| IKT-riskide IKT-riskid kategooriad (mitteammendav loetelu)10 IKT Ebapiisav käideldavuse ja suutlikkuse talitluspidevuse haldus ga seotud riskid | Riski kirjeldus Ressursside puudumine võib põhjustada võimetuse suurendada teenuse pakkumist tegevusvajaduste rahuldamiseks, süsteemi häireid, teenuse halvenemist ja/või vigu toimingutes. | Näited • • | Võimsuse puudujääk võib mõjutada andmete edastuskiirust ja võrgu (interneti) kasutatavust teenuste, näiteks internetipanganduses. (Enda või kolmanda isiku) töötajate puudus võib põhjustada süsteemi häireid ja/või vigu toimingutes. |
| IKT-süsteemi tõrked | Käideldavuse vähenemine riistvara tõrgete tõttu. Käideldavuse vähenemine tarkvara tõrgete või vigade tõttu. | • • • | Salvestus- (kõvakettad), serveri- või muude IKT-seadmete tõrge/rike, mille põhjustab näiteks puudulik hooldus. Lõpmatu silmus rakendustarkvaras ei võimalda tehingut teostada. Kaasaegsetele käideldavuse ja vastupidavuse nõuetele enam mittevastavate ja/või pakkujapoolse toeta vananenud IKT-süsteemide ja -lahenduste jätkuvast kasutusest tulenevad katkestused. |
| IKT talitluspidevuse ja avariitaaste ebapiisav kavandamine Häirivad ja hävitavad küberründed | IKT kavandatud käideldavuse ja/või talitluspidevuse lahenduste ja/või avariitaaste meetme (näiteks varuvariandi taastamise andmekeskuse) tõrge intsidentide korral aktiveerimisel. Mitmesugustel eesmärkidel (näiteks häkkimine või väljapressimine) tehtavad ründed, mis võivad põhjustada süsteemide ja võrgu ülekoormuse ning | • • | Seadistuse erinevused esmase ja teisese andmekeskuse vahel võivad põhjustada varu-andmekeskuse võimetuse tagada teenuse kavandatud talitluspidevus. Hajusaid teenusetõkestusründeid tehakse suure hulga häkkeri kontrollitavate arvutisüsteemide abil |
| IKT-riskide IKT-riskid kategooriad (mitteammendav loetelu)10 | Riski kirjeldus muuta arvutiteenustele juurdepääsu seaduslike kasutajate jaoks võimatuks. | Näited | internetis, saates internetiteenustele (näiteks elektroonilistele pangateenustele) suurel arvul näiliselt õiguspäraseid teenusetaotluseid. |
| IKT-turvariskid Küberründed ja teised organisatsiooniväl ised IKT-põhised ründed | Internetist või välisvõrkudest eri eesmärkidel (näiteks pettus, spionaaž, häkkerlus/sabotaaž, küberterrorism) ning mitmesuguste meetoditega (näiteks sotsiaalne manipulatsioon, sissetungikatsed haavatavuste ärakasutamise teel, pahavara kasutamine) tehtavad rünnakud, mille tagajärjel saadakse kontroll IKT-sisesüsteemide üle. Ebaseaduslike maksetehingute tegemine häkkerite poolt, murdes läbi või hiilides mööda elektrooniliste panga- ja makseteenuste turvameetmetest ja/või rünnates ja kasutades ära krediidiasutuse või investeerimisühingu sisese maksesüsteemi turvalünki. Petturlike väärtpaberitehingute tegemine häkkerite poolt, murdes läbi või hiilides mööda elektrooniliste pangateenuste turvameetmetest, mis võimaldavad juurdepääsu ka klientide väärtpaberikontodele. Kõikvõimalike IKT-süsteemide sideühenduste ja suhtluse ründamine, et koguda teavet ja/või sooritada pettust. | Erinevad • • • • • • • • | ründe liigid: kinnisründeoht – sisesüsteemide üle kontrolli saamiseks ja teabe varastamiseks (näiteks identiteedi-, krediitkaarditeabe varastamiseks); pahavara (näiteks lunaraha nõudev tarkvara), mis krüpteerib andmeid väljapressimise eesmärgil; organisatsioonisiseste IKT-süsteemide nakatamine Trooja hobustega, et teha varjatult pahatahtlikke süsteemitoiminguid; IKT-süsteemide ja/või (veebi)rakenduste haavatavuse ärakasutamine (näiteks SQL-süst), et saada juurdepääs organisatsioonisisesele IKT-süsteemile. Ründed elektrooniliste panga- ja makseteenuste vastu, et teha volitamata tehinguid. Petturlike maksetehingute loomine ja väljasaatmine krediidiasutuse või investeerimisühingu sisemaksesüsteemides (näiteks petturlikud SWIFT-sõnumid). „Pump and dump“ ründed, millega häkkerid saavad juurdepääsu klientide elektroonilistele väärtpaberikontodele ja esitavad petturlikke ostu- või müügitellimusi, et mõjutada turuhinda ja/või teenida kasumit varem võetud väärtpaberipositsioonidelt. Kaitsmata lihtteksti kujul autentimisandmete edastuse pealtkuulamine/kinnipüüdmine. |
| IKT-riskide IKT-riskid kategooriad (mitteammendav loetelu)10 Ebapiisav organisatsioonisis ene IKT turvalisus | Riski kirjeldus Krediidiasutuselt või investeerimisühingult volitamata juurdepääsu saamine olulistele IKT-süsteemidele mitmesugustel eesmärkidel (näiteks pettus, petturlike kauplemistehingute teostamine ja varjamine, andmevargus, aktivism/sabotaaž) ja eri meetoditega (näiteks privileegide kuritarvitamine ja/või eskaleerumine, identiteedivargus, sotsiaalne manipulatsioon, IKT-süsteemide haavatavuste ärakasutamine, pahavara kasutamine). Volitamata IKT manipulatsioonid, mis tulenevad ebasobivatest IKT juurdepääsu halduse menetlustest ja tavadest. Turvariskid, mis tulenevad turbeteadlikkuse vähesusest, kui töötajad ei saa IKT turvapõhimõtetest ja - menetlustest aru, ei arvesta või ei järgi neid. Konfidentsiaalse teabe volitamata talletamine või edastamine väljaspool krediidiasutust või | Näited • • • • • • • • • | Klahvilogerite paigaldamine eesmärgiga varastada kasutajate kasutajatunnuseid ja salasõnu, et saada volitamata juurdepääsu konfidentsiaalsetele andmetele ja/või sooritada pettust. Nõrkade salasõnade murdmine/äraarvamine, et saada ebaseaduslikke või kõrgemaid juurdepääsuõiguseid. Süsteemihaldur kasutab operatsioonisüsteeme või (andmebaasi vahetuks muutmiseks ettenähtud) andmebaasivahendeid pettuse sooritamiseks. Võimetus blokeerida või kustutada mittevajalikke kontosid, näiteks kui töötaja funktsioon on muutunud ja/või ta on krediidiasutusest või investeerimisühingust lahkunud, sh külalised või tarnijad, kes enam juurdepääsu ei vaja, mistõttu saadakse volitamata juurdepääs IKT-süsteemidele. Ülemääraste juurdepääsuõiguste ja -privileegide andmine, mis võimaldab volitamata juurdepääsu ja/või petturlike tegevuste varjamist. Töötajad, kes meelitatakse rünnet abistama (näiteks sotsiaalse manipulatsiooniga). Pääsumandaatidega seotud tavade nõrkus: salasõnade jagamine, kergesti äraarvatavate salasõnade kasutamine, sama salasõna kasutamine eri otstarvetel jne. Krüpteerimata konfidentsiaalsete andmete hoidmine sülearvutites või kaasaskantavatel andmekandjatel (näiteks USB-võtmetel), mis võivad kaduma minna või mida võidakse varastada. Isikud varastavad või lekitavad või viivad konfidentsiaalset teavet tahtlikult välja volitamata |
| IKT-riskide IKT-riskid kategooriad (mitteammendav loetelu)10 | Riski kirjeldus investeerimisühingut. | Näited | isikutele või avalikkusele. |
| Ebapiisav füüsiline IKT turvalisus | IKT-varade väärkasutus või vargus füüsilise juurdepääsu teel, põhjustades kahju, varade või andmete kaotust või muutes võimalikuks muud ohud. IKT-varadele tahtlik või tahtmatu kahju tekitamine, mida põhjustavad terrorism, õnnetused või krediidiasutuse või investeerimisühingu töötajate ja/või kolmandate isikute (tarnijate, parandajate) soovimatud või ekslikud manipulatsioonid. Ebapiisav füüsiline kaitse loodusõnnetuste vastu, mis põhjustab IKT-süsteemide / -andmekeskuste osalise või täieliku hävimise loodusõnnetuse korral. | • • • • | Füüsiline sissetung büroohoonetesse ja/või andmekeskustesse eesmärgiga varastada IKT-seadmeid (näiteks laua- või sülearvuteid või salvestusseadmeid) ja/või kopeerida andmeid IKT-süsteemidele füüsiliselt ligi pääsedes. Füüsiline terrorism (näiteks terroristide pommid) või IKT-varade saboteerimine. Tulekahjust, veelekkest või muudest teguritest põhjustatud andmekeskuse hävimine. Maavärinad, äärmuslik kuumus, tuuletormid, tugevad lumetormid, üleujutused, tulekahjud, äike. |
| IKT-muutustega Ebapiisav kontroll seotud riskid IKT-süsteemi muutuste ja IKT-arenduse üle | Avastamata vigadest või haavatavustest põhjustatud intsidendid (näiteks muutuse ettenägematu mõju või muutuse puudulik haldamine testide puudumise tõttu või ebaõiged muutuste haldamise tavad) tarkvaras, IKT-süsteemides ja andmetes. | • • • • • | Ebapiisavalt testitud tarkvara või seadistuse muutuste kasutuselevõtt, mis avaldab ettenägematut kahjulikku mõju andmetele (näiteks rikkumine, kustutamine) ja/või IKT-süsteemi toimivusele (näiteks süsteemi kokkukukkumine või toimivuse halvenemine). IKT-süsteemide või andmete kontrollimatud muutused tootmiskeskkonnas. Halvasti turvatud IKT-süsteemide ja internetirakenduste kasutuselevõtt, luues häkkeritele võimalusi rünnata pakutavaid internetiteenuseid ja/või murda sisse organisatsioonisisestesse IKT-süsteemidesse. Organisatsioonisiseselt arendatava tarkvara lähtekoodi kontrollimatu muutmine. Ebapiisav testimine, mis tuleneb piisava testimiskeskkonna puudumisest. |
| IKT-riskide IKT-riskid kategooriad (mitteammendav loetelu)10 Ebapiisav IKT-arhitektuur | Riski kirjeldus IKT-arhitektuuri puudulik haldus IKT-süsteemide (näiteks tarkvara, riistvara, andmete) projekteerimisel, loomisel ja haldamisel võib anda aja jooksul komplekssed, keerulised, suurte halduskuludega ja jäigad IKT-süsteemid, mis ei ole enam ärivajadustega piisavalt kooskõlas ja ei täida tegelikke riskijuhtimise vajadusi. | Näited • • | Aja jooksul halvasti juhitud muudatused IKT-süsteemides, tarkvaras ja/või andmetes, mille tulemuseks on komplekssed, heterogeensed ja raskesti hallatavad IKT-süsteemid ja -arhitektuurid, mis avaldab mitmesugust kahjulikku mõju äritegevusele ja riskijuhtimisele (näiteks paindlikkuse ja reageerimisvõime puudumine, IKT-intsidendid ja -tõrked, suured käitamiskulud, nõrgenenud IKT turvalisus ja vastupidavus, vähenenud andmete kvaliteet ja aruandlusvõimekus). Kommertstarkvarapakettide ülemäärane kohandamine ja laiendamine organisatsioonisiseselt arendatava tarkvaraga, mis põhjustab võimetuse juurutada kommertstarkvara tulevasi väljalaskeid ja täiustusi ning riski jääda tootja toeta. |
| Ebasobiv elutsükli ja paikade haldus | Võimetus hallata kõigi IKT-varade ülevaadet, mis toetaks usaldusväärseid elutsükli ja paikade haldustavasid ja oleks nendega ühendatud. Selle tulemuseks on ebapiisavalt paigatud (ja seetõttu haavatavamad) ning vananenud IKT-süsteemid, mis ei pruugi toetada äritegevus- ja riskijuhtimisvajadusi. | • | Paikamata ja vananenud IKT-süsteemid võivad avaldada negatiivset mõju äritegevusele ja riskijuhtimisele (näiteks paindlikkuse ja reageerimisvõime puudumine, IKT katkestused, nõrgenenud IKT turvalisus ja vastupidavus). |
| IKT Vigane IKT-andmeterviklus andmete töötlus e riskid või käitlus | Süsteemi, side ja/või rakenduse vigade või tõrgete või valesti teostatud andmete väljavõtte, edastamise või laadimise protsessi tõttu võivad andmed saada rikutud või minna kaduma. | • • • | IT-süsteemi viga pakktöötlusel, mis põhjustab kliendi pangakontol ebaõigeid seise. Valesti teostatud päringud. Andmete dubleerimise (varundamise) veast tulenev andmekadu. |
| Valesti projekteeritud andmete valideerimiskontr | Vead, mis tulenevad puuduvatest või ebatõhusatest andmesisestuse ja vastuvõtu automaatkontrollidest (näiteks kasutatud kolmandate isikute andmete korral) või andmete edastuse, töötluse või väljastamise | • • | Sisendandmete ebapiisav või mittekehtiv vormindamine/valideerimine rakendustes ja/või kasutajaliidestes. Andmete kooskõlastuse kontrollide või nende |
| IKT-riskide IKT-riskid kategooriad (mitteammendav loetelu)10 oll IKT-süsteemides. | Riski kirjeldus kontrollidest IKT-süsteemides (näiteks sisendandmete valideerimiskontrollid ja andmete kooskõlastamine). | Näited • • | väljundite puudumine. Andmete väljavõtuprotsesside (näiteks andmebaasipäringute) kontrollide puudumine, mis põhjustab vigaseid andmeid. Vigaste välisandmete kasutamine. |
| Valesti kontrollitud andmete muutused IKT-tootmissüsteemid es Valesti projekteeritud ja/või hallatud andmearhitektuur, andmevood, andmemudelid või andmesõnastikud IKTga seotud Kolmanda isiku või tegevuse kontserni teise edasiandmise üksuse teenuste riskid ebapiisav vastupidavus Tegevuse edasiandmise halduse ebapiisavus | Andmevead, mis tulenevad IKT-süsteemide kasutamisel tehtud andmemanipulatsioonide nõuetekohasuse ja põhjendatuse kontrollide puudumisest. Valesti hallatud andmearhitektuurid, andmemudelid, andmevood või andmesõnastikud võivad põhjustada samade andmete erinevaid versioone IKT-süsteemides, mis ei ole erinevalt rakendatavate andmemudelite või andmemääratluste ja/või andmete loomise ja muutmise alusprotsesside erinevuste tõttu enam omavahel sidusad. Oluliste IKT-teenuste, telekommunikatsiooniteenuste ja kommunaalteenuste kättesaamatus. Teenusepakkujale usaldatud oluliste/tundlike andmete kadumine või rikkumine. Teenuse oluline halvenemine või häiritus tulenevalt tellitud teenuse pakkuja ebapiisavast valmisolekust või kontrolliprotsessist. Tegevuse edasiandmise ebapiisav haldus võib põhjustada puudujääke oskustes ja võimekuses tuvastada, hinnata, maandada ja jälgida täielikult IKT-riske ning piirata krediidiasutuse või investeerimisühingu tegevussuutlikkust. | • • • • • • • | Arendajad või andmebaasihaldurid hindavad ja muudavad IKT-tootmissüsteemides andmeid vahetult ja mittekontrollitavalt, näiteks IKT-intsidendi korral. Toote- või kliendiüksuste erinevad kliendiandmebaasid, kus on erinevad andmemääratlused ja -väljad ja millest tulenevad kooskõlastamatud ning krediidiasutuse või investeerimisühingu tasandil raskesti võrreldavad ja integreeritavad kliendiandmed. Põhiteenuste kättesaamatus tulenevalt tarnijate (edasiantud) IKT-süsteemide või -rakenduste riketest. Telekommunikatsiooniühenduste häired. Elektritoite puudus. Teenusepakkumise lepingus hõlmatud intsidentide menetlemise korra, lepinguliste kontrollimehhanismide ning tagatiste puudulikkus, mis suurendab võtmeisikute sõltuvust kolmandatest isikutest ja teenusepakkujatest. Ebasobivad muutuste haldamise kontrollid teenusepakkuja IKT-keskkonnas võivad põhjustada teenuse olulise halvenemise või tõrke. |
| IKT-riskide IKT-riskid kategooriad (mitteammendav loetelu)10 Kolmanda isiku või kontserni teise üksuse ebapiisav turvalisus | Riski kirjeldus Kolmandast isikust teenusepakkujate IKT-süsteemide häkkimine, mis mõjutab otseselt tellitud teenuseid või teenusepakkuja juures hoitavaid olulisi ja tundlikke andmeid. Teenusepakkuja töötajad saavad volitamata juurdepääsu teenusepakkuja juures hoitavatele olulistele ja tundlikele andmetele. | Näited • • | Teenusepakkujate häkkimine kurjategijate või terroristide sisenemispunktina krediidiasutuse või investeerimisühingu IKT-süsteemidesse või selleks, et pääseda ligi teenusepakkuja juures hoitavatele olulistele ja tundlikele andmetele või neid hävitada. Teenusepakkuja siseringi pahatahtlikud liikmed püüavad varastada ja müüa tundlikke andmeid. |