54. Hindamisel peaksid pädevad asutused eelkõige arvestama järgmist: a. kas raamistikus on …

Hindamisel peaksid pädevad asutused eelkõige arvestama järgmist:

• a. kas raamistikus on määratletud olulised IKT-protsessid ja asjakohased IKT-tugisüsteemid, mis peaksid olema osa vastupidavuse ja talitluspidevuse kavadest, mis sisaldavad järgmist:
• i. oluliste äriprotsesside ja tugisüsteemide sõltuvusseoste põhjalik analüüs;
• ii. IKT-tugisüsteemide taaste-eesmärkide kindlaksmääramine (mis tavaliselt määratakse kindlaks ettevõtte poolt ja/või eeskirjade alusel taaste sihtkestuse (RTO) või taaste sihtseisu (RPO) eesmärgina);
• iii. asjakohane hädaolukorrakava, mis võimaldab oluliste IKT-süsteemide ja teenuste käideldavust, talitluspidevust ja taastamist, et vähendada lubatud piirides krediidiasutuse või investeerimisühingu toimimise häireid;
• b. kas raamistikku kuuluvad vastupidavuse ja talitluspidevuse kontrollikeskkonna põhimõtted ja standardid ning tegevuskontrollid, mis hõlmavad järgmist:
• i. meetmed, mis aitavad vältida seda, et üksik stsenaarium, intsident või avarii mõjutaks korraga nii IKT tootmis- kui ka taastamise süsteeme;
• ii. IKT-süsteemi varundamis- ja taasteprotseduurid olulise tarkvara ja andmete jaoks, mis tagavad, et varukoopiad salvestatakse turvalises ja piisavalt kauges asukohas, nii et ükski intsident ega avarii ei saaks neid olulisi andmeid hävitada ega rikkuda;
• iii. seirelahendused IKT käideldavuse ja talitluspidevusega seotud intsidentide õigeaegseks avastamiseks;
• iv. intsidentide dokumenteeritud halduse ja eskalatsiooniprotsess, mis annab juhiseid ka erinevate intsidentide halduse ja eskaleerumisega seotud ülesannete ja vastutusalade kohta, samuti kriisikomitee(de) liikmete ning hädaolukorras rakendatava käsuahela kohta;
• v. füüsilised meetmed nii krediidiasutuse või investeerimisühingu olulise IKT-taristu (näiteks andmekeskuste) kaitseks keskkonnariskide (näiteks üleujutuste ja teiste loodusõnnetuste) eest kui ka IKT-süsteemide jaoks sobiva töökeskkonna tagamiseks (näiteks kliimaseade);
• vi. protsessid, ülesanded ja vastutusalad, mis tagavad, et ka tellitud IKT-süsteemid ja -teenused on piisavate vastupidavuse ja talitluspidevuse lahenduste ja kavadega kaetud;
• vii. oluliste IKT-süsteemide ja -teenuste jaoks IKT toimivuse ja võimsuse kavandamise ja seire lahendused, millel on kindlaks määratletud käideldavusnõuded, et avastada õigeaegselt olulised toimivuse ja võimsuse piirangud;
• viii. kui vajalik ja asjakohane, lahendused oluliste internetitegevuste või -teenuste (näiteks elektroonilise panganduse) kaitseks teenusetõkestamise ründe ning teiste küberrünnete vastu internetist, mille eesmärk on vältida või häirida kõnealuste tegevuste ja teenuste käideldavust;
• c. kas raamistik testib IKT käideldavuse ja talitluspidevuse lahendusi mitmesuguste realistlike stsenaariumide korral, sealhulgas küberründed, tõrkesiirde testid ning kriitilise tähtsusega tarkvara ja andmete varukoopiate testid,
• i. mis on kavandatud, sõnastatud ja dokumenteeritud ning mille tulemusi kasutatakse IKT käideldavuse ja talitluspidevuse lahenduste tõhususe parandamiseks;
• ii. mis hõlmavad organisatsioonisiseseid sidusrühmi ja funktsioone, näiteks tegevussuundade juhte, sealhulgas talitluspidevuse, intsidentidele ja kriisidele reageerimise meeskondi ja asjaomaseid organisatsiooniväliseid sidusrühmi, ning
• iii. millesse kaasatakse asjakohaselt juhtorgan ja kõrgem juhtkond (näiteks kriisihaldusmeeskondade liikmetena), keda teavitatakse ka testide tulemustest.
• (b) Oluliste IKT-turvariskide juhtimise kontrollimeetmed

1. Ülevaade

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud standardid

2. Tuvastatud nõuded

3. Seotud standardid

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/