57. Οι αρμόδιες αρχές θα πρέπει να αξιολογούν εάν το ίδρυμα εφαρμόζει αποτελεσματικό πλαίσιο για …

Οι αρμόδιες αρχές θα πρέπει να αξιολογούν εάν το ίδρυμα εφαρμόζει αποτελεσματικό πλαίσιο για τον προσδιορισμό, την κατανόηση, τη μέτρηση και τον μετριασμό του κινδύνου ακεραιότητας δεδομένων ΤΠΕ, ανάλογο της φύσης, της κλίμακας και της πολυπλοκότητας των δραστηριοτήτων του ιδρύματος και του προφίλ κινδύνου ΤΠΕ του ιδρύματος. Το πλαίσιο του ιδρύματος θα πρέπει να λαμβάνει υπόψη τους κινδύνους που σχετίζονται με τη διατήρηση της ακεραιότητας των δεδομένων που αποθηκεύονται και υφίστανται επεξεργασία από τα συστήματα ΤΠΕ. Για την εν λόγω αξιολόγηση, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν υπόψη ιδιαιτέρως εάν το πλαίσιο λαμβάνει υπόψη:

• α. πολιτική που ορίζει τους ρόλους και τις αρμοδιότητες για τη διαχείριση της ακεραιότητας των δεδομένων στα συστήματα ΤΠΕ (π.χ. αρχιτέκτονας δεδομένων, υπεύθυνοι δεδομένων⁶ , θεματοφύλακες δεδομένων⁷ , ιδιοκτήτες/επόπτες δεδομένων⁸ ). Παρέχεται καθοδήγηση σχετικά με τα δεδομένα που είναι κρίσιμης σημασίας από άποψη ακεραιότητας των δεδομένων και θα πρέπει να υπόκεινται σε ειδικούς ελέγχους ΤΠΕ (π.χ. αυτόματους ελέγχους επικύρωσης εισόδου, ελέγχους μεταφοράς δεδομένων, συμφωνίες στοιχείων κ.λπ.) ή επανεξετάσεις (π.χ. έλεγχο συμβατότητας με την αρχιτεκτονική δεδομένων) στα διάφορα στάδια του κύκλου ζωής των δεδομένων ΤΠΕ·
• β. τεκμηριωμένη αρχιτεκτονική δεδομένων, μοντέλο δεδομένων και/ή λεξικό δεδομένων, το οποίο επικυρώνεται από τα σχετικά ενδιαφερόμενα μέρη της επιχείρησης και του τμήματος πληροφορικής για την υποστήριξη της απαιτούμενης συνοχής των δεδομένων σε όλα τα συστήματα ΤΠΕ και για τη διασφάλιση της συνεχούς ευθυγράμμισης της αρχιτεκτονικής, του μοντέλου και/ή του λεξικού δεδομένων με τις ανάγκες διαχείρισης των δραστηριοτήτων και των κινδύνων·
• γ. πολιτική σχετικά με την επιτρεπόμενη χρήση των συστημάτων τελικού χρήστη (end user computing) και την εξάρτηση από τέτοια συστήματα, ιδίως όσον αφορά τον προσδιορισμό, την καταχώριση και την τεκμηρίωση σημαντικών λύσεων συστημάτων τελικού χρήστη (π.χ. κατά την επεξεργασία σημαντικών δεδομένων) και τα αναμενόμενα επίπεδα ασφάλειας για την πρόληψη μη εξουσιοδοτημένων τροποποιήσεων, τόσο στο ίδιο το εργαλείο όσο και στα δεδομένα που αποθηκεύονται σε αυτό·
• δ. τεκμηριωμένες διαδικασίες χειρισμού εξαιρέσεων για την επίλυση των ζητημάτων ακεραιότητας δεδομένων ΤΠΕ που έχουν εντοπισθεί, σύμφωνα με την κρισιμότητα και την ευαισθησία τους.

⁶ Ο υπεύθυνος δεδομένων (data officer) είναι υπεύθυνος για την επεξεργασία και τη χρήση των δεδομένων.

⁷ Ο θεματοφύλακας δεδομένων (data custodian) είναι υπεύθυνος για την ασφαλή φύλαξη, μεταφορά και αποθήκευση των δεδομένων.

⁸ Ο επόπτης δεδομένων (data steward) είναι υπεύθυνος για τη διαχείριση και την καταλληλότητα των στοιχείων των δεδομένων – τόσο του περιεχομένου όσο και των μεταδεδομένων.

1. Επισκόπηση

1.1 Παραπομπές

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικά πρότυπα

2. Εντοπισμένες απαιτήσεις

3. Σχετικά πρότυπα

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/