4.6 Διαχείριση κινδύνων ΤΠΕ και ασφάλειας

Τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να προσδιορίζουν και να διαχειρίζονται τους οικείους κινδύνους ΤΠΕ και ασφάλειας που σχετίζονται με την εφαρμογή της διαδικασίας εξ αποστάσεως ταυτοποίησης πελατών, συμπεριλαμβανομένων των περιπτώσεων όπου πιστωτικά ιδρύματα και χρηματοπιστωτικοί οργανισμοί στηρίζονται σε τρίτα μέρη ή στην περίπτωση της εξωτερικής ανάθεσης των υπηρεσιών, μεταξύ άλλων, σε οντότητες του ομίλου.

Επιπλέον της συμμόρφωσης προς τις απαιτήσεις που καθορίζονται στις κατευθυντήριες γραμμές της ΕΑΤ σχετικά με τη διαχείριση κινδύνων ΤΠΕ και ασφάλειας¹⁰ κατά περίπτωση, τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να χρησιμοποιούν ασφαλείς διαύλους επικοινωνίας για την αλληλεπίδραση με τον πελάτη κατά τη διάρκεια της διαδικασίας εξ αποστάσεως ταυτοποίησης πελατών. Η λύση εξ αποστάσεως ταυτοποίησης πελατών θα πρέπει να χρησιμοποιεί ασφαλή πρωτόκολλα και κρυπτογραφικούς αλγόριθμους σύμφωνα με τις βέλτιστες πρακτικές του κλάδου για τη διασφάλιση της εμπιστευτικότητας, της αυθεντικότητας και της ακεραιότητας των ανταλλασσόμενων δεδομένων, κατά περίπτωση.

¹⁰ EBA/GL/2019/04

Τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να παρέχουν ασφαλές σημείο πρόσβασης για την εκκίνηση της διαδικασίας εξ αποστάσεως ταυτοποίησης πελατών βάσει εγκεκριμένων πιστοποιητικών ηλεκτρονικών σφραγίδων, όπως ορίζεται στο άρθρο 3 σημείο 30 του κανονισμού (ΕΕ) αριθ. 910/2014, ή πιστοποιητικό για την επαλήθευση της γνησιότητας του ιστοτόπου, όπως ορίζεται στο άρθρο 3 σημείο 39 του εν λόγω κανονισμού. Ο πελάτης θα πρέπει επίσης να ενημερώνεται σχετικά με τα ισχύοντα μέτρα ασφαλείας που θα πρέπει να λαμβάνονται για τη διασφάλιση της ασφαλούς χρήσης του συστήματος.

Όταν χρησιμοποιείται συσκευή πολλαπλών χρήσεων για την εφαρμογή της διαδικασίας εξ αποστάσεως ταυτοποίησης πελατών, θα πρέπει να χρησιμοποιείται ασφαλές περιβάλλον για την κατά περίπτωση εκτέλεση του κώδικα λογισμικού από τον πελάτη. Θα πρέπει να εφαρμόζονται πρόσθετα μέτρα ασφαλείας προκειμένου να διασφαλίζεται η ασφάλεια και η αξιοπιστία του κώδικα λογισμικού και των συλλεχθέντων δεδομένων, σύμφωνα με την αξιολόγηση των κινδύνων για την ασφάλεια που προβλέπεται στις κατευθυντήριες γραμμές της ΕΑΤ σχετικά με τη διαχείριση κινδύνων ΤΠΕ και ασφάλειας.