54. Hindamisel peaksid pädevad asutused eelkõige arvestama järgmist: a. kas raamistikus on …

Hindamisel peaksid pädevad asutused eelkõige arvestama järgmist:

• a. kas raamistikus on määratletud olulised IKT-protsessid ja asjakohased IKT-tugisüsteemid, mis peaksid olema osa vastupidavuse ja talitluspidevuse kavadest, mis sisaldavad järgmist:
• i. oluliste äriprotsesside ja tugisüsteemide sõltuvusseoste põhjalik analüüs;
• ii. IKT-tugisüsteemide taaste-eesmärkide kindlaksmääramine (mis tavaliselt määratakse kindlaks ettevõtte poolt ja/või eeskirjade alusel taaste sihtkestuse (RTO) või taaste sihtseisu (RPO) eesmärgina);
• iii. asjakohane hädaolukorrakava, mis võimaldab oluliste IKT-süsteemide ja teenuste käideldavust, talitluspidevust ja taastamist, et vähendada lubatud piirides krediidiasutuse või investeerimisühingu toimimise häireid;
• b. kas raamistikku kuuluvad vastupidavuse ja talitluspidevuse kontrollikeskkonna põhimõtted ja standardid ning tegevuskontrollid, mis hõlmavad järgmist:
• i. meetmed, mis aitavad vältida seda, et üksik stsenaarium, intsident või avarii mõjutaks korraga nii IKT tootmis- kui ka taastamise süsteeme;
• ii. IKT-süsteemi varundamis- ja taasteprotseduurid olulise tarkvara ja andmete jaoks, mis tagavad, et varukoopiad salvestatakse turvalises ja piisavalt kauges asukohas, nii et ükski intsident ega avarii ei saaks neid olulisi andmeid hävitada ega rikkuda;
• iii. seirelahendused IKT käideldavuse ja talitluspidevusega seotud intsidentide õigeaegseks avastamiseks;
• iv. intsidentide dokumenteeritud halduse ja eskalatsiooniprotsess, mis annab juhiseid ka erinevate intsidentide halduse ja eskaleerumisega seotud ülesannete ja vastutusalade kohta, samuti kriisikomitee(de) liikmete ning hädaolukorras rakendatava käsuahela kohta;
• v. füüsilised meetmed nii krediidiasutuse või investeerimisühingu olulise IKT-taristu (näiteks andmekeskuste) kaitseks keskkonnariskide (näiteks üleujutuste ja teiste loodusõnnetuste) eest kui ka IKT-süsteemide jaoks sobiva töökeskkonna tagamiseks (näiteks kliimaseade);
• vi. protsessid, ülesanded ja vastutusalad, mis tagavad, et ka tellitud IKT-süsteemid ja -teenused on piisavate vastupidavuse ja talitluspidevuse lahenduste ja kavadega kaetud;
• vii. oluliste IKT-süsteemide ja -teenuste jaoks IKT toimivuse ja võimsuse kavandamise ja seire lahendused, millel on kindlaks määratletud käideldavusnõuded, et avastada õigeaegselt olulised toimivuse ja võimsuse piirangud;
• viii. kui vajalik ja asjakohane, lahendused oluliste internetitegevuste või -teenuste (näiteks elektroonilise panganduse) kaitseks teenusetõkestamise ründe ning teiste küberrünnete vastu internetist, mille eesmärk on vältida või häirida kõnealuste tegevuste ja teenuste käideldavust;
• c. kas raamistik testib IKT käideldavuse ja talitluspidevuse lahendusi mitmesuguste realistlike stsenaariumide korral, sealhulgas küberründed, tõrkesiirde testid ning kriitilise tähtsusega tarkvara ja andmete varukoopiate testid,
• i. mis on kavandatud, sõnastatud ja dokumenteeritud ning mille tulemusi kasutatakse IKT käideldavuse ja talitluspidevuse lahenduste tõhususe parandamiseks;
• ii. mis hõlmavad organisatsioonisiseseid sidusrühmi ja funktsioone, näiteks tegevussuundade juhte, sealhulgas talitluspidevuse, intsidentidele ja kriisidele reageerimise meeskondi ja asjaomaseid organisatsiooniväliseid sidusrühmi, ning
• iii. millesse kaasatakse asjakohaselt juhtorgan ja kõrgem juhtkond (näiteks kriisihaldusmeeskondade liikmetena), keda teavitatakse ka testide tulemustest.
• (b) Oluliste IKT-turvariskide juhtimise kontrollimeetmed

1. Ülevaade

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud standardid

2. Tuvastatud nõuded

3. Seotud standardid

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.