54. Για την εν λόγω αξιολόγηση, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν υπόψη ιδιαιτέρως εάν το …

Για την εν λόγω αξιολόγηση, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν υπόψη ιδιαιτέρως εάν το πλαίσιο:

• α. προσδιορίζει τις κρίσιμες διαδικασίες ΤΠΕ και τα σχετικά υποστηρικτικά συστήματα ΤΠΕ που θα πρέπει να αποτελούν μέρος των σχεδίων ανθεκτικότητας και συνέχειας των δραστηριοτήτων με:
• i. ολοκληρωμένη ανάλυση των αλληλεξαρτήσεων μεταξύ των κρίσιμων επιχειρηματικών διαδικασιών και των υποστηρικτικών προγραμμάτων·
• ii. προσδιορισμό των στόχων ανάκτησης για τα υποστηρικτικά συστήματα ΤΠΕ (π.χ. που καθορίζονται συνήθως από την επιχείρηση και/ή τους κανονισμούς από πλευράς στόχων χρόνου ανάκτησης (RTO) και στόχων σημείου ανάκτησης (RPO)·
• iii. κατάλληλο σχεδιασμό έκτακτης ανάγκης ώστε να εξασφαλίζεται η διαθεσιμότητα, η συνέχεια και η ανάκτηση κρίσιμων συστημάτων και υπηρεσιών ΤΠΕ για την ελαχιστοποίηση της διατάραξης των δραστηριοτήτων ενός ιδρύματος εντός αποδεκτών ορίων.
• β. διαθέτει πολιτικές και πρότυπα περιβάλλοντος ελέγχου της ανθεκτικότητας και της συνέχειας των δραστηριοτήτων, καθώς και επιχειρησιακούς ελέγχους οι οποίοι περιλαμβάνουν:
• i. μέτρα ώστε να αποφεύγεται η πιθανότητα ένα μεμονωμένο σενάριο, συμβάν ή μια μεμονωμένη καταστροφή να έχει επιπτώσεις στα συστήματα παραγωγής και ανάκτησης ΤΠΕ·
• ii. διαδικασίες δημιουργίας αντιγράφων ασφαλείας και ανάκτησης συστήματος ΤΠΕ για κρίσιμο λογισμικό και κρίσιμα δεδομένα, οι οποίες εξασφαλίζουν ότι αυτά τα αντίγραφα ασφαλείας αποθηκεύονται σε μια ασφαλή και επαρκώς απομακρυσμένη τοποθεσία, ώστε ένα συμβάν ή μια καταστροφή να μην μπορεί να καταστρέψει ή να αλλοιώσει αυτά τα κρίσιμα δεδομένα·
• iii. λύσεις παρακολούθησης για τον έγκαιρο εντοπισμό συμβάντων που αφορούν τη διαθεσιμότητα ή τη συνέχεια των ΤΠΕ·
• iv. τεκμηριωμένη διαδικασία διαχείρισης και κλιμάκωσης συμβάντων, η οποία παρέχει επίσης καθοδήγηση σχετικά με τους διάφορους ρόλους και τις διάφορες αρμοδιότητες διαχείρισης και κλιμάκωσης συμβάντων, τα μέλη της επιτροπής (των επιτροπών) διαχείρισης κρίσεων και την ιεραρχική δομή στην περίπτωση έκτακτης ανάγκης·
• v. φυσικά μέτρα για την προστασία της κρίσιμης υποδομής ΤΠΕ του ιδρύματος (π.χ. μηχανογραφικά κέντρα) από περιβαλλοντικούς κινδύνους (π.χ. πλημμύρες και άλλες φυσικές καταστροφές) και την εξασφάλιση κατάλληλου περιβάλλοντος λειτουργίας για τα συστήματα ΤΠΕ (π.χ. κλιματισμός)·
• vi. διαδικασίες, ρόλους και αρμοδιότητες για να εξασφαλίζεται επίσης ότι τα συστήματα και οι υπηρεσίες ΤΠΕ που ανατίθενται σε τρίτους καλύπτονται από επαρκείς λύσεις και επαρκή σχέδια ανθεκτικότητας και συνέχειας των δραστηριοτήτων·
• vii. σχεδιασμό επιδόσεων και ικανοτήτων ΤΠΕ και λύσεις παρακολούθησης για κρίσιμα συστήματα και υπηρεσίες ΤΠΕ με καθορισμένες απαιτήσεις διαθεσιμότητας για τον έγκαιρο εντοπισμό σημαντικών περιορισμών στις επιδόσεις και τις ικανότητες·
• viii. λύσεις για την προστασία κρίσιμων δραστηριοτήτων ή υπηρεσιών στο διαδίκτυο (π.χ. υπηρεσιών ηλεκτρονικής τραπεζικής), όπου είναι απαραίτητο και ενδείκνυται, έναντι επιθέσεων «άρνησης υπηρεσίας» και άλλων επιθέσεων στον κυβερνοχώρο οι οποίες έχουν στόχο την παρεμπόδιση ή τη διατάραξη της πρόσβασης στις εν λόγω δραστηριότητες και υπηρεσίες.
• γ. υποβάλλει σε δοκιμές τις λύσεις διαθεσιμότητας και συνέχειας ΤΠΕ με βάση μια σειρά ρεαλιστικών σεναρίων, συμπεριλαμβανομένων επιθέσεων στον κυβερνοχώρο, δοκιμών αυτόματης μεταγωγής σε εφεδρεία και δοκιμών δημιουργίας αντιγράφων ασφαλείας για κρίσιμο λογισμικό και δεδομένα, οι οποίες:
• i. είναι σχεδιασμένες, επισημοποιημένες και τεκμηριωμένες και τα αποτελέσματα των δοκιμών χρησιμοποιούνται για την ενίσχυση της αποτελεσματικότητας των λύσεων διαθεσιμότητας και συνέχειας των ΤΠΕ·
• ii. περιλαμβάνουν ενδιαφερόμενα μέρη και λειτουργίες εντός του οργανισμού, όπως διαχείριση των τομέων επιχειρηματικής δραστηριότητας, συμπεριλαμβανομένων των ομάδων συνέχειας των δραστηριοτήτων, αντιμετώπισης συμβάντων και κρίσεων, καθώς και σχετικά εξωτερικά ενδιαφερόμενα μέρη του οικοσυστήματος·
• iii. το διοικητικό όργανο και τα ανώτατα διοικητικά στελέχη συμμετέχουν κατάλληλα (π.χ. στο πλαίσιο ομάδων διαχείρισης κρίσεων) και ενημερώνονται σχετικά με τα αποτελέσματα των δοκιμών.
• (β) Έλεγχοι για τη διαχείριση ουσιωδών κινδύνων ασφάλειας των ΤΠΕ

1. Επισκόπηση

1.1 Παραπομπές

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικά πρότυπα

2. Εντοπισμένες απαιτήσεις

3. Σχετικά πρότυπα

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/