55. Οι αρμόδιες αρχές θα πρέπει να αξιολογούν εάν το ίδρυμα διαθέτει αποτελεσματικό πλαίσιο για τον …

Οι αρμόδιες αρχές θα πρέπει να αξιολογούν εάν το ίδρυμα διαθέτει αποτελεσματικό πλαίσιο για τον προσδιορισμό, την κατανόηση, τη μέτρηση και τον μετριασμό του κινδύνου ασφάλειας των ΤΠΕ. Για την εν λόγω αξιολόγηση, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν υπόψη ιδιαιτέρως εάν το πλαίσιο λαμβάνει υπόψη:

• α. σαφώς καθορισμένους ρόλους και αρμοδιότητες σχετικά με:
• i. το πρόσωπο (τα πρόσωπα) και/ή τις επιτροπές που είναι υπεύθυνες και/ή υπόλογες για την καθημερινή διαχείριση της ασφάλειας των ΤΠΕ και την εκπόνηση των πρωταρχικών πολιτικών ασφάλειας των ΤΠΕ, με ιδιαίτερη προσοχή στην απαιτούμενη ανεξαρτησία τους·
• ii. τον σχεδιασμό, την εφαρμογή, τη διαχείριση και την παρακολούθηση των ελέγχων ασφάλειας ΤΠΕ·
• iii. την προστασία κρίσιμων συστημάτων και υπηρεσιών ΤΠΕ μέσω της υιοθέτησης, για παράδειγμα, μιας διαδικασίας αξιολόγησης της τρωτότητας, διαχείρισης πρόχειρων διορθώσεων (patch) λογισμικού, προστασίας τελικού σημείου (π.χ. από ιούς κακόβουλου λογισμικού), εργαλείων εντοπισμού και πρόληψης εισβολών·
• iv. την παρακολούθηση, την ταξινόμηση και τον χειρισμό εξωτερικών ή εσωτερικών συμβάσεων ασφάλειας ΤΠΕ· συμπεριλαμβανομένης της αντιμετώπισης συμβάντων και της συνέχισης και ανάκτησης συστημάτων και υπηρεσιών ΤΠΕ·
• v. τακτικές και προληπτικές αξιολογήσεις απειλών για τη διατήρηση κατάλληλων ελέγχων ασφάλειας.
• β. μια πολιτική για την ασφάλεια των ΤΠΕ η οποία λαμβάνει υπόψη και, κατά περίπτωση, συμμορφώνεται με διεθνώς αναγνωρισμένα πρότυπα ασφάλειας και αρχές ασφάλειας ΤΠΕ (π.χ. την «αρχή του ελάχιστου προνομίου», δηλαδή τον περιορισμό της πρόσβασης σε ένα ελάχιστο επίπεδο το οποίο επιτρέπει την κανονική λειτουργία για διαχείριση δικαιωμάτων πρόσβασης, και την αρχή της «άμυνας σε βάθος», δηλαδή πολυεπίπεδους μηχανισμούς ασφάλειας οι οποίοι αυξάνουν την ασφάλεια του συστήματος συνολικά για τον σχεδιασμό μιας αρχιτεκτονικής ασφάλειας)·
• γ. διαδικασία για τον εντοπισμό συστημάτων, υπηρεσιών ΤΠΕ και ανάλογων απαιτήσεων ασφάλειας που αποτυπώνουν ενδεχόμενο κίνδυνο απάτης και/ή πιθανές εσφαλμένες χρήσεις και/ή καταχρήσεις εμπιστευτικών δεδομένων, καθώς και τεκμηριωμένες προσδοκίες ασφάλειας που πρέπει να τηρούνται για τα εν λόγω εντοπισμένα συστήματα, υπηρεσίες και δεδομένα ΤΠΕ, οι οποίες είναι σύμφωνες με την ανοχή κινδύνου του ιδρύματος και η ορθή εφαρμογή των οποίων παρακολουθείται·
• δ. τεκμηριωμένη διαδικασία διαχείρισης και κλιμάκωσης συμβάντων ασφάλειας η οποία παρέχει καθοδήγηση σχετικά με τους διάφορους ρόλους και τις διάφορες αρμοδιότητες διαχείρισης και κλιμάκωσης συμβάντων, τα μέλη της επιτροπής (των επιτροπών) διαχείρισης κρίσεων και την ιεραρχική δομή στην περίπτωση περιστατικών έκτακτης ανάγκης ασφάλειας·
• ε. τήρηση αρχείων ημερολογίου των δραστηριοτήτων χρηστών και διαχειριστών, ώστε να εξασφαλίζεται η αποτελεσματική παρακολούθηση, ο έγκαιρος εντοπισμός και η αντιμετώπιση μη εξουσιοδοτημένων δραστηριοτήτων και για να υποστηρίζονται ή να διενεργούνται εγκληματολογικές έρευνες για συμβάντα ασφάλειας. Το ίδρυμα θα πρέπει να εφαρμόζει πολιτικές τήρησης αρχείων ημερολογίου οι οποίες καθορίζουν κατάλληλους τύπους αρχείων ημερολογίου που πρέπει να τηρούνται και την περίοδο διατήρησής τους·

στ. εκστρατείες ευαισθητοποίησης και ενημέρωσης ή πρωτοβουλίες για την ενημέρωση όλων των επιπέδων του ιδρύματος σχετικά με την ασφαλή χρήση και την προστασία των συστημάτων ΤΠΕ του ιδρύματος και τους κύριους κινδύνους ασφάλειας ΤΠΕ (ή άλλους κινδύνους) που θα πρέπει να γνωρίζουν, ιδίως όσον αφορά τις υπάρχουσες και εξελισσόμενες απειλές στον κυβερνοχώρο (π.χ. ιούς υπολογιστών, πιθανές εσωτερικές ή εξωτερικές καταχρήσεις ή επιθέσεις, κυβερνοεπιθέσεις) και τον ρόλο τους στον μετριασμό των παραβιάσεων της ασφάλειας·

• ζ. κατάλληλα μέτρα φυσικής ασφάλειας (π.χ. κλειστό κύκλωμα τηλεόρασης, αντικλεπτικός συναγερμός, πόρτες ασφαλείας) για την πρόληψη της μη εξουσιοδοτημένης φυσικής πρόσβασης σε κρίσιμα και ευαίσθητα συστήματα ΤΠΕ (π.χ. μηχανογραφικά κέντρα)·
• η. μέτρα για την προστασία των συστημάτων ΤΠΕ από επιθέσεις από το διαδίκτυο (π.χ. κυβερνοεπιθέσεις) ή άλλα εξωτερικά δίκτυα (π.χ. παραδοσιακές συνδέσεις τηλεπικοινωνιών ή συνδέσεις με έμπιστους συνεργάτες). Οι αρμόδιες αρχές θα πρέπει να εξετάζουν εάν το πλαίσιο του ιδρύματος λαμβάνει υπόψη:
• i. διαδικασία και λύσεις για τη διατήρηση ενός ολοκληρωμένου και επίκαιρου καταλόγου και μιας επισκόπησης όλων των εξωτερικών σημείων σύνδεσης δικτύου (π.χ. δικτυακών τόπων, εφαρμογών διαδικτύου, ασύρματων δικτύων, πρόσβασης εξ αποστάσεως) μέσω των οποίων τρίτοι θα μπορούσαν να διεισδύσουν στα εσωτερικά συστήματα ΤΠΕ·
• ii. μέτρα ασφάλειας τα οποία τελούν υπό στενή διαχείριση και παρακολούθηση (π.χ. τείχη προστασίας, διακομιστές μεσολάβησης, αναμεταδότες ηλεκτρονικού ταχυδρομείου, προγράμματα σάρωσης για τον εντοπισμό ιών και περιεχομένου) για τη διασφάλιση της εισερχόμενης και εξερχόμενης κυκλοφορίας δικτύου (π.χ. μηνύματα ηλεκτρονικού ταχυδρομείου) και των εξωτερικών συνδέσεων δικτύου μέσω των οποίων τρίτοι θα μπορούσαν να διεισδύσουν στα εσωτερικά συστήματα ΤΠΕ·
• iii. διαδικασίες και λύσεις για τη διασφάλιση δικτυακών τόπων και εφαρμογών που μπορούν να υποστούν άμεσα επιθέσεις από το διαδίκτυο και/ή εξωτερικά σημεία και που μπορούν να λειτουργήσουν ως σημείο εισόδου στα εσωτερικά συστήματα ΤΠΕ. Γενικά, πρόκειται για έναν συνδυασμό αναγνωρισμένων πρακτικών ασφαλούς ανάπτυξης, πρακτικών ενίσχυσης και σάρωσης τρωτών σημείων του συστήματος ΤΠΕ και/ή την εφαρμογή πρόσθετων λύσεων ασφάλειας, όπως, για παράδειγμα, τειχών προστασίας εφαρμογών και/ή συστημάτων ανίχνευσης εισβολής (IDS) και/ή πρόληψης εισβολής (IPS)·
• iv. περιοδικές δοκιμές διείσδυσης ασφάλειας για την αξιολόγηση της αποτελεσματικότητας των εφαρμοζόμενων μέτρων και διαδικασιών ασφάλειας των ΤΠΕ στον κυβερνοχώρο και εσωτερικής ασφάλειας. Οι δοκιμές αυτές θα πρέπει να διενεργούνται από προσωπικό και/ή εξωτερικούς εμπειρογνώμονες που διαθέτουν την απαραίτητη τεχνογνωσία και τα τεκμηριωμένα αποτελέσματα και συμπεράσματα των δοκιμών θα πρέπει να υποβάλλονται στα ανώτατα διοικητικά στελέχη και/ή το διοικητικό όργανο. Εφόσον είναι αναγκαίο και ενδείκνυται, το ίδρυμα θα πρέπει να μαθαίνει από τις εν λόγω δοκιμές ποιες περαιτέρω βελτιώσεις θα πρέπει να πραγματοποιήσει στους ελέγχους και τις διαδικασίες ασφάλειας και/ή ποιων σημείων την αποτελεσματικότητα θα πρέπει να επιβεβαιώσει καλύτερα.
• (γ) Έλεγχοι για τη διαχείριση ουσιωδών κινδύνων αλλαγών των ΤΠΕ

1. Επισκόπηση

1.1 Παραπομπές

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικά πρότυπα

2. Εντοπισμένες απαιτήσεις

3. Σχετικά πρότυπα

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/