54. Al llevar a cabo esta evaluación, las autoridades competentes considerarán, en particular, si …

Al llevar a cabo esta evaluación, las autoridades competentes considerarán, en particular, si el marco:

• a. identifica los procesos críticos de las TIC y los sistemas de soporte de TIC pertinentes que deberían formar parte de los planes de resiliencia y continuidad del negocio con:
• i. un análisis exhaustivo de las dependencias entre los procesos de negocio críticos y los sistemas de soporte;
• ii. la determinación de los objetivos de recuperación de los sistemas de soporte de TIC (normalmente son determinados por el negocio o la regulación en términos de RTO y de RPO);
• iii. una planificación de contingencia apropiada que permita la disponibilidad, la continuidad y la recuperación de sistemas y servicios de TIC críticos con el fin de minimizar las interrupciones en las operaciones de una entidad dentro de unos límites aceptables.
• b. tiene políticas y estándares en materia de resiliencia de negocio y del entorno de control de la continuidad, así como controles operacionales que incluyen:
• i. medidas para evitar que un único escenario, incidente o desastre pueda afectar tanto a los sistemas de producción como a los de recuperación de TIC;
• ii. procedimientos de copia de seguridad y recuperación de los sistemas de TIC para software y datos críticos, que garanticen que estas copias de seguridad se almacenan en una ubicación segura y lo suficientemente alejada, de modo que un incidente o un desastre no puedan destruir o corromper estos datos críticos;
• iii. soluciones de monitorización para la detección oportuna de incidentes de disponibilidad o continuidad de las TIC;
• iv. un proceso documentado de gestión y escalamiento de incidentes, que también proporcione orientación sobre las diferentes funciones y responsabilidades en materia de gestión y escalamiento de incidentes, los miembros del comité o comités de crisis y la cadena de mando en caso de emergencia;
• v. medidas físicas para proteger la infraestructura crítica de TIC de la entidad (por ejemplo, centros de datos) de los riesgos ambientales (por ejemplo, inundaciones y otros desastres naturales) así como para garantizar un entorno operativo adecuado para los sistemas de TIC (por ejemplo, aire acondicionado);
• vi. procesos, funciones y responsabilidades para asegurar que también los sistemas y servicios de TIC externalizados estén cubiertos por soluciones y planes adecuados de continuidad y resiliencia del negocio;
• vii. planificación de la capacidad y rendimiento en materia de TIC y soluciones de monitorización de los sistemas y servicios de TIC críticos con requisitos de disponibilidad definidos, a fin de detectar de manera oportuna limitaciones de rendimiento y capacidad importantes;
• viii. soluciones para proteger las actividades o servicios críticos en internet (por ejemplo, servicios de banca electrónica), cuando sea necesario y apropiado, contra la denegación del servicio y otros ciberataques desde internet, dirigidos a impedir o interrumpir el acceso a estas actividades y servicios.
• c. prueba las soluciones de disponibilidad y continuidad de las TIC frente a una serie de escenarios realistas que incluyen ciberataques, pruebas de conmutación y pruebas de copias de seguridad de software y datos críticos que:
• i. se planifican, formalizan y documentan y sus resultados se utilizan para reforzar la eficacia de las soluciones de disponibilidad y continuidad de las TIC;
• ii. implican a las partes interesadas y las funciones dentro de la organización, como la gestión de líneas de negocio, incluidos los equipos de continuidad del negocio, de incidentes y de respuesta a crisis, así como a terceros que sean relevantes para el ecosistema;
• iii. implican de manera adecuada a la alta dirección y al órgano de dirección (por ejemplo, como parte de los equipos de gestión de crisis), que son informados de los resultados de las pruebas.
• (b) Controles para la gestión de los riesgos de seguridad de las TIC materiales

1. Resumen

1.1 Referencias

1.2 Requisitos identificados

1.3 Estándares relacionados

2. Requisitos identificados

3. Estándares relacionados

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.