55. Pädevad asutused peaksid hindama, kas krediidiasutusel või investeerimisühingul on kasutusel …

Pädevad asutused peaksid hindama, kas krediidiasutusel või investeerimisühingul on kasutusel tõhus raamistik IKT-turvariski tuvastamiseks, mõistmiseks, mõõtmiseks ja maandamiseks. Hindamisel peaksid pädevad asutused eelkõige uurima, kas raamistik hõlmab järgmist:

• a. selgelt määratletud ülesanded ja vastutusalad seoses järgmisega:
• i. isiku(d) ja/või komitee(d), kes vastutavad ja/või on aruandekohustuslikud IKT turvalisuse igapäevahalduse ning üldiste IKT turvalisuse põhimõtete järgimise vallas, pöörates tähelepanu nende sõltumatusele;
• ii. IKT-turvakontrollide kavandamine, rakendamine, haldamine ja järelevalve;
• iii. oluliste IKT-süsteemide ja -teenuste kaitse näiteks haavatavuse hindamise protsessi, tarkvara turvaaukude haldamise, lõpp-punkti kaitse (näiteks pahavara viiruse vastu), sissetungide avastamise ja vältimise vahendite kasutuselevõtu kaudu;
• iv. asutuseväliste ja -siseste IKT turvaintsidentide vältimine, klassifitseerimine ja käsitlemine, sealhulgas intsidentidele reageerimine ning IKT-süsteemide ja -teenuste jätkamine ja taastamine;
• v. regulaarsed ja ennetavad ohuhinnangud asjakohaste turvakontrollide haldamiseks;
• b. IKT turvapõhimõtted, mis võtavad arvesse ja vajaduse korral järgivad rahvusvaheliselt tunnustatud IKT turvastandardeid ja -põhimõtteid (näiteks minimaalõiguste printsiip ehk juurdepääsuõiguse piiramine minimaalsele tasemele, mis võimaldab normaalset toimimist, ja süvakaitse põhimõte ehk süsteemi kui terviku turvalisust suurendavate mitmekordsete turvamehhanismide projekteerimine süsteemi arhitektuuri);
• c. võimalikku pettuseriski ja/või konfidentsiaalsete andmete võimalikku väärkasutust ja/või kuritarvitamist kajastav IKT-süsteemide, -teenuste ja proportsionaalsete turvanõuete tuvastamise protsess koos tuvastatud IKT-süsteemide, -teenuste ja andmete korral kehtivate dokumenteeritud turvatingimustega, mis on kooskõlas krediidiasutuse või investeerimisühingu riskivalmidusega ja mille nõuetekohase rakendamise üle tehakse järelevalvet;
• d. dokumenteeritud turvaintsidentide halduse ja eskalatsiooni protsess, mis annab juhiseid erinevate intsidentide halduse ja eskaleerumisega seotud ülesannete ja vastutusalade kohta, samuti kriisikomitee(de) liikmete ning turvalisusega seotud hädaolukorras rakendatava käsuahela kohta;
• e. kasutus- ja haldustoimingute logimine, mis võimaldab tõhusat järelevalvet ning volitamata tegevuse õigeaegset avastamist ja sellele reageerimist, et aidata ja viia läbi turvaintsidentide kriminaaluurimised. Krediidiasutusel või investeerimisühingul peaksid olema kehtestatud logimispõhimõtted, milles on määratletud sobivad logide liigid ja logide säilitamise aeg;
• f. teadlikkuse tõstmise kampaaniad või algatused, mille käigus tutvustatakse krediidiasutuse või investeerimisühingu kõigile tasanditele IKT-süsteemide ohutut kasutamist ja kaitset ning peamisi IKT turva- vm riske, millest nad peaksid teadlikud olema, eriti olemasolevad ja tekkivad küberohud (näiteks arvutiviirused, võimalikud organisatsioonisisesed või -välised kuritarvitused või ründed, küberründed), ning nende roll turvarikkumiste riski maandamisel;
• g. piisavad füüsilised kaitsemeetmed (nt videovalve, sissetungihäire, turvauksed), et hoida ära volitamata füüsiline juurdepääs olulistele ja tundlikele IKT-süsteemidele (nt andmekeskustele);
• h. meetmed IKT-süsteemide kaitseks rünnete eest, mis tulevad internetist (näiteks küberründed) või teistest välisvõrkudest (näiteks traditsioonilistest telekommunikatsioonivõrkudest või usaldusväärsete partneritega loodud ühendustest). Pädevad asutused peaksid uurima, kas krediidiasutuse või investeerimisühingu raamistik hõlmab järgmist:
• i. täieliku ja ajakohastatud andmeinventuuri haldamise protsess ja lahendused ning kõigi väljapoole suunatud võrguühenduste ülevaade (näiteks veebilehed, internetirakendused, juhtmeta internetiühendus, kaugjuurdepääs), mille kaudu kolmandad isikud võiksid organisatsioonisisestesse IKT-süsteemidesse tungida;
• ii. hoolikalt hallatavad ja jälgitavad turvameetmed (näiteks tulemüürid, puhverserverid, meilivahendusserverid, viirusetõrje ja sisuskannerid), mis kindlustavad sissetulevat ja väljaminevat võrguliiklust (näiteks e-post) ja väljapoole suunatud võrguühendusi, mille kaudu kolmandad isikud võiksid organisatsioonisisestesse IKT-süsteemidesse tungida;
• iii. protsessid ja lahendused, mis turvavad veebilehti ja rakendusi, mida võiks internetist ja/või väljastpoolt otse rünnata ning mis võiksid toimida organisatsioonisisestesse IKT-süsteemidesse sisenemise punktina. Üldiselt hõlmavad sellised protsessid ja lahendused tunnustatud turvasüsteemide arendustavade ning IKT-süsteemi tugevdamise ja haavatavuste skaneerimise tavade ühendamist ja/või täiendavate turvalahenduste, näiteks tulemüüride ja/või sissetungi avastamise ja/või sissetungi ärahoidmise süsteemide rakendamist;
• iv. regulaarne turvasüsteemide toimivuse testimine, et hinnata rakendatavate küberturbe- ja organisatsioonisiseste IKT-turvameetmete ja -protsesside tõhusust. Kõnealuseid teste peaksid tegema vajalike oskustega töötajad ja/või väliseksperdid, testide tulemused ja järeldused tuleks dokumenteerida ning edastada kõrgemale juhtkonnale ja/või juhtorganile. Kui see on vajalik ja asjakohane, peaks krediidiasutus või investeerimisühing saama nende testide abil teada, kas turvakontrolle ja - protsesse tuleks täiustada ja/või kinnitada täiendavalt nende tõhusust.
• (c) Oluliste IKT-muutustega seotud riskide juhtimise kontrollimeetmed

1. Ülevaade

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud standardid

2. Tuvastatud nõuded

3. Seotud standardid

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/