3.3 Αξιολόγηση των ελέγχων για τον μετριασμό ουσιωδών κινδύνων ΤΠΕ

Για την αξιολόγηση της εναπομένουσας έκθεσης του ιδρύματος σε κίνδυνο ΤΠΕ, οι αρμόδιες αρχές θα πρέπει να εξετάζουν πώς το ίδρυμα προσδιορίζει, παρακολουθεί, αξιολογεί και μετριάζει τους ουσιώδεις κινδύνους που έχουν προσδιοριστεί από τις αρμόδιες αρχές στην ανωτέρω αξιολόγηση.

Για τον σκοπό αυτό, οι αρμόδιες αρχές θα πρέπει να εξετάζουν, σε σχέση με τους ουσιώδεις κινδύνους ΤΠΕ που έχουν προσδιοριστεί:

• α. την εφαρμοζόμενη πολιτική διαχείρισης κινδύνων ΤΠΕ, τις σχετικές διαδικασίες και τα όρια ανοχής του κινδύνου·
• β. το εφαρμοζόμενο πλαίσιο οργανωτικής διαχείρισης και εποπτείας·
• γ. το εφαρμοζόμενο πεδίο κάλυψης εσωτερικού ελέγχου και τις σχετικές διαπιστώσεις· και
• δ. τους εφαρμοζόμενους ελέγχους κινδύνων ΤΠΕ που αφορούν συγκεκριμένα τον ουσιώδη κίνδυνο ΤΠΕ που προσδιορίστηκε.

Η αξιολόγηση θα πρέπει να λαμβάνει υπόψη το αποτέλεσμα της ανάλυσης του συνολικού πλαισίου διαχείρισης κινδύνων και εσωτερικού ελέγχου που αναφέρεται στον τίτλο 5 των κατευθυντήριων γραμμών ΔΕΕΑ της ΕΑΤ, καθώς και τη διακυβέρνηση και τη στρατηγική του ιδρύματος που αναφέρονται στον τίτλο 2 των κατευθυντήριων γραμμών, καθώς τυχόν σημαντικές ανεπάρκειες σε αυτούς τους τομείς δύνανται να επηρεάζουν σημαντικά την ικανότητα του ιδρύματος να διαχειρίζεται και να μετριάζει την έκθεσή του σε κίνδυνο ΤΠΕ. Εφόσον ενδείκνυται, οι αρμόδιες αρχές θα πρέπει να χρησιμοποιούν επίσης τις πηγές πληροφοριών που αναφέρονται στο σημείο 37 των κατευθυντήριων γραμμών.

Οι αρμόδιες αρχές θα πρέπει να πραγματοποιούν τα ακόλουθα βήματα αξιολόγησης κατά τρόπο ανάλογο προς τη φύση, την κλίμακα και την πολυπλοκότητα των δραστηριοτήτων του ιδρύματος και με την εφαρμογή κατάλληλου εποπτικού ελέγχου με βάση το προφίλ κινδύνων ΤΠΕ του ιδρύματος.

3.3.1 Πολιτική διαχείρισης κινδύνων ΤΠΕ, διαδικασίες και όρια ανοχής

Οι αρμόδιες αρχές θα πρέπει να εξετάζουν εάν το ίδρυμα διαθέτει κατάλληλες πολιτικές και διαδικασίες διαχείρισης κινδύνων, καθώς και σχετικά όρια ανοχής, για τους ουσιώδεις κινδύνους ΤΠΕ που έχουν προσδιοριστεί. Τα στοιχεία αυτά μπορεί να αποτελούν μέρος του πλαισίου διαχείρισης επιχειρησιακών κινδύνων ή χωριστό έγγραφο. Για την αξιολόγηση αυτή, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν υπόψη εάν:

• α. η πολιτική διαχείρισης κινδύνων είναι επισημοποιημένη και εγκεκριμένη από το διοικητικό όργανο και περιέχει επαρκή καθοδήγηση σχετικά με τη διάθεση του ιδρύματος να αναλαμβάνει κινδύνους ΤΠΕ και σχετικά με τους κύριους επιδιωκόμενους στόχους διαχείρισης κινδύνων ΤΠΕ και/ή τα εφαρμοζόμενα όρια ανοχής των κινδύνων ΤΠΕ. Η σχετική πολιτική διαχείρισης κινδύνων ΤΠΕ θα πρέπει επίσης να έχει κοινοποιηθεί σε όλα τα σχετικά ενδιαφερόμενα μέρη·
• β. η εφαρμοστέα πολιτική καλύπτει όλα τα σημαντικά στοιχεία διαχείρισης κινδύνου για τους ουσιώδεις κινδύνους ΤΠΕ που έχουν προσδιοριστεί·
• γ. το ίδρυμα εφαρμόζει μια διεργασία και βασικές διαδικασίες για τον προσδιορισμό [π.χ. αυτοαξιολογήσεις ελέγχου κινδύνων (RSCA), ανάλυση σεναρίων κινδύνου) και την παρακολούθηση των σχετικών ουσιωδών κινδύνων ΤΠΕ· και
• δ. το ίδρυμα εφαρμόζει διαδικασία υποβολής αναφορών διαχείρισης κινδύνων ΤΠΕ η οποία παρέχει εγκαίρως πληροφορίες στα ανώτατα διοικητικά στελέχη και το διοικητικό όργανο και η οποία επιτρέπει στα ανώτατα διοικητικά στελέχη και/ή το διοικητικό όργανο να αξιολογούν και να παρακολουθούν εάν τα σχέδια και τα μέτρα μετριασμού των κινδύνων ΤΠΕ συνάδουν με την εγκεκριμένη διάθεση για ανάληψη κινδύνων και/ή τα εγκεκριμένα όρια ανοχής (κατά περίπτωση), καθώς και να παρακολουθούν τυχόν αλλαγές στους ουσιώδεις κινδύνους ΤΠΕ.

3.3.2 Πλαίσιο οργανωτικής διαχείρισης και εποπτείας

Οι αρμόδιες αρχές θα πρέπει να αξιολογούν πώς ενσωματώνονται στην εσωτερική οργάνωση οι εφαρμοζόμενοι ρόλοι και αρμοδιότητες διαχείρισης κινδύνου για τη διαχείριση και την εποπτεία των ουσιωδών κινδύνων ΤΠΕ που έχουν προσδιοριστεί. Από την άποψη αυτή, οι αρμόδιες αρχές θα πρέπει να αξιολογούν εάν το ίδρυμα αποδεικνύει:

• α. σαφείς ρόλους και αρμοδιότητες για τον προσδιορισμό, την αξιολόγηση, την παρακολούθηση , τον μετριασμό, την υποβολή αναφορών και την εποπτεία των σχετικών ουσιωδών κινδύνων ΤΠΕ·
• β. ότι οι αρμοδιότητες και οι ρόλοι που αφορούν τους κινδύνους έχουν κοινοποιηθεί, κατανεμηθεί και ενσωματωθεί σαφώς σε όλα τα σχετικά μέρη (π.χ. τομείς επιχειρηματικής δραστηριότητας, τμήμα πληροφορικής) και τις διαδικασίες του οργανισμού, συμπεριλαμβανομένων των ρόλων και των αρμοδιοτήτων για τη συλλογή και τον συνυπολογισμό των πληροφοριών κινδύνου και την υποβολή σχετικών αναφορών στα ανώτατα διοικητικά στελέχη και/ή το διοικητικό όργανο·
• γ. ότι οι δραστηριότητες διαχείρισης κινδύνων ΤΠΕ εκτελούνται με επαρκείς και ποιοτικά κατάλληλους ανθρώπινους και τεχνικούς πόρους. Για να αξιολογηθεί η αξιοπιστία των εφαρμοστέων σχεδίων μετριασμού του κινδύνου, οι αρμόδιες αρχές θα πρέπει να αξιολογούν επίσης εάν το ίδρυμα έχει κατανείμει επαρκείς οικονομικούς προϋπολογισμούς και/ή άλλους απαιτούμενους πόρους για την εφαρμογή τους·
• δ. κατάλληλη παρακολούθηση και αντίδραση του διοικητικού οργάνου όσον αφορά σημαντικές διαπιστώσεις των τμημάτων ανεξάρτητου ελέγχου σχετικά με τον κίνδυνο (τους κινδύνους) ΤΠΕ, λαμβάνοντας υπόψη την πιθανή ανάθεση ορισμένων ζητημάτων σε επιτροπή, εφόσον υφίσταται· και
• ε. ότι οι εξαιρέσεις από τους ισχύοντες κανονισμούς και τις ισχύουσες πολιτικές ΤΠΕ καταγράφονται και υπόκεινται σε τεκμηριωμένο έλεγχο και υποβολή αναφορών από το τμήμα ανεξάρτητου ελέγχου, με ιδιαίτερη έμφαση στους σχετικούς κινδύνους. 3.3.3 Καλυπτόμενο πεδίο και διαπιστώσεις εσωτερικού ελέγχου

Οι αρμόδιες αρχές θα πρέπει να εξετάζουν εάν το τμήμα εσωτερικού ελέγχου είναι αποτελεσματικό όσον αφορά τον έλεγχο του εφαρμοζόμενου πλαισίου ελέγχου κινδύνων ΤΠΕ, ελέγχοντας εάν:

• α. ο έλεγχος του πλαισίου ελέγχου κινδύνων ΤΠΕ διενεργείται με την απαιτούμενη ποιότητα, συχνότητα και βάθος και είναι ανάλογος του μεγέθους, των δραστηριοτήτων και του προφίλ κινδύνου ΤΠΕ του ιδρύματος·
• β. το πλάνο ελέγχων περιλαμβάνει ελέγχους των κρίσιμων κινδύνων ΤΠΕ που έχουν προσδιοριστεί από το ίδρυμα·
• γ. οι σημαντικές διαπιστώσεις του ελέγχου ΤΠΕ, συμπεριλαμβανομένων των δράσεων που έχουν συμφωνηθεί, αναφέρονται στο διοικητικό όργανο· και
• δ. οι διαπιστώσεις του ελέγχου ΤΠΕ, συμπεριλαμβανομένων των δράσεων που έχουν συμφωνηθεί, παρακολουθούνται και οι εκθέσεις προόδου επανεξετάζονται περιοδικά από τα ανώτατα διοικητικά στελέχη και/ή την ελεγκτική επιτροπή.

3.3.4 Έλεγχοι κινδύνων ΤΠΕ που αφορούν συγκεκριμένα τους προσδιορισμένους ουσιώδεις κινδύνους ΤΠΕ

Για τους προσδιορισμένους ουσιώδεις κινδύνους ΤΠΕ, οι αρμόδιες αρχές θα πρέπει να αξιολογούν εάν το ίδρυμα εφαρμόζει ειδικούς ελέγχους για την αντιμετώπιση αυτών των κινδύνων. Στα ακόλουθα τμήματα παρατίθεται μη εξαντλητικός κατάλογος των ειδικών ελέγχων που πρέπει να λαμβάνονται υπόψη κατά την αξιολόγηση των ουσιωδών κινδύνων που έχουν προσδιοριστεί σύμφωνα με το σημείο 3.2.3 και που καταγράφηκαν στις ακόλουθες κατηγορίες κινδύνων ΤΠΕ:

• α. κίνδυνοι διαθεσιμότητας και συνέχειας των ΤΠΕ·
• β. κίνδυνοι ασφάλειας των ΤΠΕ·
• γ. κίνδυνοι αλλαγών των ΤΠΕ·
• δ. κίνδυνοι ακεραιότητας δεδομένων ΤΠΕ·
• ε. κίνδυνοι εξωτερικής ανάθεσης ΤΠΕ.
• (α) Έλεγχοι για τη διαχείριση ουσιωδών κινδύνων διαθεσιμότητας και συνέχειας των ΤΠΕ

Εκτός των απαιτήσεων που ορίζονται στις κατευθυντήριες γραμμές ΔΕΕΑ της ΕΑΤ (σημεία 279 - 281), οι αρμόδιες αρχές θα πρέπει να αξιολογούν εάν το ίδρυμα εφαρμόζει κατάλληλο πλαίσιο για τον προσδιορισμό, την κατανόηση, τη μέτρηση και τον μετριασμό των κινδύνων διαθεσιμότητας και συνέχειας των ΤΠΕ.

Για την εν λόγω αξιολόγηση, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν υπόψη ιδιαιτέρως εάν το πλαίσιο:

• α. προσδιορίζει τις κρίσιμες διαδικασίες ΤΠΕ και τα σχετικά υποστηρικτικά συστήματα ΤΠΕ που θα πρέπει να αποτελούν μέρος των σχεδίων ανθεκτικότητας και συνέχειας των δραστηριοτήτων με:
• i. ολοκληρωμένη ανάλυση των αλληλεξαρτήσεων μεταξύ των κρίσιμων επιχειρηματικών διαδικασιών και των υποστηρικτικών προγραμμάτων·
• ii. προσδιορισμό των στόχων ανάκτησης για τα υποστηρικτικά συστήματα ΤΠΕ (π.χ. που καθορίζονται συνήθως από την επιχείρηση και/ή τους κανονισμούς από πλευράς στόχων χρόνου ανάκτησης (RTO) και στόχων σημείου ανάκτησης (RPO)·
• iii. κατάλληλο σχεδιασμό έκτακτης ανάγκης ώστε να εξασφαλίζεται η διαθεσιμότητα, η συνέχεια και η ανάκτηση κρίσιμων συστημάτων και υπηρεσιών ΤΠΕ για την ελαχιστοποίηση της διατάραξης των δραστηριοτήτων ενός ιδρύματος εντός αποδεκτών ορίων.
• β. διαθέτει πολιτικές και πρότυπα περιβάλλοντος ελέγχου της ανθεκτικότητας και της συνέχειας των δραστηριοτήτων, καθώς και επιχειρησιακούς ελέγχους οι οποίοι περιλαμβάνουν:
• i. μέτρα ώστε να αποφεύγεται η πιθανότητα ένα μεμονωμένο σενάριο, συμβάν ή μια μεμονωμένη καταστροφή να έχει επιπτώσεις στα συστήματα παραγωγής και ανάκτησης ΤΠΕ·
• ii. διαδικασίες δημιουργίας αντιγράφων ασφαλείας και ανάκτησης συστήματος ΤΠΕ για κρίσιμο λογισμικό και κρίσιμα δεδομένα, οι οποίες εξασφαλίζουν ότι αυτά τα αντίγραφα ασφαλείας αποθηκεύονται σε μια ασφαλή και επαρκώς απομακρυσμένη τοποθεσία, ώστε ένα συμβάν ή μια καταστροφή να μην μπορεί να καταστρέψει ή να αλλοιώσει αυτά τα κρίσιμα δεδομένα·
• iii. λύσεις παρακολούθησης για τον έγκαιρο εντοπισμό συμβάντων που αφορούν τη διαθεσιμότητα ή τη συνέχεια των ΤΠΕ·
• iv. τεκμηριωμένη διαδικασία διαχείρισης και κλιμάκωσης συμβάντων, η οποία παρέχει επίσης καθοδήγηση σχετικά με τους διάφορους ρόλους και τις διάφορες αρμοδιότητες διαχείρισης και κλιμάκωσης συμβάντων, τα μέλη της επιτροπής (των επιτροπών) διαχείρισης κρίσεων και την ιεραρχική δομή στην περίπτωση έκτακτης ανάγκης·
• v. φυσικά μέτρα για την προστασία της κρίσιμης υποδομής ΤΠΕ του ιδρύματος (π.χ. μηχανογραφικά κέντρα) από περιβαλλοντικούς κινδύνους (π.χ. πλημμύρες και άλλες φυσικές καταστροφές) και την εξασφάλιση κατάλληλου περιβάλλοντος λειτουργίας για τα συστήματα ΤΠΕ (π.χ. κλιματισμός)·
• vi. διαδικασίες, ρόλους και αρμοδιότητες για να εξασφαλίζεται επίσης ότι τα συστήματα και οι υπηρεσίες ΤΠΕ που ανατίθενται σε τρίτους καλύπτονται από επαρκείς λύσεις και επαρκή σχέδια ανθεκτικότητας και συνέχειας των δραστηριοτήτων·
• vii. σχεδιασμό επιδόσεων και ικανοτήτων ΤΠΕ και λύσεις παρακολούθησης για κρίσιμα συστήματα και υπηρεσίες ΤΠΕ με καθορισμένες απαιτήσεις διαθεσιμότητας για τον έγκαιρο εντοπισμό σημαντικών περιορισμών στις επιδόσεις και τις ικανότητες·
• viii. λύσεις για την προστασία κρίσιμων δραστηριοτήτων ή υπηρεσιών στο διαδίκτυο (π.χ. υπηρεσιών ηλεκτρονικής τραπεζικής), όπου είναι απαραίτητο και ενδείκνυται, έναντι επιθέσεων «άρνησης υπηρεσίας» και άλλων επιθέσεων στον κυβερνοχώρο οι οποίες έχουν στόχο την παρεμπόδιση ή τη διατάραξη της πρόσβασης στις εν λόγω δραστηριότητες και υπηρεσίες.
• γ. υποβάλλει σε δοκιμές τις λύσεις διαθεσιμότητας και συνέχειας ΤΠΕ με βάση μια σειρά ρεαλιστικών σεναρίων, συμπεριλαμβανομένων επιθέσεων στον κυβερνοχώρο, δοκιμών αυτόματης μεταγωγής σε εφεδρεία και δοκιμών δημιουργίας αντιγράφων ασφαλείας για κρίσιμο λογισμικό και δεδομένα, οι οποίες:
• i. είναι σχεδιασμένες, επισημοποιημένες και τεκμηριωμένες και τα αποτελέσματα των δοκιμών χρησιμοποιούνται για την ενίσχυση της αποτελεσματικότητας των λύσεων διαθεσιμότητας και συνέχειας των ΤΠΕ·
• ii. περιλαμβάνουν ενδιαφερόμενα μέρη και λειτουργίες εντός του οργανισμού, όπως διαχείριση των τομέων επιχειρηματικής δραστηριότητας, συμπεριλαμβανομένων των ομάδων συνέχειας των δραστηριοτήτων, αντιμετώπισης συμβάντων και κρίσεων, καθώς και σχετικά εξωτερικά ενδιαφερόμενα μέρη του οικοσυστήματος·
• iii. το διοικητικό όργανο και τα ανώτατα διοικητικά στελέχη συμμετέχουν κατάλληλα (π.χ. στο πλαίσιο ομάδων διαχείρισης κρίσεων) και ενημερώνονται σχετικά με τα αποτελέσματα των δοκιμών.
• (β) Έλεγχοι για τη διαχείριση ουσιωδών κινδύνων ασφάλειας των ΤΠΕ

Οι αρμόδιες αρχές θα πρέπει να αξιολογούν εάν το ίδρυμα διαθέτει αποτελεσματικό πλαίσιο για τον προσδιορισμό, την κατανόηση, τη μέτρηση και τον μετριασμό του κινδύνου ασφάλειας των ΤΠΕ. Για την εν λόγω αξιολόγηση, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν υπόψη ιδιαιτέρως εάν το πλαίσιο λαμβάνει υπόψη:

• α. σαφώς καθορισμένους ρόλους και αρμοδιότητες σχετικά με:
• i. το πρόσωπο (τα πρόσωπα) και/ή τις επιτροπές που είναι υπεύθυνες και/ή υπόλογες για την καθημερινή διαχείριση της ασφάλειας των ΤΠΕ και την εκπόνηση των πρωταρχικών πολιτικών ασφάλειας των ΤΠΕ, με ιδιαίτερη προσοχή στην απαιτούμενη ανεξαρτησία τους·
• ii. τον σχεδιασμό, την εφαρμογή, τη διαχείριση και την παρακολούθηση των ελέγχων ασφάλειας ΤΠΕ·
• iii. την προστασία κρίσιμων συστημάτων και υπηρεσιών ΤΠΕ μέσω της υιοθέτησης, για παράδειγμα, μιας διαδικασίας αξιολόγησης της τρωτότητας, διαχείρισης πρόχειρων διορθώσεων (patch) λογισμικού, προστασίας τελικού σημείου (π.χ. από ιούς κακόβουλου λογισμικού), εργαλείων εντοπισμού και πρόληψης εισβολών·
• iv. την παρακολούθηση, την ταξινόμηση και τον χειρισμό εξωτερικών ή εσωτερικών συμβάσεων ασφάλειας ΤΠΕ· συμπεριλαμβανομένης της αντιμετώπισης συμβάντων και της συνέχισης και ανάκτησης συστημάτων και υπηρεσιών ΤΠΕ·
• v. τακτικές και προληπτικές αξιολογήσεις απειλών για τη διατήρηση κατάλληλων ελέγχων ασφάλειας.
• β. μια πολιτική για την ασφάλεια των ΤΠΕ η οποία λαμβάνει υπόψη και, κατά περίπτωση, συμμορφώνεται με διεθνώς αναγνωρισμένα πρότυπα ασφάλειας και αρχές ασφάλειας ΤΠΕ (π.χ. την «αρχή του ελάχιστου προνομίου», δηλαδή τον περιορισμό της πρόσβασης σε ένα ελάχιστο επίπεδο το οποίο επιτρέπει την κανονική λειτουργία για διαχείριση δικαιωμάτων πρόσβασης, και την αρχή της «άμυνας σε βάθος», δηλαδή πολυεπίπεδους μηχανισμούς ασφάλειας οι οποίοι αυξάνουν την ασφάλεια του συστήματος συνολικά για τον σχεδιασμό μιας αρχιτεκτονικής ασφάλειας)·
• γ. διαδικασία για τον εντοπισμό συστημάτων, υπηρεσιών ΤΠΕ και ανάλογων απαιτήσεων ασφάλειας που αποτυπώνουν ενδεχόμενο κίνδυνο απάτης και/ή πιθανές εσφαλμένες χρήσεις και/ή καταχρήσεις εμπιστευτικών δεδομένων, καθώς και τεκμηριωμένες προσδοκίες ασφάλειας που πρέπει να τηρούνται για τα εν λόγω εντοπισμένα συστήματα, υπηρεσίες και δεδομένα ΤΠΕ, οι οποίες είναι σύμφωνες με την ανοχή κινδύνου του ιδρύματος και η ορθή εφαρμογή των οποίων παρακολουθείται·
• δ. τεκμηριωμένη διαδικασία διαχείρισης και κλιμάκωσης συμβάντων ασφάλειας η οποία παρέχει καθοδήγηση σχετικά με τους διάφορους ρόλους και τις διάφορες αρμοδιότητες διαχείρισης και κλιμάκωσης συμβάντων, τα μέλη της επιτροπής (των επιτροπών) διαχείρισης κρίσεων και την ιεραρχική δομή στην περίπτωση περιστατικών έκτακτης ανάγκης ασφάλειας·
• ε. τήρηση αρχείων ημερολογίου των δραστηριοτήτων χρηστών και διαχειριστών, ώστε να εξασφαλίζεται η αποτελεσματική παρακολούθηση, ο έγκαιρος εντοπισμός και η αντιμετώπιση μη εξουσιοδοτημένων δραστηριοτήτων και για να υποστηρίζονται ή να διενεργούνται εγκληματολογικές έρευνες για συμβάντα ασφάλειας. Το ίδρυμα θα πρέπει να εφαρμόζει πολιτικές τήρησης αρχείων ημερολογίου οι οποίες καθορίζουν κατάλληλους τύπους αρχείων ημερολογίου που πρέπει να τηρούνται και την περίοδο διατήρησής τους·

στ. εκστρατείες ευαισθητοποίησης και ενημέρωσης ή πρωτοβουλίες για την ενημέρωση όλων των επιπέδων του ιδρύματος σχετικά με την ασφαλή χρήση και την προστασία των συστημάτων ΤΠΕ του ιδρύματος και τους κύριους κινδύνους ασφάλειας ΤΠΕ (ή άλλους κινδύνους) που θα πρέπει να γνωρίζουν, ιδίως όσον αφορά τις υπάρχουσες και εξελισσόμενες απειλές στον κυβερνοχώρο (π.χ. ιούς υπολογιστών, πιθανές εσωτερικές ή εξωτερικές καταχρήσεις ή επιθέσεις, κυβερνοεπιθέσεις) και τον ρόλο τους στον μετριασμό των παραβιάσεων της ασφάλειας·

• ζ. κατάλληλα μέτρα φυσικής ασφάλειας (π.χ. κλειστό κύκλωμα τηλεόρασης, αντικλεπτικός συναγερμός, πόρτες ασφαλείας) για την πρόληψη της μη εξουσιοδοτημένης φυσικής πρόσβασης σε κρίσιμα και ευαίσθητα συστήματα ΤΠΕ (π.χ. μηχανογραφικά κέντρα)·
• η. μέτρα για την προστασία των συστημάτων ΤΠΕ από επιθέσεις από το διαδίκτυο (π.χ. κυβερνοεπιθέσεις) ή άλλα εξωτερικά δίκτυα (π.χ. παραδοσιακές συνδέσεις τηλεπικοινωνιών ή συνδέσεις με έμπιστους συνεργάτες). Οι αρμόδιες αρχές θα πρέπει να εξετάζουν εάν το πλαίσιο του ιδρύματος λαμβάνει υπόψη:
• i. διαδικασία και λύσεις για τη διατήρηση ενός ολοκληρωμένου και επίκαιρου καταλόγου και μιας επισκόπησης όλων των εξωτερικών σημείων σύνδεσης δικτύου (π.χ. δικτυακών τόπων, εφαρμογών διαδικτύου, ασύρματων δικτύων, πρόσβασης εξ αποστάσεως) μέσω των οποίων τρίτοι θα μπορούσαν να διεισδύσουν στα εσωτερικά συστήματα ΤΠΕ·
• ii. μέτρα ασφάλειας τα οποία τελούν υπό στενή διαχείριση και παρακολούθηση (π.χ. τείχη προστασίας, διακομιστές μεσολάβησης, αναμεταδότες ηλεκτρονικού ταχυδρομείου, προγράμματα σάρωσης για τον εντοπισμό ιών και περιεχομένου) για τη διασφάλιση της εισερχόμενης και εξερχόμενης κυκλοφορίας δικτύου (π.χ. μηνύματα ηλεκτρονικού ταχυδρομείου) και των εξωτερικών συνδέσεων δικτύου μέσω των οποίων τρίτοι θα μπορούσαν να διεισδύσουν στα εσωτερικά συστήματα ΤΠΕ·
• iii. διαδικασίες και λύσεις για τη διασφάλιση δικτυακών τόπων και εφαρμογών που μπορούν να υποστούν άμεσα επιθέσεις από το διαδίκτυο και/ή εξωτερικά σημεία και που μπορούν να λειτουργήσουν ως σημείο εισόδου στα εσωτερικά συστήματα ΤΠΕ. Γενικά, πρόκειται για έναν συνδυασμό αναγνωρισμένων πρακτικών ασφαλούς ανάπτυξης, πρακτικών ενίσχυσης και σάρωσης τρωτών σημείων του συστήματος ΤΠΕ και/ή την εφαρμογή πρόσθετων λύσεων ασφάλειας, όπως, για παράδειγμα, τειχών προστασίας εφαρμογών και/ή συστημάτων ανίχνευσης εισβολής (IDS) και/ή πρόληψης εισβολής (IPS)·
• iv. περιοδικές δοκιμές διείσδυσης ασφάλειας για την αξιολόγηση της αποτελεσματικότητας των εφαρμοζόμενων μέτρων και διαδικασιών ασφάλειας των ΤΠΕ στον κυβερνοχώρο και εσωτερικής ασφάλειας. Οι δοκιμές αυτές θα πρέπει να διενεργούνται από προσωπικό και/ή εξωτερικούς εμπειρογνώμονες που διαθέτουν την απαραίτητη τεχνογνωσία και τα τεκμηριωμένα αποτελέσματα και συμπεράσματα των δοκιμών θα πρέπει να υποβάλλονται στα ανώτατα διοικητικά στελέχη και/ή το διοικητικό όργανο. Εφόσον είναι αναγκαίο και ενδείκνυται, το ίδρυμα θα πρέπει να μαθαίνει από τις εν λόγω δοκιμές ποιες περαιτέρω βελτιώσεις θα πρέπει να πραγματοποιήσει στους ελέγχους και τις διαδικασίες ασφάλειας και/ή ποιων σημείων την αποτελεσματικότητα θα πρέπει να επιβεβαιώσει καλύτερα.
• (γ) Έλεγχοι για τη διαχείριση ουσιωδών κινδύνων αλλαγών των ΤΠΕ

Οι αρμόδιες αρχές θα πρέπει να αξιολογούν εάν το ίδρυμα εφαρμόζει αποτελεσματικό πλαίσιο για τον προσδιορισμό, την κατανόηση, τη μέτρηση και τον μετριασμό του κινδύνου αλλαγών των ΤΠΕ, ανάλογο της φύσης, της κλίμακας και της πολυπλοκότητας των δραστηριοτήτων του ιδρύματος και του προφίλ κινδύνου ΤΠΕ του ιδρύματος. Το πλαίσιο του ιδρύματος θα πρέπει να καλύπτει τους κινδύνους που σχετίζονται με την ανάπτυξη, τη δοκιμή και την έγκριση αλλαγών στα συστήματα ΤΠΕ, συμπεριλαμβανομένης της ανάπτυξης ή της αλλαγής λογισμικού, πριν από τη μεταφορά τους σε περιβάλλον παραγωγής, και να εξασφαλίζει κατάλληλη διαχείριση των κύκλου ζωής των ΤΠΕ. Για την εν λόγω αξιολόγηση, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν υπόψη ιδιαιτέρως εάν το πλαίσιο λαμβάνει υπόψη:

• α. τεκμηριωμένες διαδικασίες για τη διαχείριση και τον έλεγχο αλλαγών σε συστήματα ΤΠΕ (π.χ. διαμόρφωση και διαχείριση πρόχειρων διορθώσεων) και δεδομένα ΤΠΕ (π.χ. διόρθωση σφαλμάτων προγραμματισμού ή διορθώσεις δεδομένων), οι οποίες εξασφαλίζουν την επαρκή διαχείριση των κινδύνων ΤΠΕ σε περίπτωση σημαντικών αλλαγών ΤΠΕ που μπορεί να επηρεάσουν σημαντικά το προφίλ κινδύνου του ιδρύματος ή την έκθεσή του στον κίνδυνο·
• β. προδιαγραφές σχετικά με τον απαιτούμενο διαχωρισμό καθηκόντων κατά τα διάφορα στάδια των εφαρμοζόμενων διαδικασιών αλλαγής των ΤΠΕ (π.χ. σχεδιασμός και ανάπτυξη λύσεων, δοκιμή και έγκριση νέου λογισμικού και/ή αλλαγών, μεταφορά και εφαρμογή στο περιβάλλον παραγωγής και διόρθωση σφαλμάτων προγραμματισμού), με έμφαση στις εφαρμοζόμενες λύσεις και τον διαχωρισμό καθηκόντων για τη διαχείριση και τον έλεγχο αλλαγών στα συστήματα και τα δεδομένα ΤΠΕ παραγωγής από το προσωπικό ΤΠΕ (π.χ. σχεδιαστές, διαχειριστές συστημάτων ΤΠΕ, διαχειριστές βάσεων δεδομένων) ή οποιοδήποτε άλλο μέρος (π.χ. επαγγελματικούς χρήστες, παρόχους υπηρεσιών)·
• γ. περιβάλλοντα δοκιμής που αποτυπώνουν επαρκώς τα περιβάλλοντα παραγωγής·
• δ. κατάλογο των υφιστάμενων εφαρμογών και συστημάτων ΤΠΕ στο περιβάλλον παραγωγής, καθώς και το περιβάλλον δοκιμής και ανάπτυξης, ώστε να είναι δυνατή η κατάλληλη διαχείριση, εφαρμογή και παρακολούθηση των απαιτούμενων αλλαγών (π.χ. ενημερώσεων εκδόσεων ή αναβαθμίσεων, πρόχειρων διορθώσεων συστημάτων, αλλαγών διαμόρφωσης) για τα εμπλεκόμενα συστήματα ΤΠΕ·
• ε. διαδικασία παρακολούθησης και διαχείρισης του κύκλου ζωής των χρησιμοποιούμενων συστημάτων ΤΠΕ, ώστε να εξασφαλίζεται ότι εξακολουθούν να πληρούν και να υποστηρίζουν τις πραγματικές απαιτήσεις διαχείρισης δραστηριοτήτων και κινδύνων. Επίσης πρέπει να διασφαλίζεται ότι οι λύσεις και τα συστήματα ΤΠΕ που χρησιμοποιούνται εξακολουθούν να υποστηρίζονται από τους προμηθευτές τους και ότι η εν λόγω υποστήριξη συνοδεύεται από κατάλληλες διαδικασίες κύκλου ζωής ανάπτυξης λογισμικού (SDLC)·

στ. σύστημα ελέγχου του πηγαίου κώδικα λογισμικού και κατάλληλες διαδικασίες για την πρόληψη μη εξουσιοδοτημένων αλλαγών στον πηγαίο κώδικα λογισμικού που αναπτύσσεται εσωτερικά·

• ζ. διαδικασία διεξαγωγής ελέγχου ασφάλειας και τρωτότητας νέων ή σημαντικά τροποποιημένων συστημάτων ΤΠΕ και λογισμικού, πριν την έγκρισή τους για παραγωγή και την έκθεσή τους σε πιθανές κυβερνοεπιθέσεις·
• η. διαδικασία και λύσεις για την πρόληψη της μη εξουσιοδοτημένης ή ακούσιας κοινολόγησης εμπιστευτικών δεδομένων, κατά την αντικατάσταση, αρχειοθέτηση, απόρριψη ή καταστροφή συστημάτων ΤΠΕ·
• θ. ανεξάρτητο έλεγχο και διαδικασίες επικύρωσης για τη μείωση των κινδύνων πρόκλησης ανθρώπινων σφαλμάτων κατά την πραγματοποίηση αλλαγών στα συστήματα ΤΠΕ που μπορεί να έχουν σοβαρές δυσμενείς επιπτώσεις στη διαθεσιμότητα, τη συνέχεια ή την ασφάλεια του ιδρύματος (π.χ. σημαντικές αλλαγές στη διαμόρφωση του τείχους προστασίας) ή στην ασφάλεια του ιδρύματος (π.χ. αλλαγές στα τείχη προστασίας).
• (δ) Έλεγχοι για τη διαχείριση ουσιωδών κινδύνων ακεραιότητας δεδομένων ΤΠΕ

Οι αρμόδιες αρχές θα πρέπει να αξιολογούν εάν το ίδρυμα εφαρμόζει αποτελεσματικό πλαίσιο για τον προσδιορισμό, την κατανόηση, τη μέτρηση και τον μετριασμό του κινδύνου ακεραιότητας δεδομένων ΤΠΕ, ανάλογο της φύσης, της κλίμακας και της πολυπλοκότητας των δραστηριοτήτων του ιδρύματος και του προφίλ κινδύνου ΤΠΕ του ιδρύματος. Το πλαίσιο του ιδρύματος θα πρέπει να λαμβάνει υπόψη τους κινδύνους που σχετίζονται με τη διατήρηση της ακεραιότητας των δεδομένων που αποθηκεύονται και υφίστανται επεξεργασία από τα συστήματα ΤΠΕ. Για την εν λόγω αξιολόγηση, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν υπόψη ιδιαιτέρως εάν το πλαίσιο λαμβάνει υπόψη:

• α. πολιτική που ορίζει τους ρόλους και τις αρμοδιότητες για τη διαχείριση της ακεραιότητας των δεδομένων στα συστήματα ΤΠΕ (π.χ. αρχιτέκτονας δεδομένων, υπεύθυνοι δεδομένων⁶ , θεματοφύλακες δεδομένων⁷ , ιδιοκτήτες/επόπτες δεδομένων⁸ ). Παρέχεται καθοδήγηση σχετικά με τα δεδομένα που είναι κρίσιμης σημασίας από άποψη ακεραιότητας των δεδομένων και θα πρέπει να υπόκεινται σε ειδικούς ελέγχους ΤΠΕ (π.χ. αυτόματους ελέγχους επικύρωσης εισόδου, ελέγχους μεταφοράς δεδομένων, συμφωνίες στοιχείων κ.λπ.) ή επανεξετάσεις (π.χ. έλεγχο συμβατότητας με την αρχιτεκτονική δεδομένων) στα διάφορα στάδια του κύκλου ζωής των δεδομένων ΤΠΕ·
• β. τεκμηριωμένη αρχιτεκτονική δεδομένων, μοντέλο δεδομένων και/ή λεξικό δεδομένων, το οποίο επικυρώνεται από τα σχετικά ενδιαφερόμενα μέρη της επιχείρησης και του τμήματος πληροφορικής για την υποστήριξη της απαιτούμενης συνοχής των δεδομένων σε όλα τα συστήματα ΤΠΕ και για τη διασφάλιση της συνεχούς ευθυγράμμισης της αρχιτεκτονικής, του μοντέλου και/ή του λεξικού δεδομένων με τις ανάγκες διαχείρισης των δραστηριοτήτων και των κινδύνων·
• γ. πολιτική σχετικά με την επιτρεπόμενη χρήση των συστημάτων τελικού χρήστη (end user computing) και την εξάρτηση από τέτοια συστήματα, ιδίως όσον αφορά τον προσδιορισμό, την καταχώριση και την τεκμηρίωση σημαντικών λύσεων συστημάτων τελικού χρήστη (π.χ. κατά την επεξεργασία σημαντικών δεδομένων) και τα αναμενόμενα επίπεδα ασφάλειας για την πρόληψη μη εξουσιοδοτημένων τροποποιήσεων, τόσο στο ίδιο το εργαλείο όσο και στα δεδομένα που αποθηκεύονται σε αυτό·
• δ. τεκμηριωμένες διαδικασίες χειρισμού εξαιρέσεων για την επίλυση των ζητημάτων ακεραιότητας δεδομένων ΤΠΕ που έχουν εντοπισθεί, σύμφωνα με την κρισιμότητα και την ευαισθησία τους.

⁶ Ο υπεύθυνος δεδομένων (data officer) είναι υπεύθυνος για την επεξεργασία και τη χρήση των δεδομένων.

⁷ Ο θεματοφύλακας δεδομένων (data custodian) είναι υπεύθυνος για την ασφαλή φύλαξη, μεταφορά και αποθήκευση των δεδομένων.

⁸ Ο επόπτης δεδομένων (data steward) είναι υπεύθυνος για τη διαχείριση και την καταλληλότητα των στοιχείων των δεδομένων – τόσο του περιεχομένου όσο και των μεταδεδομένων.

Στην περίπτωση εποπτευόμενων ιδρυμάτων που εμπίπτουν στο πεδίο εφαρμογής των αρχών του προτύπου BCBS 239 για την αποτελεσματική συγκέντρωση δεδομένων κινδύνου και αναφορά κινδύνων⁹ , οι αρμόδιες αρχές θα πρέπει να εξετάζουν την ανάλυση κινδύνων που διενεργούν τα ιδρύματα σχετικά με τις ικανότητές τους αναφοράς κινδύνων και συγκέντρωσης δεδομένων σε σύγκριση με τις αρχές και τα σχετικά έγγραφα τεκμηρίωσης, λαμβάνοντας υπόψη το χρονοδιάγραμμα εφαρμογής και τις μεταβατικές ρυθμίσεις που προβλέπονται σε αυτές τις αρχές.

• (ε) Έλεγχοι για τη διαχείριση ουσιωδών κινδύνων εξωτερικής ανάθεσης ΤΠΕ

⁹ Επιτροπή της Βασιλείας για την τραπεζική εποπτεία, Principles for effective risk data aggregation and risk reporting (Αρχές αποτελεσματικής συγκέντρωσης δεδομένων κινδύνου και υποβολής στοιχείων κινδύνου), Ιανουάριος 2013, διαθέσιμο στο διαδίκτυο στη διεύθυνση: http://www.bis.org/publ/bcbs239.pdf.

Οι αρμόδιες αρχές θα πρέπει να αξιολογούν εάν η στρατηγική εξωτερικής ανάθεσης του ιδρύματος, σύμφωνα με τις απαιτήσεις των κατευθυντήριων γραμμών της Επιτροπής Ευρωπαϊκών Αρχών Τραπεζικής Εποπτείας σχετικά με την εξωτερική ανάθεση (2006) και επιπλέον της απαίτησης του σημείου 85 στοιχείο δ) των κατευθυντήριων γραμμών ΔΕΕΑ της ΕΑΤ, εφαρμόζεται καταλλήλως για την εξωτερική ανάθεση ΤΠΕ, συμπεριλαμβανομένης της ανάθεσης σε άλλες οντότητες εντός του ομίλου για την παροχή υπηρεσιών ΤΠΕ εντός του ομίλου. Κατά την αξιολόγηση των κινδύνων εξωτερικής ανάθεσης ΤΠΕ, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν υπόψη ότι οι κίνδυνοι εξωτερικής ανάθεσης ΤΠΕ μπορούν να καλύπτονται επίσης στο πλαίσιο της αξιολόγησης των εγγενών επιχειρησιακών κινδύνων δυνάμει του σημείου 240 στοιχείο ι) των κατευθυντήριων γραμμών ΔΕΕΑ της ΕΑΤ, ώστε να αποφεύγεται η επικάλυψη ενεργειών ή η διπλή προσμέτρηση.

Οι αρμόδιες αρχές θα πρέπει να αξιολογούν ιδίως εάν το ίδρυμα εφαρμόζει αποτελεσματικό πλαίσιο για τον προσδιορισμό, την κατανόηση και τη μέτρηση του κινδύνου εξωτερικής ανάθεσης ΤΠΕ και, ιδίως, ελέγχους και ένα περιβάλλον ελέγχου για τον μετριασμό των κινδύνων που αφορούν σημαντικές υπηρεσίες ΤΠΕ που ανατίθενται εξωτερικά, το οποίο να είναι ανάλογο του μεγέθους, των δραστηριοτήτων και του προφίλ κινδύνου ΤΠΕ του ιδρύματος και να περιλαμβάνει:

• α. αξιολόγηση του αντίκτυπου της εξωτερικής ανάθεσης ΤΠΕ στη διαχείριση κινδύνων του ιδρύματος όσον αφορά τη χρήση παρόχων υπηρεσιών (π.χ. παρόχων υπηρεσιών υπολογιστικού νέφους) και τις υπηρεσίες τους κατά τη διαδικασία προμήθειας, η οποία είναι τεκμηριωμένη και λαμβάνεται υπόψη από τα ανώτατα διοικητικά στελέχη ή το διοικητικό όργανο για τη λήψη ή όχι της απόφασης εξωτερικής ανάθεσης των υπηρεσιών. Το ίδρυμα θα πρέπει να εξετάζει τις πολιτικές διαχείρισης κινδύνων ΤΠΕ, τους ελέγχους ΤΠΕ και το περιβάλλον ελέγχου του παρόχου υπηρεσιών ώστε να εξασφαλίζει ότι επιτυγχάνουν τους στόχους εσωτερικής διαχείρισης κινδύνων του ιδρύματος και τη διάθεσή του για ανάληψη κινδύνων. Η εν λόγω εξέταση θα πρέπει να επικαιροποιείται περιοδικά κατά τη διάρκεια της συμβατικής περιόδου εξωτερικής ανάθεσης, λαμβάνοντας υπόψη τα χαρακτηριστικά των υπηρεσιών που έχουν ανατεθεί εξωτερικά·
• β. παρακολούθηση των κινδύνων ΤΠΕ των υπηρεσιών που έχουν ανατεθεί εξωτερικά κατά τη διάρκεια της συμβατικής περιόδου εξωτερικής ανάθεσης στο πλαίσιο της διαχείρισης κινδύνων του ιδρύματος, η οποία χρησιμοποιείται στην υποβολή στοιχείων για τη διαχείριση κινδύνων ΤΠΕ του ιδρύματος (π.χ. υποβολή στοιχείων συνέχειας των δραστηριοτήτων, υποβολή στοιχείων ασφάλειας)·
• γ. παρακολούθηση και σύγκριση των επιπέδων των υπηρεσιών που παρασχέθηκαν με τα επίπεδα των υπηρεσιών που είχαν συμφωνηθεί συμβατικά, στο πλαίσιο της σύμβασης εξωτερικής ανάθεσης ή της συμφωνίας επιπέδου εξυπηρέτησης (SLA)· και
• δ. επαρκές προσωπικό, επαρκείς πόρους και αρμοδιότητες για την παρακολούθηση και τη διαχείριση των κινδύνων ΤΠΕ από τις υπηρεσίες που έχουν ανατεθεί εξωτερικά.