54. Al llevar a cabo esta evaluación, las autoridades competentes considerarán, en particular, si …

Al llevar a cabo esta evaluación, las autoridades competentes considerarán, en particular, si el marco:

• a. identifica los procesos críticos de las TIC y los sistemas de soporte de TIC pertinentes que deberían formar parte de los planes de resiliencia y continuidad del negocio con:
• i. un análisis exhaustivo de las dependencias entre los procesos de negocio críticos y los sistemas de soporte;
• ii. la determinación de los objetivos de recuperación de los sistemas de soporte de TIC (normalmente son determinados por el negocio o la regulación en términos de RTO y de RPO);
• iii. una planificación de contingencia apropiada que permita la disponibilidad, la continuidad y la recuperación de sistemas y servicios de TIC críticos con el fin de minimizar las interrupciones en las operaciones de una entidad dentro de unos límites aceptables.
• b. tiene políticas y estándares en materia de resiliencia de negocio y del entorno de control de la continuidad, así como controles operacionales que incluyen:
• i. medidas para evitar que un único escenario, incidente o desastre pueda afectar tanto a los sistemas de producción como a los de recuperación de TIC;
• ii. procedimientos de copia de seguridad y recuperación de los sistemas de TIC para software y datos críticos, que garanticen que estas copias de seguridad se almacenan en una ubicación segura y lo suficientemente alejada, de modo que un incidente o un desastre no puedan destruir o corromper estos datos críticos;
• iii. soluciones de monitorización para la detección oportuna de incidentes de disponibilidad o continuidad de las TIC;
• iv. un proceso documentado de gestión y escalamiento de incidentes, que también proporcione orientación sobre las diferentes funciones y responsabilidades en materia de gestión y escalamiento de incidentes, los miembros del comité o comités de crisis y la cadena de mando en caso de emergencia;
• v. medidas físicas para proteger la infraestructura crítica de TIC de la entidad (por ejemplo, centros de datos) de los riesgos ambientales (por ejemplo, inundaciones y otros desastres naturales) así como para garantizar un entorno operativo adecuado para los sistemas de TIC (por ejemplo, aire acondicionado);
• vi. procesos, funciones y responsabilidades para asegurar que también los sistemas y servicios de TIC externalizados estén cubiertos por soluciones y planes adecuados de continuidad y resiliencia del negocio;
• vii. planificación de la capacidad y rendimiento en materia de TIC y soluciones de monitorización de los sistemas y servicios de TIC críticos con requisitos de disponibilidad definidos, a fin de detectar de manera oportuna limitaciones de rendimiento y capacidad importantes;
• viii. soluciones para proteger las actividades o servicios críticos en internet (por ejemplo, servicios de banca electrónica), cuando sea necesario y apropiado, contra la denegación del servicio y otros ciberataques desde internet, dirigidos a impedir o interrumpir el acceso a estas actividades y servicios.
• c. prueba las soluciones de disponibilidad y continuidad de las TIC frente a una serie de escenarios realistas que incluyen ciberataques, pruebas de conmutación y pruebas de copias de seguridad de software y datos críticos que:
• i. se planifican, formalizan y documentan y sus resultados se utilizan para reforzar la eficacia de las soluciones de disponibilidad y continuidad de las TIC;
• ii. implican a las partes interesadas y las funciones dentro de la organización, como la gestión de líneas de negocio, incluidos los equipos de continuidad del negocio, de incidentes y de respuesta a crisis, así como a terceros que sean relevantes para el ecosistema;
• iii. implican de manera adecuada a la alta dirección y al órgano de dirección (por ejemplo, como parte de los equipos de gestión de crisis), que son informados de los resultados de las pruebas.
• (b) Controles para la gestión de los riesgos de seguridad de las TIC materiales

1. Resumen

1.1 Referencias

1.2 Requisitos identificados

1.3 Estándares relacionados

2. Requisitos identificados

3. Estándares relacionados

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/