55. Las autoridades competentes evaluarán si la entidad cuenta con un marco eficaz para …

Las autoridades competentes evaluarán si la entidad cuenta con un marco eficaz para identificar, entender, medir y mitigar el riesgo de seguridad de las TIC. En particular, al llevar a cabo esta evaluación, las autoridades competentes tendrán en cuenta si el marco contempla:

• a. funciones y responsabilidades claramente definidas sobre:
• i. la persona, personas o comités responsables de la gestión ordinaria de la seguridad de las TIC y la elaboración de las políticas generales en la materia, prestando atención a su necesaria independencia;
• ii. el diseño, la ejecución, la gestión y el seguimiento de los controles de seguridad de las TIC;
• iii. la protección de los sistemas y servicios de TIC críticos mediante la adopción de, por ejemplo, un proceso de evaluación de vulnerabilidades, la gestión de parches de software , la protección de los puntos finales (por ejemplo, malware ), las herramientas de detección y prevención de intrusiones;
• iv. el seguimiento, la clasificación y el tratamiento de incidentes de seguridad de las TIC externos
• o internos, incluida la respuesta a incidentes y la reanudación y la recuperación de los sistemas y servicios de TIC;
• v. evaluaciones de amenazas regulares y proactivas para mantener los controles de seguridad apropiados;
• b. una política de seguridad de las TIC que tenga en cuenta y, en su caso, cumpla las normas y principios de seguridad de las TIC reconocidos internacionalmente (por ejemplo, para la gestión de los derechos de acceso, el principio del menor privilegio, es decir, limitar el acceso al nivel mínimo que permita el funcionamiento normal; para diseñar una arquitectura de seguridad, el principio de «defensa en profundidad», es decir, mecanismos de seguridad en capas que aumentan la seguridad del sistema en su conjunto);
• c. un proceso para identificar sistemas y servicios de TIC y requisitos de seguridad proporcionados, que contemplen el posible riesgo de fraude o posibles usos fraudulentos o abusos de datos confidenciales, junto con las expectativas de seguridad documentadas que deben respetarse para estos sistemas, servicios y datos identificados. Estos requisitos y expectativas tienen que estar en consonancia con la tolerancia al riesgo de la entidad y ser supervisados para asegurar su correcta aplicación;
• d. un proceso documentado de gestión y escalamiento de incidentes, que describa las diferentes funciones y responsabilidades en la gestión y escalamiento de incidentes, los miembros del comité
• o comités de crisis y la cadena de mando en caso de emergencias de seguridad;
• e. el registro de actividades de usuarios y de actividades administrativas que permita la monitorización eficaz y la detección y respuesta oportunas ante actividades no autorizadas, así como llevar a cabo o ayudar en investigaciones forenses de incidentes de seguridad. La entidad contará con políticas de registro de actividades que definan los tipos de registros apropiados que deben mantenerse y su periodo de conservación;
• f. campañas o iniciativas de concienciación e información para informar a todos los niveles de la entidad sobre el uso seguro y la protección de los sistemas de TIC de la entidad y los principales riesgos de seguridad de las TIC (y otros riesgos) que deben conocer, en particular, sobre las amenazas cibernéticas existentes y cambiantes (por ejemplo, virus informáticos, posibles abusos o ataques internos o externos, ciberataques) y su papel en la mitigación de las violaciones de seguridad;
• g. medidas de seguridad física adecuadas (por ejemplo, circuito cerrado de televisión, alarma antirrobo, puertas de seguridad) para impedir el acceso físico no autorizado a sistemas de TIC sensibles y críticos (por ejemplo, en centros de datos);
• h. medidas para proteger los sistemas de TIC de los ataques de internet (es decir, ciberataques) u otras redes externas (por ejemplo, conexiones tradicionales de telecomunicaciones o conexiones con socios de confianza). Las autoridades competentes examinarán si el marco de la entidad considera:
• i. un proceso y soluciones para mantener una visión y un inventario completos y actualizados de todos los puntos externos de conexión a la red (por ejemplo, sitios web, aplicaciones de internet, WIFI, acceso remoto) a través de los cuales terceras partes podrían acceder sin autorización a los sistemas internos de TIC.
• ii. medidas de seguridad minuciosamente gestionadas y supervisadas (por ejemplo, cortafuegos, servidores proxy , intercambiadores de correo, antivirus y escáneres de contenido) para proteger el tráfico de red entrante y saliente (por ejemplo, correo electrónico) y las conexiones externas a la red a través de las cuales terceras partes podrían acceder sin autorización a los sistemas internos de TIC;
• iii. procesos y soluciones para proteger sitios web y aplicaciones que pueden ser atacados directamente desde internet o desde el exterior, que pueden servir como punto de entrada a los sistemas internos de TIC. En general, estos incluyen una combinación de prácticas de desarrollo seguras reconocidas, securización del sistema de TIC y prácticas de exploración de vulnerabilidades de dicho sistema, o la implementación de soluciones de seguridad adicionales como, por ejemplo, cortafuegos de aplicaciones o sistemas de detección de intrusiones (IDS) o de prevención de intrusiones (IPS);
• iv. pruebas de penetración periódicas para evaluar la eficacia de las medidas y procesos de ciberseguridad y de seguridad tecnológica interna implementados. Estas pruebas las realizarán personal propio o expertos externos con la experiencia necesaria, los resultados de las pruebas se documentarán y las conclusiones se comunicarán a la alta dirección o al órgano de dirección. Cuando sea necesario y aplicable, la entidad utilizará estas pruebas para conocer dónde puede mejorar aún más los controles y procesos de seguridad o para obtener mayor certeza de su efectividad.
• (c) Controles para la gestión de los riesgos materiales de cambio de las TIC

1. Resumen

1.1 Referencias

1.2 Requisitos identificados

1.3 Estándares relacionados

2. Requisitos identificados

3. Estándares relacionados

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/