+Άρθρο 19 Αναφορά μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ και προαιρετική κοινοποίηση σημαντικών κυβερνοαπειλών
---+Άρθρο 19 1
---+Άρθρο 19 2
---+Άρθρο 19 3
---+Άρθρο 19 4
---+Άρθρο 19 5
---+Άρθρο 19 6
---+Άρθρο 19 7
---+Άρθρο 19 8
|
Άρθρο 19 Αναφορά μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ και προαιρετική κοινοποίηση σημαντικών κυβερνοαπειλών
1. Επισκόπηση
| Τίτλος |
Κανονισμός |
|
Άρθρο 19 1
|
1. Οι χρηματοοικονομικές οντότητες αναφέρουν στην αρμόδια αρχή μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ, όπως ορίζεται στο άρθρο 46, σύμφωνα με την παράγραφο 4 του παρόντος άρθρου.
Όταν μια χρηματοοικονομική οντότητα υπόκειται σε εποπτεία από περισσότερες από μία εθνικές αρμόδιες αρχές, οι οποίες αναφέρονται στο άρθρο 46, τα κράτη μέλη ορίζουν ενιαία αρμόδια αρχή ως τη σχετική αρμόδια αρχή που είναι υπεύθυνη για την εκτέλεση των λειτουργιών και των καθηκόντων που προβλέπονται στο παρόν άρθρο.
Τα πιστωτικά ιδρύματα που ταξινομούνται ως σημαντικά, σύμφωνα με το άρθρο 6 παράγραφος 4 του κανονισμού (ΕΕ) αριθ. 1024/2013, αναφέρουν μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ στη σχετική εθνική αρμόδια αρχή που ορίζεται σύμφωνα με το άρθρο 4 της οδηγίας 2013/36/ΕΕ, η οποία διαβιβάζει αμέσως την εν λόγω αναφορά στην ΕΚΤ.
Για τους σκοπούς του πρώτου εδαφίου, οι χρηματοοικονομικές οντότητες, αφού συλλέξουν και αναλύσουν όλες τις σχετικές πληροφορίες, καταρτίζουν την αρχική κοινοποίηση και τις αναφορές που προβλέπονται στην παράγραφο 4 του παρόντος άρθρου, χρησιμοποιώντας τα υποδείγματα που αναφέρονται στο άρθρο 20, και τις υποβάλλουν στην αρμόδια αρχή. Σε περίπτωση που μια τεχνική αδυναμία εμποδίζει την υποβολή της αρχικής κοινοποίησης με τη χρήση του υποδείγματος, οι χρηματοοικονομικές οντότητες ενημερώνουν σχετικά την αρμόδια αρχή με εναλλακτικά μέσα.
Η αρχική κοινοποίηση και οι αναφορές που προβλέπονται στην παράγραφο 4 περιλαμβάνουν όλες τις απαραίτητες πληροφορίες προκειμένου η αρμόδια αρχή να είναι σε θέση να προσδιορίσει τη σημασία του μείζονος συμβάντος που σχετίζεται με τις ΤΠΕ και να προβεί σε εκτίμηση των πιθανών διασυνοριακών επιπτώσεων.
Με την επιφύλαξη των αναφορών σύμφωνα με το πρώτο εδάφιο από τη χρηματοοικονομική οντότητα στη σχετική αρμόδια αρχή, τα κράτη μέλη μπορούν επιπλέον να ορίζουν ότι ορισμένες ή όλες οι χρηματοοικονομικές οντότητες παρέχουν επίσης την αρχική κοινοποίηση και κάθε αναφορά που προβλέπεται στην παράγραφο 4 του παρόντος άρθρου, χρησιμοποιώντας τα υποδείγματα που αναφέρονται στο άρθρο 20, στις αρμόδιες αρχές ή στις ομάδες αντιμετώπισης συμβάντων ασφάλειας σε υπολογιστές (CSIRT) που έχουν οριστεί ή συσταθεί σύμφωνα με την οδηγία (ΕΕ) 2022/2555
|
|
Άρθρο 19 2
|
2. Οι χρηματοοικονομικές οντότητες μπορούν, σε προαιρετική βάση, να κοινοποιούν σημαντικές κυβερνοαπειλές στη σχετική αρμόδια αρχή όταν θεωρούν ότι η απειλή είναι σημαντική για το χρηματοοικονομικό σύστημα, τους χρήστες υπηρεσιών ή τους πελάτες. Η σχετική αρμόδια αρχή μπορεί να παρέχει τις πληροφορίες αυτές σε άλλες σχετικές αρχές που αναφέρονται στην παράγραφο 6.
Τα πιστωτικά ιδρύματα που ταξινομούνται ως σημαντικά, σύμφωνα με το άρθρο 6 παράγραφος 4 του κανονισμού (ΕΕ) αριθ. 1024/2013, μπορούν, σε προαιρετική βάση, να κοινοποιούν σημαντικές κυβερνοαπειλές στη σχετική εθνική αρμόδια αρχή, η οποία έχει οριστεί σύμφωνα με το άρθρο 4 της οδηγίας 2013/36/ΕΕ, και η οποία διαβιβάζει αμέσως την κοινοποίηση στην ΕΚΤ.
Τα κράτη μέλη μπορούν να ορίζουν ότι οι χρηματοοικονομικές οντότητες που κοινοποιούν σε προαιρετική βάση σύμφωνα με το πρώτο εδάφιο μπορούν επίσης να διαβιβάζουν την εν λόγω κοινοποίηση στις CSIRT που ορίζονται ή συστήνονται σύμφωνα με ην οδηγία (ΕΕ) 2022/2555
|
|
Άρθρο 19 3
|
3. Κατά την εκδήλωση μείζονος συμβάντος, το οποίο σχετίζεται με τις ΤΠΕ και έχει επιπτώσεις στα οικονομικά συμφέροντα των πελατών, οι χρηματοοικονομικές οντότητες ενημερώνουν, χωρίς αδικαιολόγητη καθυστέρηση, αφού λάβουν γνώση του συμβάντος, τους πελάτες όσον αφορά το μείζον συμβάν που σχετίζεται με τις ΤΠΕ και σχετικά με τα μέτρα που έχουν ληφθεί για τον περιορισμό των δυσμενών επιπτώσεων του εν λόγω συμβάντος.
Σε περίπτωση σημαντικής κυβερνοαπειλής, οι χρηματοοικονομικές οντότητες ενημερώνουν, κατά περίπτωση, τους πελάτες τους που ενδέχεται να επηρεαστούν σχετικά με τυχόν κατάλληλα μέτρα προστασίας τα οποία ενδέχεται να εξετάσουν οι τελευταίοι.
|
|
Άρθρο 19 4
|
4. Οι χρηματοοικονομικές οντότητες, εντός των προθεσμιών που καθορίζονται σύμφωνα με το άρθρο 20 πρώτο εδάφιο στοιχείο α) σημείο ii), υποβάλλουν τα ακόλουθα στη σχετική αρμόδια αρχή:
|
β)
|
ενδιάμεση αναφορά μετά την αρχική κοινοποίηση που αναφέρεται στο στοιχείο α), αμέσως μόλις μεταβληθεί σημαντικά η κατάσταση του αρχικού συμβάντος ή μεταβληθεί ο χειρισμός του μείζονος συμβάντος που σχετίζεται με τις ΤΠΕ βάσει νέων διαθέσιμων πληροφοριών, ακολουθούμενη, κατά περίπτωση, από επικαιροποιημένες κοινοποιήσεις κάθε φορά που είναι διαθέσιμη σχετική επικαιροποίηση της κατάστασης, καθώς και κατόπιν συγκεκριμένου αιτήματος της αρμόδιας αρχής,
|
|
γ)
|
τελική αναφορά, όταν ολοκληρωθεί η ανάλυση των βαθύτερων αιτίων, ανεξάρτητα από το αν έχουν ήδη εφαρμοστεί μέτρα μετριασμού, και όταν είναι διαθέσιμα τα στοιχεία των πραγματικών επιπτώσεων προς αντικατάσταση των εκτιμήσεων.
|
|
|
Άρθρο 19 5
|
5. Οι χρηματοοικονομικές οντότητες μπορούν να αναθέτουν, σύμφωνα με το ενωσιακό και εθνικό τομεακό δίκαιο, τις υποχρεώσεις αναφοράς που προβλέπονται στο παρόν άρθρο σε τρίτο πάροχο υπηρεσιών. Σε περίπτωση τέτοιας εξωτερικής ανάθεσης, η χρηματοοικονομική οντότητα παραμένει εξολοκλήρου υπεύθυνη για την εκπλήρωση των απαιτήσεων αναφοράς συμβάντων.
|
|
Άρθρο 19 6
|
6. Μετά την παραλαβή της αρχικής κοινοποίησης και κάθε αναφοράς που προβλέπεται στην παράγραφο 4, η αρμόδια αρχή παρέχει εγκαίρως λεπτομερή στοιχεία για το μείζον συμβάν που σχετίζεται με τις ΤΠΕ στους ακόλουθους αποδέκτες με βάση, κατά περίπτωση, τις αντίστοιχες αρμοδιότητές τους:
|
α)
|
στην ΕΑΤ, στην ΕΑΚΑΑ ή στην ΕΑΑΕΣ,
|
|
β)
|
στην ΕΚΤ, στην περίπτωση των χρηματοοικονομικών οντοτήτων που αναφέρονται στο άρθρο 2 παράγραφος 1 στοιχεία α), β) και δ),
|
|
γ)
|
στις αρμόδιες αρχές, στα ενιαία σημεία επαφής ή στις CSIRT που έχουν οριστεί ή συσταθεί, σύμφωνα με την οδηγία (ΕΕ) 2022/2555
|
|
δ)
|
στις αρχές εξυγίανσης, όπως αναφέρονται στο άρθρο 3 της οδηγίας 2014/59/ΕΕ, και στο Ενιαίο Συμβούλιο Εξυγίανσης (ΕΣΕ) όσον αφορά τις οντότητες που αναφέρονται στο άρθρο 7 παράγραφος 2 του κανονισμού (ΕΕ) αριθ. 806/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (37), και όσον αφορά τις οντότητες και τους ομίλους που αναφέρονται στο άρθρο 7 παράγραφος 4 στοιχείο β) και στο άρθρο 7 παράγραφος 5 του κανονισμού (ΕΕ) αριθ. 806/2014, εάν οι λεπτομέρειες αυτές αφορούν συμβάντα που ενέχουν κίνδυνο για τη διασφάλιση κρίσιμων λειτουργιών κατά την έννοια του άρθρου 2 παράγραφος 1 σημείο 35) της οδηγίας 2014/59/ΕΕ, και
|
|
ε)
|
σε άλλες αρμόδιες δημόσιες αρχές βάσει του εθνικού δικαίου.
|
|
|
Άρθρο 19 7
|
7. Μετά την παραλαβή των πληροφοριών σύμφωνα με την παράγραφο 6, η ΕΑΤ, η ΕΑΚΑΑ ή η ΕΑΑΕΣ και η ΕΚΤ, σε συνεννόηση με τον ENISA και σε συνεργασία με τη σχετική αρμόδια αρχή, αξιολογούν αν το μείζον συμβάν που σχετίζεται με τις ΤΠΕ έχει ενδιαφέρον για τις αρμόδιες αρχές σε άλλα κράτη μέλη. Μετά την εν λόγω αξιολόγηση, η ΕΑΤ, η ΕΑΚΑΑ ή η ΕΑΑΕΣ ενημερώνουν σχετικά, το συντομότερο δυνατόν, τις σχετικές αρμόδιες αρχές άλλων κρατών μελών. Η ΕΚΤ ενημερώνει τα μέλη του Ευρωπαϊκού Συστήματος Κεντρικών Τραπεζών για θέματα που σχετίζονται με το σύστημα πληρωμών. Βάσει της εν λόγω ενημέρωσης, οι αρμόδιες αρχές λαμβάνουν, κατά περίπτωση, όλα τα αναγκαία μέτρα για την προστασία της άμεσης σταθερότητας του χρηματοοικονομικού συστήματος.
|
|
Άρθρο 19 8
|
8. Η κοινοποίηση που πρέπει να γίνει από την ΕΑΚΑΑ σύμφωνα με την παράγραφο 7 του παρόντος άρθρου δεν θίγει την ευθύνη της αρμόδιας αρχής να διαβιβάζει επειγόντως τις λεπτομέρειες του μείζονος συμβάντος που σχετίζεται με τις ΤΠΕ στη σχετική αρχή του κράτους μέλους υποδοχής, όταν ένα κεντρικό αποθετήριο τίτλων ασκεί σημαντική διασυνοριακή δραστηριότητα στο κράτος μέλος υποδοχής, το μείζον συμβάν που σχετίζεται με τις ΤΠΕ είναι πιθανό να έχει σοβαρές επιπτώσεις στις χρηματοοικονομικές αγορές του κράτους μέλους υποδοχής και όταν υπάρχουν ρυθμίσεις συνεργασίας μεταξύ των αρμόδιων αρχών σχετικά με την εποπτεία των χρηματοοικονομικών οντοτήτων.
|
,
1.1 Παραπομπές
1.2 Εντοπισμένες απαιτήσεις
1.3 Σχετικά πρότυπα
2. Εντοπισμένες απαιτήσεις
3. Σχετικά πρότυπα
Πρότυπα
| Πηγή |
Απαίτηση |
|
SCF
|
Incident Stakeholder Reporting
Description
Mechanisms exist to timely-report incidents to applicable:
(1) Internal stakeholders;
(2) Affected clients & third-parties; and
(3) Regulatory authorities.
Possible Solutions & Considerations
Micro-Small Business (<10 staff) / BLS Firm Size Classes 1-2
∙ Basic incident response plan
∙ Designate incident response contact
Small Business (10-49 staff) / BLS Firm Size Classes 3-4
∙ Documented incident response plan
∙ Incident log
∙ Designated IR team
Medium Business (50-249 staff) / BLS Firm Size Classes 5-6
∙ Formal incident response program
∙ IR playbooks
∙ Tabletop exercises
Large Business (250-999 staff) / BLS Firm Size Classes 7-8
∙ Enterprise incident response program
∙ 24/7 SOC monitoring
∙ SOAR platform
Enterprise (> 1,000 staff) / BLS Firm Size Class 9
∙ Enterprise SOC with SIEM/SOAR (e.g., Splunk SOAR, Palo Alto XSOAR)
∙ IR retainer
∙ Threat hunting
SCR-CMM
Level 0 Not Performed
Practices are non-existent, based on the inability to demonstrate an implemented and operational capability. A reasonable person would conclude the control is not being performed.
Level 1 Performed Informally
SCR-CMM Level 1 criteria definitions are not available for this control:
▪ A reasonable person would conclude this control requires a structured process.
▪ At this level of maturity, the "ad hoc" nature of performing a capability informally would indicate the intent of the control is not met due to a lack of consistency and formality.
Level 2 Planned Tracked
Incident Response (IRO) capabilities are requirements-driven, but are not standardized across the entity (e.g., local/regional level consistency). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with IRO domain capabilities are formally documented and centrally-managed by the entity.
▪ Standardized Operating Procedures (SOP) associated with DCH domain capabilities are documented and maintained by process owners.
▪ IT and/or cybersecurity personnel work with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with IRO domain capabilities to address applicable statutory, regulatory and/or contractual requirements for Technology Assets, Applications, Services and/or Data (TAASD).
▪ Incident response-related controls are primarily administrative and preventative in nature (e.g., policies, standards and procedures & guidelines).
▪ Incident response management may be a defined function (e.g., team or department) or assigned as an additional duty to existing IT and/or cybersecurity personnel.
▪ IT and/or cybersecurity personnel operate an incident response capability using a documented and tested Incident Response Plan (IRP) to facilitate incident management operations that cover preparation, detection and analysis, containment, eradication and recovery.
▪ IT and/or cybersecurity personnel facilitate prompt response to suspected or confirmed security incidents, including timely notification to affected stakeholders.
Level 3 Well Defined
Incident Response (IRO) capabilities are standardized across the entity for applicability to People, Processes, Technologies, Data and/or Facilities (PPTDF) to ensure consistency for Technology Assets, Applications, Services and/or Data (TAASD). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with IRO domain capabilities are formally documented and centrally-managed by the entity's Governance, Risk & Compliance (GRC) team, or similar function.
▪ Cybersecurity personnel operate an incident response capability using a documented and tested Incident Response Plan (IRP) to facilitate incident management operations that cover preparation, detection and analysis, containment, eradication and recovery.
▪ An incident response team, or similar function, is appropriately staffed and supported to implement and maintain IRO domain capabilities.
▪ Technology is leveraged to enhance the efficiency and accuracy of incident response operations (e.g., incident management software).
▪ The entity's Governance, Risk & Compliance (GRC) team, or similar function, works with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with IRO domain capabilities to address Minimum Compliance Requirements (MCR) (e.g., applicable statutory, regulatory and/or contractual requirements) and Discretionary Security Requirements (DSR) (e.g., entity-required controls).
▪ An implemented and operational capability exists to timely-report incidents to applicable:
(1) Internal stakeholders;
(2) Affected clients & third-parties; and
(3) Regulatory authorities.
Level 4 Quantitatively Controlled
Incident Response (IRO) capabilities, in addition to being standardized across the entity and centrally managed to ensure consistency across Technology Assets, Applications, Services and/or Data (TAASD), efforts are metrics driven to provide sufficient insight for decision makers to predict optimal performance, ensure continued operations and/or identify areas for improvement. Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Applicable SCR-CMM Level 3 (Well Defined) capabilities are implemented and operational.
▪ Metrics reporting includes quantitative analysis of Key Performance Indicators (KPIs).
▪ Metrics reporting includes quantitative analysis of Key Risk Indicators (KRIs).
▪ Scope of metrics, KPIs and KRIs covers organization-wide cybersecurity and data protection controls, including functions performed by third-parties.
▪ Organizational leadership maintains a formal process to objectively review and respond to metrics, KPIs and KRIs (e.g., monthly or quarterly review).
▪ Based on metrics analysis, process improvement recommendations are submitted for review and are handled in accordance with change control processes.
▪ Business and technical stakeholders are involved in reviewing and approving proposed changes to evolve capabilities.
Level 5 Continuously Improving
Utilize SCR-CMM Level 3 or Level 4 (if available) criteria definitions:
▪ There are no defined Level 5 criteria, since it is reasonable to assume a continuously-improving process is not necessary to operationalize this control.
▪ Level 5 capabilities should be considered “world-class” where the control builds on Level 4 capabilities, but are continuously improving through Artificial Intelligence (AI) and/or Machine Learning (ML) technologies.
▪ While it may be possible to develop responsive capabilities for this control through the use of AI and/or ML technologies, the criteria would be organization-specific to define.
|
|
SCF
|
Incident Stakeholder Reporting
Description
Mechanisms exist to timely-report incidents to applicable:
(1) Internal stakeholders;
(2) Affected clients & third-parties; and
(3) Regulatory authorities.
Possible Solutions & Considerations
Micro-Small Business (<10 staff) / BLS Firm Size Classes 1-2
∙ Basic incident response plan
∙ Designate incident response contact
Small Business (10-49 staff) / BLS Firm Size Classes 3-4
∙ Documented incident response plan
∙ Incident log
∙ Designated IR team
Medium Business (50-249 staff) / BLS Firm Size Classes 5-6
∙ Formal incident response program
∙ IR playbooks
∙ Tabletop exercises
Large Business (250-999 staff) / BLS Firm Size Classes 7-8
∙ Enterprise incident response program
∙ 24/7 SOC monitoring
∙ SOAR platform
Enterprise (> 1,000 staff) / BLS Firm Size Class 9
∙ Enterprise SOC with SIEM/SOAR (e.g., Splunk SOAR, Palo Alto XSOAR)
∙ IR retainer
∙ Threat hunting
SCR-CMM
Level 0 Not Performed
Practices are non-existent, based on the inability to demonstrate an implemented and operational capability. A reasonable person would conclude the control is not being performed.
Level 1 Performed Informally
SCR-CMM Level 1 criteria definitions are not available for this control:
▪ A reasonable person would conclude this control requires a structured process.
▪ At this level of maturity, the "ad hoc" nature of performing a capability informally would indicate the intent of the control is not met due to a lack of consistency and formality.
Level 2 Planned Tracked
Incident Response (IRO) capabilities are requirements-driven, but are not standardized across the entity (e.g., local/regional level consistency). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with IRO domain capabilities are formally documented and centrally-managed by the entity.
▪ Standardized Operating Procedures (SOP) associated with DCH domain capabilities are documented and maintained by process owners.
▪ IT and/or cybersecurity personnel work with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with IRO domain capabilities to address applicable statutory, regulatory and/or contractual requirements for Technology Assets, Applications, Services and/or Data (TAASD).
▪ Incident response-related controls are primarily administrative and preventative in nature (e.g., policies, standards and procedures & guidelines).
▪ Incident response management may be a defined function (e.g., team or department) or assigned as an additional duty to existing IT and/or cybersecurity personnel.
▪ IT and/or cybersecurity personnel operate an incident response capability using a documented and tested Incident Response Plan (IRP) to facilitate incident management operations that cover preparation, detection and analysis, containment, eradication and recovery.
▪ IT and/or cybersecurity personnel facilitate prompt response to suspected or confirmed security incidents, including timely notification to affected stakeholders.
Level 3 Well Defined
Incident Response (IRO) capabilities are standardized across the entity for applicability to People, Processes, Technologies, Data and/or Facilities (PPTDF) to ensure consistency for Technology Assets, Applications, Services and/or Data (TAASD). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with IRO domain capabilities are formally documented and centrally-managed by the entity's Governance, Risk & Compliance (GRC) team, or similar function.
▪ Cybersecurity personnel operate an incident response capability using a documented and tested Incident Response Plan (IRP) to facilitate incident management operations that cover preparation, detection and analysis, containment, eradication and recovery.
▪ An incident response team, or similar function, is appropriately staffed and supported to implement and maintain IRO domain capabilities.
▪ Technology is leveraged to enhance the efficiency and accuracy of incident response operations (e.g., incident management software).
▪ The entity's Governance, Risk & Compliance (GRC) team, or similar function, works with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with IRO domain capabilities to address Minimum Compliance Requirements (MCR) (e.g., applicable statutory, regulatory and/or contractual requirements) and Discretionary Security Requirements (DSR) (e.g., entity-required controls).
▪ An implemented and operational capability exists to timely-report incidents to applicable:
(1) Internal stakeholders;
(2) Affected clients & third-parties; and
(3) Regulatory authorities.
Level 4 Quantitatively Controlled
Incident Response (IRO) capabilities, in addition to being standardized across the entity and centrally managed to ensure consistency across Technology Assets, Applications, Services and/or Data (TAASD), efforts are metrics driven to provide sufficient insight for decision makers to predict optimal performance, ensure continued operations and/or identify areas for improvement. Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Applicable SCR-CMM Level 3 (Well Defined) capabilities are implemented and operational.
▪ Metrics reporting includes quantitative analysis of Key Performance Indicators (KPIs).
▪ Metrics reporting includes quantitative analysis of Key Risk Indicators (KRIs).
▪ Scope of metrics, KPIs and KRIs covers organization-wide cybersecurity and data protection controls, including functions performed by third-parties.
▪ Organizational leadership maintains a formal process to objectively review and respond to metrics, KPIs and KRIs (e.g., monthly or quarterly review).
▪ Based on metrics analysis, process improvement recommendations are submitted for review and are handled in accordance with change control processes.
▪ Business and technical stakeholders are involved in reviewing and approving proposed changes to evolve capabilities.
Level 5 Continuously Improving
Utilize SCR-CMM Level 3 or Level 4 (if available) criteria definitions:
▪ There are no defined Level 5 criteria, since it is reasonable to assume a continuously-improving process is not necessary to operationalize this control.
▪ Level 5 capabilities should be considered “world-class” where the control builds on Level 4 capabilities, but are continuously improving through Artificial Intelligence (AI) and/or Machine Learning (ML) technologies.
▪ While it may be possible to develop responsive capabilities for this control through the use of AI and/or ML technologies, the criteria would be organization-specific to define.
|
|