184. En lo que respecta a los riesgos de TIC y de la seguridad , las autoridades competentes deben …

En lo que respecta a los riesgos de TIC y de la seguridad⁵⁵ , las autoridades competentes deben estar convencidas de que el marco de gestión garantizará el funcionamiento sólido, fiable y seguro de los sistemas de información y comunicación que soportan las actividades de las entidades de crédito, así como la adecuada prevención, supervisión y mitigación de los riesgos de las TIC en momentos normales y de tensión. Las autoridades competentes evaluarán, en particular:

• (a) si el órgano de dirección tiene la responsabilidad general de establecer, aprobar y supervisar la aplicación de la estrategia de TIC de las entidades financieras, que debe estar alineada con la estrategia general de negocio de dichas entidades;
• (b) la definición y atribución claras de las funciones y responsabilidades clave, así como de los canales de información pertinentes, para que el marco de gestión de riesgos en materia de TIC y de seguridad sea eficaz, incluida la asignación de un presupuesto apropiado para apoyar adecuadamente las necesidades operativas de las TIC y la gestión de riesgos en materia de TIC y de seguridad;
• (c) si la gestión y la supervisión de los riesgos de TIC y de seguridad se confían a una función de control independiente y objetiva, debidamente segregada de los procesos operativos de TIC y no responsable de ninguna auditoría interna, y a una función de auditoría interna independiente;
• (d) los mecanismos para garantizar la identificación, el establecimiento y el mantenimiento de relaciones actualizadas entre las funciones de negocio, las responsabilidades y los procesos de apoyo para determinar la importancia de cada uno y sus interdependencias en relación con los riesgos en materia de TIC y de seguridad;
• (e) en la medida en que la información se conserve en sistemas de TIC, si se cumplirán los requisitos de seguridad de la información;
• (f) la escala, la complejidad y la importancia de las dependencias relacionadas con las TIC, si se prevé la externalización de las funciones operativas de los servicios de TIC y de cualquier actividad de los sistemas de TIC —incluido a entidades del grupo— o el uso de terceros en relación con dichas funciones y actividad.

⁵⁵ Tal y como se define en las Directrices de la ABE sobre gestión de riesgos de TIC y de seguridad , se entiende por «Riesgo de TIC y de seguridad»: «Riesgo de pérdida debido a la violación de la confidencialidad, al fallo de la integridad de los sistemas y los datos, a la inadecuación o indisponibilidad de los sistemas y los datos o a la imposibilidad de cambiar las tecnologías de la información (TI) en unos plazos y con unos costes razonables cuando cambian las necesidades del entorno o del negocio (es decir, la agilidad). Este riesgo incluye riesgos de seguridad resultantes de la inadecuación o el fallo de procesos internos o de sucesos externos, incluido el riesgo de ciberataques o el riesgo derivado de una seguridad física inadecuada».

1. Resumen

1.1 Referencias

1.2 Requisitos identificados

1.3 Estándares relacionados

2. Requisitos identificados

3. Estándares relacionados

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/