+Risk Identification
|
Risk Identification
Description
Mechanisms exist to identify and document risks, both internal and external.
Possible Solutions & Considerations
Micro-Small Business (<10 staff) / BLS Firm Size Classes 1-2
∙ Risk Management Program (RMP)
Small Business (10-49 staff) / BLS Firm Size Classes 3-4
∙ Risk Management Program (RMP)
Medium Business (50-249 staff) / BLS Firm Size Classes 5-6
∙ Risk Management Program (RMP)
Large Business (250-999 staff) / BLS Firm Size Classes 7-8
∙ Risk Management Program (RMP)
Enterprise (> 1,000 staff) / BLS Firm Size Class 9
∙ Risk Management Program (RMP)
SCR-CMM
Level 0 Not Performed
Practices are non-existent, based on the inability to demonstrate an implemented and operational capability. A reasonable person would conclude the control is not being performed.
Level 1 Performed Informally
Risk Management (RSK) domain capabilities are ad hoc and inconsistent. Capability criteria associated with this control may include:
▪ Policies, standards & procedures associated with RSK domain capabilities provide limited coverage due to the depth and breadth of the existing documentation.
▪ Risk management-related activities are decentralized (e.g., a localized/regionalized function) and uses non-standardized methods to implement secure, resilient and compliant practices.
▪ IT and/or cybersecurity personnel use an informal process to identify, assess, remediate and report on risk.
▪ Risk management processes (e.g., risk assessments) focus on protecting High Value Assets (HVAs), including environments where sensitive/regulated data is stored, transmitted and processed.
▪ Data/process owners are expected to self-manage risks associated with their Technology Assets, Applications, Services and/or Data (TAASD), based on the organization's published policies and standards, including the identification, remediation and reporting of risks.
Level 2 Planned Tracked
Risk Management (RSK) capabilities are requirements-driven, but are not standardized across the entity (e.g., local/regional level consistency). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with RSK domain capabilities are formally documented and centrally-managed by the entity.
▪ Standardized Operating Procedures (SOP) associated with RSK domain capabilities are documented and maintained by process owners.
▪ IT and/or cybersecurity personnel work with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with RSK domain capabilities to address applicable statutory, regulatory and/or contractual requirements for Technology Assets, Applications, Services and/or Data (TAASD).
▪ Risk management-related controls are primarily administrative and preventative in nature (e.g., policies, standards and procedures & guidelines).
▪ Risk management may be a defined function (e.g., team or department) or assigned as an additional duty to existing IT and/or cybersecurity personnel.
▪ Risk management processes (e.g., risk assessments) and technologies focus on protecting High Value Assets (HVAs), including environments where sensitive/regulated data is stored, transmitted and processed.
▪ IT and/or cybersecurity personnel implement and maintain a form of Risk Management Program (RMP) that provides operational guidance on how risk is identified, assessed, remediated and reported.
▪ Data/process owners are expected to self-manage risks associated with their systems, applications, services and data, based on the organization's published policies and standards, including the identification, remediation and reporting of risks.
▪ Business process owners (BPOs) are made aware of cybersecurity and data protection risk(s).
Level 3 Well Defined
Risk Management (RSK) capabilities are standardized across the entity for applicability to People, Processes, Technologies, Data and/or Facilities (PPTDF) to ensure consistency for Technology Assets, Applications, Services and/or Data (TAASD). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with RSK domain capabilities are formally documented and centrally-managed by the entity's Governance, Risk & Compliance (GRC) team, or similar function.
▪ Standardized Operating Procedures (SOP) associated with RSK domain capabilities are well-documented and kept current by process owners.
▪ A risk management team, or similar function, is appropriately staffed and supported to implement and maintain RSK domain capabilities.
▪ Technology is leveraged to enhance the efficiency and accuracy of risk management operations (e.g., risk management solution, GRC platform and TPRM tool).
▪ The entity's Governance, Risk & Compliance (GRC) team, or similar function, works with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with RSK domain capabilities to address Minimum Compliance Requirements (MCR) (e.g., applicable statutory, regulatory and/or contractual requirements) and Discretionary Security Requirements (DSR) (e.g., entity-required controls).
▪ An implemented and operational capability exists to identify and document risks, both internal and external.
Level 4 Quantitatively Controlled
Risk Management (RSK) capabilities, in addition to being standardized across the entity and centrally managed to ensure consistency across Technology Assets, Applications, Services and/or Data (TAASD), efforts are metrics driven to provide sufficient insight for decision makers to predict optimal performance, ensure continued operations and/or identify areas for improvement. Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Applicable SCR-CMM Level 3 (Well Defined) capabilities are implemented and operational.
▪ Metrics reporting includes quantitative analysis of Key Performance Indicators (KPIs).
▪ Metrics reporting includes quantitative analysis of Key Risk Indicators (KRIs).
▪ Scope of metrics, KPIs and KRIs covers organization-wide cybersecurity and data protection controls, including functions performed by third-parties.
▪ Organizational leadership maintains a formal process to objectively review and respond to metrics, KPIs and KRIs (e.g., monthly or quarterly review).
▪ Based on metrics analysis, process improvement recommendations are submitted for review and are handled in accordance with change control processes.
▪ Business and technical stakeholders are involved in reviewing and approving proposed changes to evolve capabilities.
Level 5 Continuously Improving
Utilize SCR-CMM Level 3 or Level 4 (if available) criteria definitions:
▪ There are no defined Level 5 criteria, since it is reasonable to assume a continuously-improving process is not necessary to operationalize this control.
▪ Level 5 capabilities should be considered “world-class” where the control builds on Level 4 capabilities, but are continuously improving through Artificial Intelligence (AI) and/or Machine Learning (ML) technologies.
▪ While it may be possible to develop responsive capabilities for this control through the use of AI and/or ML technologies, the criteria would be organization-specific to define.
1. Επισκόπηση
1.1 Παραπομπές
1.2 Εντοπισμένες απαιτήσεις
1.3 Σχετικοί κανονισμοί
2. Εντοπισμένες απαιτήσεις
3. Σχετικοί κανονισμοί
Κανονισμοί
| Πηγή |
Κανονισμός |
|
EULAW
|
Άρθρο 28 1
1. Οι χρηματοοικονομικές οντότητες διαχειρίζονται τον κίνδυνο τρίτων παρόχων ΤΠΕ ως αναπόσπαστο στοιχείο των κινδύνων ΤΠΕ εντός του πλαισίου τους διαχείρισης κινδύνων ΤΠΕ όπως αναφέρεται στο άρθρο 6 παράγραφος 1 και σύμφωνα με τις ακόλουθες αρχές:
|
α)
|
οι χρηματοοικονομικές οντότητες που έχουν θεσπίσει συμβατικές ρυθμίσεις για τη χρήση των υπηρεσιών ΤΠΕ με σκοπό τη διεξαγωγή των επιχειρηματικών τους δραστηριοτήτων εξακολουθούν σε κάθε περίπτωση να είναι πλήρως υπεύθυνες για την τήρηση και την εκπλήρωση όλων των υποχρεώσεων που απορρέουν από τον παρόντα κανονισμό και το ισχύον δίκαιο για τις χρηματοοικονομικές υπηρεσίες,
|
|
β)
|
η διαχείριση κινδύνου τρίτων παρόχων ΤΠΕ από τις χρηματοοικονομικές οντότητες εφαρμόζεται βάσει της αρχής της αναλογικότητας, λαμβάνοντας υπόψη:
|
i)
|
τη φύση, την κλίμακα, την πολυπλοκότητα και τη σημασία των εξαρτήσεων που σχετίζονται με τις ΤΠΕ,
|
|
ii)
|
τους κινδύνους που απορρέουν από συμβατικές ρυθμίσεις για τη χρήση υπηρεσιών ΤΠΕ, οι οποίες έχουν συναφθεί με τρίτους παρόχους υπηρεσιών ΤΠΕ, λαμβάνοντας υπόψη την κρισιμότητα ή τη σημασία της αντίστοιχης υπηρεσίας, διαδικασίας ή λειτουργίας, και τις πιθανές επιπτώσεις στη συνέχεια και τη διαθεσιμότητα των χρηματοοικονομικών υπηρεσιών και δραστηριοτήτων, τόσο σε μεμονωμένο επίπεδο όσο και σε επίπεδο ομίλου.
|
|
|
|
EULAW
|
Άρθρο 28 2
2. Στο πλαίσιο της διαχείρισης κινδύνου ΤΠΕ, οι χρηματοοικονομικές οντότητες, εκτός των οντοτήτων που αναφέρονται στο άρθρο 16 παράγραφος 1 πρώτο εδάφιο και εκτός των πολύ μικρών επιχειρήσεων, εγκρίνουν και επανεξετάζουν τακτικά τη στρατηγική για τους κινδύνους τρίτων παρόχων ΤΠΕ, λαμβάνοντας υπόψη τη στρατηγική πολλαπλών προμηθευτών που αναφέρεται στο άρθρο 6 παράγραφος 9, κατά περίπτωση. Η στρατηγική για τη διαχείριση κινδύνου τρίτων παρόχων ΤΠΕ περιλαμβάνει πολιτική για τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κριτικές ή σημαντικές λειτουργίες, οι οποίες παρέχονται από τρίτους παρόχους υπηρεσιών ΤΠΕ και εφαρμόζεται σε μεμονωμένη βάση και, ανάλογα με την περίπτωση, σε υποενοποιημένη και ενοποιημένη βάση. Το διοικητικό όργανο, βάσει αξιολόγησης του συνολικού προφίλ κινδύνου της χρηματοοικονομικής οντότητας και της κλίμακας και της πολυπλοκότητας των επιχειρηματικών υπηρεσιών, επανεξετάζει τακτικά τους κινδύνους που εντοπίζονται σε σχέση με συμβατικές ρυθμίσεις σχετικά με τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες.
|
|
EULAW
|
Άρθρο 28 3
3. Στο πλαίσιο της διαχείρισης κινδύνου ΤΠΕ, οι χρηματοοικονομικές οντότητες τηρούν και επικαιροποιούν σε επίπεδο οντότητας και σε υποενοποιημένο και ενοποιημένο επίπεδο, μητρώο πληροφοριών όσον αφορά το σύνολο των συμβατικών ρυθμίσεων σχετικά με τη χρήση υπηρεσιών ΤΠΕ που παρέχονται από τρίτους παρόχους υπηρεσιών ΤΠΕ.
Οι συμβατικές ρυθμίσεις που αναφέρονται στο πρώτο εδάφιο τεκμηριώνονται κατάλληλα, με διαχωρισμό των ρυθμίσεων που καλύπτουν υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες από τις υπόλοιπες ρυθμίσεις.
Οι χρηματοοικονομικές οντότητες αναφέρουν στις αρμόδιες αρχές, τουλάχιστον ετησίως, τον αριθμό των νέων συμβατικών ρυθμίσεων για τη χρήση υπηρεσιών ΤΠΕ, τις κατηγορίες τρίτων παρόχων υπηρεσιών ΤΠΕ, το είδος των συμβατικών ρυθμίσεων και τις παρεχόμενες υπηρεσίες και λειτουργίες ΤΠΕ.
Οι χρηματοοικονομικές οντότητες θέτουν στη διάθεση της αρμόδιας αρχής, κατόπιν αιτήματός της, το πλήρες μητρώο πληροφοριών ή, εφόσον ζητείται, συγκεκριμένα τμήματα αυτού, καθώς και κάθε πληροφορία που κρίνεται απαραίτητη για την αποτελεσματική εποπτεία της χρηματοοικονομικής οντότητας.
Οι χρηματοοικονομικές οντότητες ενημερώνουν εγκαίρως την αρμόδια αρχή για οποιαδήποτε προγραμματισμένη συμβατική ρύθμιση σχετικά με τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, καθώς και για τη χρονική στιγμή κατά την οποία καθίσταται κρίσιμη ή σημαντική μια λειτουργία.
|
|
EULAW
|
Άρθρο 28 4
4. Πριν από τη σύναψη συμβατικής ρύθμισης σχετικά με τη χρήση υπηρεσιών ΤΠΕ, οι χρηματοοικονομικές οντότητες:
|
α)
|
αξιολογούν αν η συμβατική ρύθμιση καλύπτει τη χρήση υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμη ή σημαντική λειτουργία,
|
|
β)
|
αξιολογούν αν πληρούνται οι όροι εποπτείας της σύμβασης,
|
|
γ)
|
προσδιορίζουν και αξιολογούν όλους τους συναφείς κινδύνους σε σχέση με τη συμβατική ρύθμιση, συμπεριλαμβανομένης της πιθανότητας συμβολής της εν λόγω συμβατικής ρύθμισης στην ενίσχυση του κινδύνου συγκέντρωσης ΤΠΕ, όπως αναφέρεται στο άρθρο 29,
|
|
δ)
|
αναλαμβάνουν κάθε δέουσα επιμέλεια των υποψήφιων τρίτων παρόχων υπηρεσιών ΤΠΕ και διασφαλίζουν καθ’ όλη τη διαδικασία επιλογής και αξιολόγησης ότι ο τρίτος πάροχος υπηρεσιών ΤΠΕ είναι κατάλληλος,
|
|
ε)
|
προσδιορίζουν και αξιολογούν συγκρούσεις συμφερόντων που μπορεί να προκαλέσει η συμβατική ρύθμιση.
|
|
|
EULAW
|
Άρθρο 28 5
5. Οι χρηματοοικονομικές οντότητες μπορούν να συνάπτουν συμβατικές ρυθμίσεις μόνο με τρίτους παρόχους υπηρεσιών ΤΠΕ που συμμορφώνονται με κατάλληλα πρότυπα ασφάλειας των πληροφοριών. Όταν οι εν λόγω συμβατικές ρυθμίσεις αφορούν κρίσιμες ή σημαντικές λειτουργίες, οι χρηματοοικονομικές οντότητες, πριν από τη σύναψη των ρυθμίσεων, λαμβάνουν δεόντως υπόψη τη χρήση, από τρίτους παρόχους υπηρεσιών ΤΠΕ, των πλέον επικαιροποιημένων και ύψιστης ποιότητας προτύπων ασφάλειας πληροφοριών.
|
|
EULAW
|
Άρθρο 28 6
6. Κατά την άσκηση των δικαιωμάτων πρόσβασης, επιθεώρησης και ελέγχου έναντι του τρίτου παρόχου υπηρεσιών ΤΠΕ, οι χρηματοοικονομικές οντότητες προκαθορίζουν, σύμφωνα με την προσέγγιση βάσει κινδύνων, τη συχνότητα των ελέγχων και των επιθεωρήσεων, καθώς και τους τομείς που πρέπει να ελέγχονται μέσω της τήρησης κοινώς αποδεκτών προτύπων ελέγχου σύμφωνα με τυχόν εποπτικές οδηγίες σχετικά με τη χρήση και την ενσωμάτωση προτύπων ελέγχου αυτού του είδους.
Όταν οι συμβατικές ρυθμίσεις που συνάπτονται με τρίτους παρόχους υπηρεσιών ΤΠΕ σχετικά με τη χρήση υπηρεσιών ΤΠΕ συνεπάγονται υψηλή τεχνική πολυπλοκότητα, η χρηματοοικονομική οντότητα εξακριβώνει αν οι ελεγκτές, είτε πρόκειται για εσωτερικούς ή εξωτερικούς είτε για ομάδα ελεγκτών, διαθέτουν τις κατάλληλες δεξιότητες και γνώσεις για την αποτελεσματική διενέργεια των σχετικών ελέγχων και αξιολογήσεων.
|
|
EULAW
|
Άρθρο 28 7
7. Οι χρηματοοικονομικές οντότητες διασφαλίζουν ότι οι συμβατικές ρυθμίσεις σχετικά με τη χρήση υπηρεσιών ΤΠΕ μπορούν να καταγγέλλονται όταν συντρέχει οποιαδήποτε από τις παρακάτω συνθήκες:
|
α)
|
σημαντική παραβίαση των εφαρμοστέων νομοθετικών, κανονιστικών διατάξεων ή συμβατικών όρων από τον τρίτο πάροχο υπηρεσιών ΤΠΕ,
|
|
β)
|
συνθήκες που προσδιορίζονται καθ’ όλη τη διάρκεια παρακολούθησης των κινδύνων τρίτων παρόχων ΤΠΕ και οι οποίες θεωρούνται ικανές να μεταβάλουν την εκτέλεση των λειτουργιών που παρέχονται μέσω της συμβατικής ρύθμισης, συμπεριλαμβανομένων σημαντικών μεταβολών που επηρεάζουν τη ρύθμιση ή την κατάσταση του τρίτου παρόχου υπηρεσιών ΤΠΕ,
|
|
γ)
|
αποδεδειγμένες αδυναμίες του τρίτου παρόχου υπηρεσιών ΤΠΕ που αφορούν τη συνολική διαχείριση κινδύνου ΤΠΕ από μέρους του και ειδικότερα στον τρόπο με τον οποίο εγγυάται τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα και την εμπιστευτικότητα εμπιστευτικών, προσωπικών ή άλλως ευαίσθητων δεδομένων ή μη προσωπικών δεδομένων,
|
|
δ)
|
όταν η αρμόδια αρχή δεν μπορεί πλέον να εποπτεύει αποτελεσματικά τη χρηματοοικονομική οντότητα συνεπεία των συνθηκών της αντίστοιχης συμβατικής ρύθμισης ή των περιστάσεων που σχετίζονται με αυτήν.
|
|
|
EULAW
|
Άρθρο 28 8
8. Για τις υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, οι χρηματοοικονομικές οντότητες θέτουν σε εφαρμογή στρατηγικές εξόδου. Οι στρατηγικές εξόδου λαμβάνουν υπόψη τους κινδύνους που ενδέχεται να ανακύψουν στο επίπεδο των τρίτων παρόχων υπηρεσιών ΤΠΕ, ιδίως όσον αφορά την πιθανότητα αθέτησης υποχρεώσεων εκ μέρους τους, την υποβάθμιση της ποιότητας των παρεχόμενων υπηρεσιών ΤΠΕ, τυχόν διαταραχή της δραστηριότητας λόγω ακατάλληλης ή μη παροχής υπηρεσιών ΤΠΕ ή οποιονδήποτε σημαντικό κίνδυνο που ανακύπτει σε σχέση με την ενδεδειγμένη και συνεχή ανάπτυξη της αντίστοιχης υπηρεσίας ΤΠΕ ή την καταγγελία συμβατικών ρυθμίσεων με τρίτους παρόχους υπηρεσιών ΤΠΕ υπό οποιαδήποτε από τις περιστάσεις οι οποίες προβλέπονται στην παράγραφο 7.
Οι χρηματοοικονομικές οντότητες διασφαλίζουν ότι είναι σε θέση να αποχωρήσουν από συμβατικές ρυθμίσεις:
|
α)
|
χωρίς διαταραχή των επιχειρηματικών τους δραστηριοτήτων,
|
|
β)
|
χωρίς περιορισμό της συμμόρφωσης με τις κανονιστικές απαιτήσεις,
|
|
γ)
|
χωρίς αυτό να αποβαίνει εις βάρος της συνέχειας και της ποιότητας των υπηρεσιών που παρέχονται σε πελάτες.
|
Τα σχέδια εξόδου είναι πλήρη, τεκμηριωμένα και, σύμφωνα με τα κριτήρια που ορίζονται στο άρθρο 4 παράγραφος 2, υποβάλλονται σε επαρκείς δοκιμές και επανεξετάζονται περιοδικά.
Οι χρηματοοικονομικές οντότητες προσδιορίζουν εναλλακτικές λύσεις και καταρτίζουν μεταβατικά σχέδια που τους παρέχουν τη δυνατότητα να αφαιρέσουν τις συμβατικές υπηρεσίες ΤΠΕ και τα σχετικά δεδομένα από τον τρίτο πάροχο υπηρεσιών ΤΠΕ και να τα μεταφέρουν με ασφαλή και ολοκληρωμένο τρόπο σε εναλλακτικούς παρόχους ή να τα ενσωματώνουν εκ νέου εντός της επιχείρησης.
Οι χρηματοοικονομικές οντότητες θέτουν σε εφαρμογή ενδεδειγμένα μέτρα έκτακτης ανάγκης για τη διατήρηση της επιχειρησιακής συνέχειας, εφόσον συντρέχουν οι συνθήκες που αναφέρονται στο πρώτο εδάφιο.
|
|
EULAW
|
Άρθρο 21 Μέτρα διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας
|
|
EULAW
|
Άρθρο 9 Σύστημα διαχείρισης κινδύνου
|
|
EULAW
|
Άρθρο 3 Διαχείριση κινδύνων ΤΠΕ
Άρθρο 3
Οι χρηματοοικονομικές οντότητες αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν πολιτικές και διαδικασίες διαχείρισης κινδύνων ΤΠΕ που περιλαμβάνουν όλα τα ακόλουθα:
α)
ένδειξη της έγκρισης του επιπέδου ανοχής κινδύνου για τους κινδύνους ΤΠΕ που καθορίζεται σύμφωνα με το άρθρο 6 παράγραφος 8 στοιχείο β) του κανονισμού (ΕΕ) 2022/2554·
β)
διαδικασία και μεθοδολογία για τη διενέργεια της αξιολόγησης κινδύνων ΤΠΕ, με τις οποίες προσδιορίζονται:
i)
ευπάθειες και απειλές που επηρεάζουν ή ενδέχεται να επηρεάσουν τις υποστηριζόμενες επιχειρηματικές λειτουργίες, τα συστήματα ΤΠΕ και τους πόρους ΤΠΕ που υποστηρίζουν τις εν λόγω λειτουργίες·
ii)
οι ποσοτικοί ή ποιοτικοί δείκτες για τη μέτρηση των επιπτώσεων και της πιθανότητας εμφάνισης των ευπαθειών και των απειλών που αναφέρονται στο σημείο i)·
γ)
τη διαδικασία για τον προσδιορισμό, την εφαρμογή και την τεκμηρίωση των μέτρων αντιμετώπισης κινδύνων ΤΠΕ για τους κινδύνους ΤΠΕ που εντοπίζονται και αξιολογούνται, συμπεριλαμβανομένου του προσδιορισμού των μέτρων αντιμετώπισης κινδύνων ΤΠΕ που είναι αναγκαία για να περιέλθουν οι κίνδυνοι ΤΠΕ στο επίπεδο ανοχής κινδύνου που αναφέρεται στο στοιχείο α)·
δ)
όσον αφορά την εναπομένουσα έκθεση σε κινδύνους ΤΠΕ που εξακολουθούν να υφίστανται μετά την εφαρμογή των μέτρων αντιμετώπισης κινδύνων ΤΠΕ που αναφέρονται στο στοιχείο γ):
i)
διατάξεις σχετικά με τον προσδιορισμό της εναπομένουσας έκθεσης στους εν λόγω κινδύνους ΤΠΕ·
ii)
την ανάθεση ρόλων και αρμοδιοτήτων σχετικά με:
1)
την αποδοχή της εναπομένουσας έκθεσης σε κινδύνους ΤΠΕ που υπερβαίνουν το επίπεδο ανοχής κινδύνου της χρηματοοικονομικής οντότητας που αναφέρεται στο στοιχείο α)·
2)
τη διαδικασία επανεξέτασης που αναφέρεται στο σημείο iv) του παρόντος στοιχείου δ)·
iii)
την κατάρτιση καταλόγου της αποδεκτής εναπομένουσας έκθεσης σε κινδύνους ΤΠΕ, συμπεριλαμβανομένης αιτιολόγησης της αποδοχής της·
iv)
διατάξεις σχετικά με την επανεξέταση της αποδεκτής εναπομένουσας έκθεσης σε κινδύνους ΤΠΕ τουλάχιστον μία φορά ετησίως, μεταξύ άλλων για τα εξής:
1)
τον προσδιορισμό τυχόν αλλαγών στην εναπομένουσα έκθεση σε κινδύνους ΤΠΕ·
2)
την αξιολόγηση των διαθέσιμων μέτρων μετριασμού·
3)
την αξιολόγηση του αν οι λόγοι που δικαιολογούν την αποδοχή της εναπομένουσας έκθεσης σε κινδύνους ΤΠΕ εξακολουθούν να υφίστανται και να ισχύουν κατά την ημερομηνία της επανεξέτασης·
ε)
διατάξεις σχετικά με την παρακολούθηση:
i)
τυχόν αλλαγών στο τοπίο των κινδύνων ΤΠΕ και των κυβερνοαπειλών·
ii)
εσωτερικών και εξωτερικών ευπαθειών και απειλών·
iii)
των κινδύνων ΤΠΕ της χρηματοοικονομικής οντότητας που καθιστά δυνατό τον άμεσο εντοπισμό των αλλαγών που θα μπορούσαν να επηρεάσουν το οικείο προφίλ κινδύνου ΤΠΕ·
στ)
διατάξεις σχετικά με τη διαδικασία που διασφαλίζει ότι λαμβάνονται υπόψη τυχόν αλλαγές στην επιχειρηματική στρατηγική και στη στρατηγική ψηφιακής επιχειρησιακής ανθεκτικότητας της χρηματοοικονομικής οντότητας.
Για τους σκοπούς της πρώτης παραγράφου στοιχείο γ), η διαδικασία που αναφέρεται στο εν λόγω στοιχείο διασφαλίζει ότι:
α)
παρακολουθείται η αποτελεσματικότητα των εφαρμοζόμενων μέτρων αντιμετώπισης κινδύνων ΤΠΕ·
β)
αξιολογείται αν έχουν επιτευχθεί τα καθορισμένα επίπεδα ανοχής κινδύνου της χρηματοοικονομικής οντότητας·
γ)
αξιολογείται αν η χρηματοοικονομική οντότητα έχει προβεί σε ενέργειες για τη διόρθωση ή τη βελτίωση των εν λόγω μέτρων, όπου είναι αναγκαίο.
|
|
EULAW
|
Άρθρο 31 Διαχείριση κινδύνων ΤΠΕ
|
|
EULAW
|
Άρθρο 8 Προσδιορισμός
|
|
EULAW
|
Άρθρο 8 Προσδιορισμός
|
|
EULAW
|
Άρθρο 8 2
2. Οι χρηματοοικονομικές οντότητες προσδιορίζουν σε διαρκή βάση όλες τις πηγές κινδύνων ΤΠΕ, ιδίως την έκθεση σε κίνδυνο από και προς άλλες χρηματοοικονομικές οντότητες, και αξιολογούν τις κυβερνοαπειλές και τις ευπάθειες των ΤΠΕ που αφορούν τις οικείες επιχειρηματικές λειτουργίες που υποστηρίζονται από ΤΠΕ, τους πληροφοριακούς πόρους και τους πόρους ΤΠΕ. Οι χρηματοοικονομικές οντότητες επανεξετάζουν τακτικά, και τουλάχιστον σε ετήσια βάση, τα σενάρια κινδύνου που τις επηρεάζουν.
|
Συνδεδεμένα ζητήματα
- Secure Controls Framework -
"The SCF is the Common Controls Framework™ (CCF), the world's most comprehensive cybersecurity and data privacy metaframework - it is also free to use. The entire concept is building secure, compliant and resilient capabilities in the most efficient and cost-effective manner possible.
The SCF is more than just a unified control catalog, since its included content creates a playbook for Governance, Risk & Compliance (GRC) capabilities. Used globally by organizations of every size, the SCF is a robust and scalable solution for security, compliance and resilience controls. As a comprehensive security framework, the SCF maps 1,400+ controls across 200+ laws, regulations, and industry frameworks so you can implement once and comply everywhere.
Like it or not, cybersecurity is a protracted war on an asymmetric battlefield, where the threats are everywhere and as defenders we have to make the effort to work together to help improve cybersecurity and data privacy practices, since we all suffer when massive data breaches occur or when cyber attacks have physical impacts. Hackers share information on attack methods with other hackers, so why shouldn’t the good guys share information on how to best protect an organization? We decided to take action and make a difference, since we feel it is too important to wait for someone else to fix the problems that exist.
The SCF is made up of volunteers, mainly specialists within the cybersecurity profession, who focus on GRC and the cybersecurity side of data privacy. These are auditors, engineers, architects, incident responders, consultants and other specialists who live and breathe these topics on a daily basis. The end product is "expert-derived content" that makes up the SCF." https://securecontrolsframework.com/
Terms & Conditions
The SCF End User License Agreement (EULA) governs the use of the Secure Controls Framework® (SCF) under the Creative Commons Attribution-No Derivatives 4.0 International Public License.
|