184. Όσον αφορά τον κίνδυνο ΤΠΕ και ασφάλειας , οι αρμόδιες αρχές θα πρέπει να βεβαιωθούν ότι το …

Όσον αφορά τον κίνδυνο ΤΠΕ και ασφάλειας⁵⁵ , οι αρμόδιες αρχές θα πρέπει να βεβαιωθούν ότι το πλαίσιο διαχείρισης θα διασφαλίζει τη χρηστή, αξιόπιστη και ασφαλή λειτουργία των συστημάτων πληροφοριών και επικοινωνιών που υποστηρίζουν τις δραστηριότητες των πιστωτικών ιδρυμάτων, καθώς και την επαρκή πρόληψη, την παρακολούθηση και τον μετριασμό των κινδύνων ΤΠΕ σε κανονικές περιόδους, καθώς και σε περιόδους ακραίων καταστάσεων. Οι αρμόδιες αρχές θα πρέπει να αξιολογούν, ιδίως, τα εξής:

• (α) εάν το διοικητικό όργανο έχει τη συνολική ευθύνη για τον καθορισμό, την έγκριση και την επίβλεψη της εφαρμογής της στρατηγικής ΤΠΕ των χρηματοδοτικών ιδρυμάτων, η οποία θα πρέπει να εναρμονίζεται με τη συνολική επιχειρηματική στρατηγική των χρηματοδοτικών ιδρυμάτων·
• (β) τον σαφή καθορισμό και την κατανομή των βασικών ρόλων και αρμοδιοτήτων και των σχετικών γραμμών αναφοράς, ώστε το πλαίσιο διαχείρισης κινδύνων ΤΠΕ και ασφάλειας να είναι αποτελεσματικό, συμπεριλαμβανομένης της διάθεσης κατάλληλου προϋπολογισμού για την επαρκή υποστήριξη των επιχειρησιακών αναγκών σε θέματα ΤΠΕ και της διαχείρισης κινδύνων ΤΠΕ και ασφάλειας·
• (γ) εάν η διαχείριση και η επίβλεψη των κινδύνων ΤΠΕ και ασφάλειας έχουν ανατεθεί σε ανεξάρτητη και αντικειμενική λειτουργία ελέγχου, η οποία είναι κατάλληλα διαχωρισμένη από τις επιχειρησιακές διαδικασίες ΤΠΕ και δεν είναι υπεύθυνη για οποιαδήποτε εσωτερική επιθεώρησης, καθώς και σε ανεξάρτητη λειτουργία εσωτερικής επιθεώρησης·
• (δ) τις ρυθμίσεις για τη διασφάλιση του εντοπισμού, της δημιουργίας και της διατήρησης επικαιροποιημένης χαρτογράφησης των επιχειρηματικών λειτουργιών, ρόλων και υποστηρικτικών διεργασιών ώστε να προσδιορίζεται η σημασία καθενός και των αλληλεξαρτήσεών τους σε σχέση με τους κινδύνους ΤΠΕ και ασφάλειας·
• (ε) στον βαθμό που οι πληροφορίες διατηρούνται σε συστήματα ΤΠΕ, εάν θα ισχύουν απαιτήσεις για την ασφάλεια των πληροφοριών·
• (στ) την κλίμακα, την πολυπλοκότητα και τη σημασία των αλληλεξαρτήσεων που σχετίζονται με τις ΤΠΕ, εάν προβλέπεται η εξωτερική ανάθεση λειτουργιών των υπηρεσιών ΤΠΕ και οποιασδήποτε δραστηριότητας σχετικής με τα συστήματα ΤΠΕ – μεταξύ άλλων σε οντότητες του ομίλου – ή η χρήση τρίτων μερών σε σχέση με τις εν λόγω λειτουργίες και δραστηριότητες.

⁵⁵ Όπως ορίζεται στις κατευθυντήριες γραμμές της ΕΑΤ για τη διαχείριση κινδύνων ασφάλειας ΤΠΕ , «Κίνδυνος ΤΠΕ και ασφάλειας» σημαίνει: «Κίνδυνος ζημίας λόγω παραβίασης της εμπιστευτικότητας, αστοχίας της ακεραιότητας συστημάτων και δεδομένων, ακαταλληλότητας ή μη διαθεσιμότητας συστημάτων και δεδομένων, ή αδυναμίας αλλαγής τεχνολογίας πληροφοριών (ΤΠ) εντός εύλογου χρονικού διαστήματος και με εύλογο κόστος όταν οι απαιτήσεις του περιβάλλοντος ή των επιχειρηματικών δραστηριοτήτων μεταβάλλονται (δηλ. ευελιξία). Στο πλαίσιο αυτό περιλαμβάνονται κίνδυνοι ασφάλειας που προκύπτουν λόγω ανεπάρκειας ή αστοχίας εσωτερικών διεργασιών ή εξωτερικών συμβάντων, μεταξύ των οποίων περιλαμβάνονται και οι επιθέσεις στον κυβερνοχώρο ή η ανεπαρκής υλική ασφάλεια».

1. Επισκόπηση

1.1 Παραπομπές

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικά πρότυπα

2. Εντοπισμένες απαιτήσεις

3. Σχετικά πρότυπα

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/