, ασφάλειας (π.χ. πρόληψη απάτης) και/ή εμπιστευτικότητας (εμπιστευτικά δεδομένα). Κατά τη διενέργεια της επανεξέτασης, οι αρμόδιες αρχές θα πρέπει να διενεργούν την επανεξέτασή τους λαμβάνοντας υπόψη ότι τα κρίσιμα συστήματα και οι κρίσιμες υπηρεσίες ΤΠΕ θα πρέπει να πληρούν τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:

• α. να υποστηρίζουν τις βασικές επιχειρηματικές λειτουργίες και διαύλους διανομής (π.χ. ATM, δικτυοτραπεζική και τραπεζικές συναλλαγές μέσω κινητού τηλεφώνου) του ιδρύματος·
• β. να υποστηρίζουν βασικές διαδικασίες διακυβέρνησης και εταιρικά τμήματα, συμπεριλαμβανομένης της διαχείρισης κινδύνων (π.χ. συστήματα διαχείρισης κινδύνων και ταμειακής διαχείρισης)·
• γ. να πληρούν ειδικές νομικές και κανονιστικές απαιτήσεις (εάν υπάρχουν) οι οποίες επιβάλλουν αυστηρότερες απαιτήσεις διαθεσιμότητας, ανθεκτικότητας, εμπιστευτικότητας ή ασφάλειας (π.χ. νομοθεσία προστασίας δεδομένων ή πιθανοί «στόχοι χρόνου ανάκτησης» (RTO, ο μέγιστος χρόνος εντός του οποίου ένα σύστημα ή μια διαδικασία πρέπει να αποκατασταθεί κατόπιν ενός συμβάντος) και «στόχος σημείου ανάκτησης» (RPO, η μέγιστη χρονική περίοδος κατά τη διάρκεια της οποίας δύνανται να απολεσθούν δεδομένα στην περίπτωση ενός συμβάντος) για ορισμένες συστημικά σημαντικές υπηρεσίες (εάν και εφόσον προβλέπονται)·
• δ. να επεξεργάζονται ή αποθηκεύουν εμπιστευτικά ή ευαίσθητα δεδομένα στα οποία τυχόν μη εξουσιοδοτημένη πρόσβαση θα μπορούσε να επηρεάσει σημαντικά τη φήμη, τα οικονομικά αποτελέσματα του ιδρύματος ή την ευρωστία και τη συνέχιση των δραστηριοτήτων του (π.χ. βάσεις δεδομένων με ευαίσθητα δεδομένα πελατών) και/ή
• ε. να παρέχουν βασικές λειτουργίες οι οποίες είναι ζωτικής σημασίας για την επαρκή λειτουργία του ιδρύματος (π.χ. υπηρεσίες τηλεπικοινωνιών και συνδεσιμότητας, υπηρεσίες ΤΠΕ και ασφάλειας στον κυβερνοχώρο).

3.2.3 Προσδιορισμός ουσιωδών κινδύνων ΤΠΕ για κρίσιμα συστήματα και υπηρεσίες ΤΠΕ

Λαμβάνοντας υπόψη την εξέταση του προφίλ κινδύνων ΤΠΕ και των κρίσιμων συστημάτων και υπηρεσιών ΤΠΕ του ιδρύματος που αναφέρθηκε ανωτέρω, οι αρμόδιες αρχές θα πρέπει να διαμορφώσουν άποψη σχετικά με τους ουσιώδεις κινδύνους ΤΠΕ που, κατά την εποπτική κρίση τους, μπορεί να έχουν σημαντικές επιπτώσεις από πλευράς προληπτικής εποπτείας στα κρίσιμα συστήματα και τις κρίσιμες υπηρεσίες ΤΠΕ του ιδρύματος.

Κατά την αξιολόγηση του δυνητικού αντίκτυπου των κινδύνων ΤΠΕ στα κρίσιμα συστήματα και τις κρίσιμες υπηρεσίες ΤΠΕ ενός ιδρύματος, οι αρμόδιες αρχές θα πρέπει να εξετάζουν:

• α. τον οικονομικό αντίκτυπο, συμπεριλαμβανομένης (ενδεικτικά) της απώλειας κεφαλαίων ή περιουσιακών στοιχείων, της ενδεχόμενης αποζημίωσης πελατών, των νομικών εξόδων και εξόδων αποκατάστασης, της συμβατικής αποζημίωσης, των απολεσθέντων εσόδων·
• β. το ενδεχόμενο διατάραξης της δραστηριότητας, λαμβάνοντας υπόψη (ενδεικτικά) την κρισιμότητα των χρηματοοικονομικών υπηρεσιών που επηρεάζονται· τον αριθμό των πελατών και/ή κλάδων και των εργαζομένων που ενδεχομένως επηρεάζονται·
• γ. τον δυνητικό αντίκτυπο στη φήμη του ιδρύματος βάσει της κρισιμότητας της τραπεζικής υπηρεσίας ή της επιχειρησιακής δραστηριότητας που επηρεάζεται (π.χ. κλοπή δεδομένων πελατών)· του εξωτερικού προφίλ/της προβολής των συστημάτων και των υπηρεσιών ΤΠΕ που επηρεάζονται (π.χ. συστήματα τραπεζικής μέσω κινητού τηλεφώνου ή ηλεκτρονικής τραπεζικής, σημείο πώλησης, ATM ή συστήματα πληρωμών)·
• δ. τον κανονιστικό αντίκτυπο, συμπεριλαμβανομένου του ενδεχομένου δημόσιας επίπληξης από τη ρυθμιστική αρχή, επιβολής προστίμων ή ακόμα και μεταβολής των αδειών·
• ε. τον στρατηγικό αντίκτυπο στο ίδρυμα, για παράδειγμα εάν τίθενται σε κίνδυνο ή έχουν κλαπεί στρατηγικά σχέδια για προϊόντα ή επιχειρηματικά σχέδια.

Στη συνέχεια, οι αρμόδιες αρχές θα πρέπει να καταγράφουν τους κινδύνους ΤΠΕ που προσδιορίστηκαν και που θεωρούνται ουσιώδεις στις ακόλουθες κατηγορίες κινδύνων ΤΠΕ, για τις οποίες επιπρόσθετες περιγραφές και παραδείγματα κινδύνων παρέχονται στο παράρτημα. Οι αρμόδιες αρχές θα πρέπει να μελετούν τους κινδύνους ΤΠΕ που αναφέρονται στο παράρτημα στο πλαίσιο της αξιολόγησης δυνάμει του τίτλου 3:

• α. Κίνδυνος διαθεσιμότητας και συνέχειας των ΤΠΕ
• β. Κίνδυνος ασφάλειας των ΤΠΕ
• γ. Κίνδυνος αλλαγών των ΤΠΕ
• δ. Κίνδυνος ακεραιότητας δεδομένων ΤΠΕ
• ε. Κίνδυνος εξωτερικής ανάθεσης ΤΠΕ

Η καταγραφή βοηθά τις αρμόδιες αρχές να προσδιορίζουν τους κινδύνους που είναι ουσιώδεις (εάν υπάρχουν) και, επομένως, που θα πρέπει να υποβληθούν σε στενότερη και βαθύτερη επανεξέταση κατά τα επόμενα στάδια της αξιολόγησης.