54. Tässä arvioinnissa toimivaltaisten viranomaisten tulisi ottaa huomioon toimintamallista …

Tässä arvioinnissa toimivaltaisten viranomaisten tulisi ottaa huomioon toimintamallista erityisesti seuraavat seikat:

• a. Siinä tunnistetaan kriittiset ICT-prosessit ja niitä tukevat järjestelmät, joiden tulisi olla osa liiketoiminnan jatkuvuutta koskevia suunnitelmia, ja siihen sisältyy
• i. kattava analyysi kriittisten liiketoimintaprosessien ja tukijärjestelmien riippuvuussuhteista;
• ii. kriittisiä prosesseja tukevien tietojärjestelmien palautumistavoitteet (määritys suoritetaan tavallisesti liiketoiminnassa ja/tai määräyksissä palautusaikatavoitteen ja palautuspistetavoitteen avulla);
• iii. asianmukainen jatkuvuussuunnitelma, joka mahdollistaa kriittisten ICT-järjestelmien ja - palvelujen saatavuuden, jatkuvuuden ja palautumisen, jotta yhtiön toiminnoille aiheutuisi mahdollisimman vähän häiriöitä siedettävän ajan kuluessa.
• b. Siinä on liiketoiminnan häiriönsietokykyä ja jatkuvuuden hallintaympäristöä koskevat toimintaperiaatteet ja vaatimukset sekä kontrollit, joihin sisältyy
• i. toimenpiteitä, joilla estetään yksittäisen skenaarion tai häiriö- tai poikkeustilanteen mahdollinen vaikutus sekä ICT:n tuotanto- että varajärjestelmiin;
• ii. ICT-järjestelmien varmistus- ja palautusmenettelyt, jotka koskevat kriittisiä ohjelmistoja ja tietoja ja joilla varmistetaan, että varmuuskopiot tallennetaan turvalliseen ja riittävän etäiseen paikkaan, jotta tärkeät tiedot eivät voi tuhoutua tai korruptoitua häiriö- tai hätätilanteessa;
• iii. valvontaratkaisuja, joiden avulla ICT:n saatavuutta tai jatkuvuutta koskevat häiriöt voidaan havaita nopeasti;
• iv. häiriötilanteiden hallintaa ja eskaloitumista koskeva dokumentoitu prosessi, joka tarjoaa myös ohjeita häiriöitilanteiden hallintaa ja eskaloitumista koskevista eri tehtävistä ja vastuista, kriisitoimikunnan ( - toimikuntien) jäsenistä ja johtamisjärjestelyistä hätätilanteissa;
• v. konkreettisia toimenpiteitä, joilla sekä suojataan yhtiön kriittinen ICT-infrastruktuuri (esim. datakeskukset) ympäristöriskeiltä (esim. tulvilta ja muilta luonnonkatastrofeilta) että varmistetaan ICT-järjestelmille asianmukainen käyttöympäristö (esim. ilmastointi);
• vi. prosesseja, tehtäviä ja vastuita, joilla varmistetaan, että myös ulkoistetut ICT-järjestelmät ja -palvelut kuuluvat liiketoiminnan häiriönsietokykyä ja jatkuvuutta koskevien asianmukaisten ratkaisujen ja suunnitelmien piiriin;
• vii. ICT:n suorituskyvyn ja kapasiteetin suunnittelu- ja valvontaratkaisuja, jotka koskevat kriittisiä ICT-järjestelmiä ja -palveluja ja joissa on määritelty saatavuusvaatimuksia, jotta merkittävät suorituskyky- ja kapasiteettirajoitteet voidaan havaita nopeasti;
• viii. ratkaisuja, joilla kriittiset internettoiminnot tai -palvelut (esim. sähköiset pankkipalvelut) suojataan tarvittaessa internetissä tapahtuvilta palvelunestohyökkäyksiltä ja muilta kyberhyökkäyksiltä, joiden tavoitteena on estää tällaisten toimintojen ja -palvelujen käyttö tai häiritä sitä.
• c. Siinä testataan ICT:n saatavuuden ja jatkuvuuden turvaavia ratkaisuja realistisilla skenaarioilla, kuten kyberhyökkäyksillä, varajärjestelyihin siirtymistä koskevilla testeillä ja kriittisten ohjelmistojen ja tietojen varmuuskopioiden testauksilla,
• i. jotka ovat suunniteltuja, muodollisia ja dokumentoituja ja joissa testituloksia käytetään ICT:n saatavuutta ja jatkuvuutta koskevien ratkaisujen tehostamiseksi;
• ii. joihin sisältyy organisaation sidosryhmiä ja toimintoja, kuten liiketoiminta-alueiden johtoryhmiä sekä liiketoiminnan jatkuvuudesta, häiriötilanteista ja kriisitoiminnasta vastaavia ryhmiä sekä yhtiön ulkopuolisia sidosryhmiä, jotka kuuluvat ekosysteemiin;
• iii. joihin ylin hallintoelin ja toimiva johto osallistuvat asiaankuuluvasti (esim. osana kriisinhallintaryhmää) ja joiden tulokset ilmoitetaan näille.
• (b) Merkittävien ICT turvallisuusriskien kontrollit

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

3. Liittyvät standardit

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.