57. Toimivaltaisten viranomaisten tulisi arvioida, onko laitoksella käytössään ICT-tiedon …

Toimivaltaisten viranomaisten tulisi arvioida, onko laitoksella käytössään ICT-tiedon eheysriskin tunnistamiseksi, ymmärtämiseksi, mittaamiseksi ja vähentämiseksi tehokas toimintamalli, joka on oikein suhteutettu yhtiön toimintojen luonteeseen, laajuuteen ja monimuotoisuuteen sekä ICT-riskiprofiiliin. Yhtiön toimintamallissa tulisi ottaa huomioon riskit, jotka liittyvät ICT-järjestelmiin tallennetun tai niissä käsitellyn tiedon eheyden säilyttämiseen. Tässä arvioinnissa toimivaltaisten viranomaisten tulisi ottaa huomioon erityisesti, onko toimintamallissa kiinnitetty huomiota seuraaviin:

• a. toimintaperiaatteet, joissa määritellään ICT-järjestelmissä olevan tiedon eheyden hallintaa koskevat tehtävät ja vastuut (esim. tietoarkkitehti (data architect), tiedonhallintavastaavat (data officers)⁶ , tiedon hoitaja (data custodian)⁷ data owners/stewards⁸ ) ja jotka tarjoavat ohjeita siitä, mitkä tiedot ovat tiedon eheyden kannalta kriittisiä ja edellyttävät erityisiä ICT kontrolleja (esim. syötettävän tiedon kelpoisuuden automaattiset tarkistukset, tiedonsiirron valvontajärjestelyt, täsmäytykset jne.) tai tarkastuksia (esim. yhteensopivuustarkastusta tietoarkkitehtuurin kanssa) ICT-tiedon elinkaaren eri vaiheissa;
• b. dokumentoitu tietoarkkitehtuuri, tietomalli ja/tai tietohakemisto, jonka liiketoiminnan ja tietotekniikan sidosryhmät validoivat ja jonka tarkoituksena on tukea tarvittavaa tiedon yhtenäisyyttä eri ICT-järjestelmissä sekä varmistaa, että tietoarkkitehtuuri, tietomalli ja/tai tietohakemisto vastaavat liiketoiminnan ja riskienhallinnan tarpeita;
• c. toimintaperiaatteet, jotka koskevat itsenäiskäyttöä (End User Computing) ja varsinkin tärkeiden itsenäiskäyttöä koskevien ratkaisujen määrittämistä, rekisteröintiä ja dokumentointia (esim. tärkeiden tietojen käsittelyn yhteydessä), sekä odotetut turvallisuustasot luvattomien muutosten estämiseksi sekä itse välineessä että siihen tallennetuissa tiedoissa;
• d. poikkeusten käsittelyä koskevat dokumentoidut prosessit, joilla ratkotaan ICT-tiedon eheydessä havaittuja ongelmia tietojen tärkeyden ja arkaluonteisuuden mukaan.

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

3. Liittyvät standardit

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.