3.2 Olennaisten ICT-riskien tunnistaminen

Toimivaltaisten viranomaisten tulisi tunnistaa seuraavassa esitettävin toimenpitein olennaiset ICT-riskit, joille yhtiö altistuu tai saattaa altistua.

3.2.1 Yhtiön ICT-riskiprofiilin arviointi

Arvioidessaan yhtiön ICT-riskiprofiilia toimivaltaisten viranomaisten tulisi tarkastella kaikkia tietoja yhtiön ICT-riskeistä, kuten 37 kohdassa esitettyjä tietoja ja näiden ohjeiden 2 osastossa käsiteltyjä olennaisia puutteita tai heikkouksia, joita on havaittu ICT-organisaatiossa ja yhtiön laajuisissa kontrolleissa. Viranomaisten tulisi tarkastella tällaisia tietoja tarvittaessa oikeasuhteisella tavalla. Osana arviointia toimivaltaisten viranomaisten tulisi lisäksi tutkia

• a. voiko yhtiön ICT-järjestelmien merkittävä häiriö vaikuttaa rahoitusjärjestelmään joko kansallisella tai kansainvälisellä tasolla;
• b. voiko laitokseen kohdistua ICT:n turvallisuusriskejä tai ICT:n saatavuutta ja jatkuvuutta koskevia riskejä, jotka johtuvat internetin riippuvuuksista, innovatiivisten ICT-ratkaisujen laajasta käyttöönotosta tai liiketoimintojen muista jakelukanavista ja saattavat lisätä todennäköisyyttä yhtiön joutumisesta kyberhyökkäysten kohteeksi;
• c. voiko yhtiö altistua enemmän ICT:n turvallisuusriskeille, ICT:n saatavuutta ja jatkuvuutta koskeville riskeille, ICT-tiedon eheysriskeille tai ICT:n muutosriskeille tieto- ja viestintäteknisten järjestelmiensä (esim. yritysfuusioiden tai -ostojen jälkeisen) monimutkaisuuden tai vanhanaikaisuuden vuoksi;
• d. tehdäänkö laitoksessa merkittäviä muutoksia ICT-järjestelmiin ja/tai ICT-toimintoon (esim. yritysfuusioiden, yritysostojen, divestointien tai yhtiön keskeisten ICT-järjestelmien korvaamisen vuoksi), mikä voi horjuttaa ICT-järjestelmien vakautta tai moitteetonta toimintaa ja aiheuttaa olennaisia ICT:n saatavuutta ja jatkuvuutta koskevia riskejä, ICT:n turvallisuusriskejä, ICT:n muutosriskejä tai ICT-tiedon eheysriskejä;
• e. onko yhtiö ulkoistanut ryhmän muille yksiköille tai sen ulkopuolelle ICT-palveluja tai ICT-järjestelmiä, jotka saattavat altistaa yhtiön olennaisille ICT:n ulkoistamista koskeville riskeille;
• f. toteutetaanko laitoksessa voimakkaita ICT-kustannusten leikkaustoimenpiteitä, jotka voivat johtaa tarpeellisten ICT-investointien ja -resurssien sekä tietoteknisen osaamisen vähenemiseen ja saattavat lisätä altistumista luokitukseen sisältyville kaikentyyppisille ICT-riskeille;
• g. voiko tärkeiden ICT-toimintojen tai -datakeskusten sijainti (esim. eri alueilla tai maissa) altistaa yhtiön luonnonkatastrofeille (esim. tulville tai maanjäristyksille), poliittiselle epävakaudelle tai työmarkkinariidoille ja kansalaislevottomuuksille, jotka voivat olennaisesti lisätä ICT:n saatavuutta ja jatkuvuutta koskevia riskejä ja ICT:n turvallisuusriskejä.

3.2.2 Kriittisten ICT-järjestelmien ja -palvelujen arviointi

Osana prosessia, jossa tunnistetaan yhtiön vakavaraisuuteen mahdollisesti merkittävästi vaikuttavia ICT-riskejä, toimivaltaisten viranomaisten tulisi arvioida laitoksessa laadittuja asiakirjoja ja muodostaa näkemys siitä, mitkä ICT-järjestelmät ja -palvelut ovat kriittisiä yhtiön olennaisten toimintojen riittävälle toimivuudelle, saatavuudelle, jatkuvuudelle ja turvallisuudelle.

Tätä varten toimivaltaisten viranomaisten tulisi arvioida yhtiön käyttämiä menetelmiä ja prosesseja, joilla määritetään kriittiset ICT-järjestelmät ja -palvelut, ja ottaa huomioon, että yhtiö voi pitää joitakin ICT-järjestelmiä ja -palveluja kriittisinä liiketoiminnan jatkuvuuden ja valmiuden sekä turvallisuuden (esim. petosten ennaltaehkäisemisen) ja/tai luottamuksellisuuden (esim. luottamuksellisten tietojen) näkökulmasta. Arviointia suorittaessaan toimivaltaisten viranomaisten tulisi ottaa huomioon, että kriittisten ICT-järjestelmien ja -palvelujen tulisi täyttää ainakin yksi seuraavista edellytyksistä:

• a. ne tukevat yhtiön keskeisiä liiketoimintoja ja jakelukanavia (esim. pankkiautomaatteja sekä internet- ja mobiilipankkitoimintoja);
• b. ne tukevat olennaisia hallintoprosesseja ja yhtiön tukitoimintoja, kuten riskienhallintaa (esim. riskienhallinnan ja kassanhallinnan järjestelmiä);
• c. niihin sovelletaan (mahdollisia) erityisiä lakisääteisiä tai sääntelyvaatimuksia, joilla joillekin järjestelmän kannalta tärkeille palveluille asetetaan saatavuutta, häiriönsietokykyä, luottamuksellisuutta tai turvallisuutta koskevia tiukennettuja vaatimuksia (esim. tietosuojalainsäädäntö tai mahdolliset palautusaikatavoitteet eli enimmäisaika, jossa järjestelmän tai prosessin tulisi palautua häiriötilanteesta, ja palautuspistetavoite eli enimmäisaika, jolta tietojen katoaminen häiriötilanteessa on siedettävissä) (jos tällaisia vaatimuksia on ja mikäli niitä on sovellettava);
• d. niillä käsitellään tai tallennetaan luottamuksellisia tai arkaluonteisia tietoja, joiden luvaton käyttö voisi vaikuttaa huomattavasti yhtiön maineeseen, taloudellisiin tuloksiin tai liiketoiminnan vakauteen ja jatkuvuuteen (esim. arkaluonteisia asiakastietoja sisältävät tietokannat); ja/tai
• e. ne tarjoavat perustason toimintoja, jotka ovat välttämättömiä yhtiön asianmukaiselle toiminnalle (esim. tietoliikenne- ja liitettävyyspalvelut, ICT- ja kyberturvallisuuspalvelut).

3.2.3 Kriittisiin ICT-järjestelmiin ja -palveluihin kohdistuvien olennaisten ICT-riskien tunnistaminen

Toimivaltaisten viranomaisten tulisi ottaa edellä mainitut arvioinnit yhtiön ICT-riskiprofiilista ja kriittisistä ICT-järjestelmistä ja -palveluista huomioon muodostaessaan käsityksen olennaisista ICT-riskeistä, joilla voi olla valvojan laatiman arvioinnin mukaan merkittävä vakavaraisuusvaikutus yhtiön kriittisiin ICT-järjestelmiin ja -palveluihin.

Arvioidessaan ICT-riskien mahdollista vaikutusta yhtiön kriittisiin ICT-järjestelmiin ja -palveluihin, toimivaltaisten viranomaisten tulisi tarkastella

• a. taloudellista vaikutusta, kuten (vähintään) varojen tai omaisuuserien menetystä, asiakkaille mahdollisesti maksettavia korvauksia, oikeudellisista ja korjaustoimenpiteistä aiheutuvia kustannuksia, sopimusvahinkoja ja menetettyjä tuottoja;
• b. liiketoiminnan mahdollisia häiriöitä ottaen (vähintään) huomioon häiriytyneiden rahoituspalvelujen kriittisyyden sekä häiriöistä mahdollisesti kärsineiden asiakkaiden ja/tai sivuliikkeiden ja työntekijöiden lukumäärän;
• c. mahdollista vaikutusta yhtiön maineelle häiriöistä kärsineiden pankkipalvelujen tai operatiivisten toimintojen kriittisyyden perusteella (esim. asiakastietojen anastaminen), häiriöistä kärsineiden ICT-järjestelmien ja - palvelujen julkisuuskuvaa/näkyvyyttä (esim. mobiili- ja verkkopankkitoimintojen järjestelmät, myyntipisteet, pankkiautomaatit tai maksujärjestelmät);
• d. sääntelyn vaikutusta, kuten sääntelyviranomaisen esittämää julkista arvostelua, viranomaissakkoja tai jopa toimilupiin tehtäviä muutoksia;
• e. strategista vaikutusta laitokseen esimerkiksi tilanteessa, jossa strateginen tuote tai liiketoimintasuunnitelma vaarantuu tai anastetaan.

Sen jälkeen toimivaltaisten viranomaisten tulisi kartoittaa tunnistetut ICT-riskit, joita pidetään olennaisina, ja jakaa ne seuraaviin ICT-riskiluokkiin, joihin sisältyviä riskejä havainnollistetaan ja kuvataan tarkemmin liitteessä. Toimivaltaisten viranomaisten tulisi tarkastella liitteessä olevia ICT-riskejä osana 3 osaston mukaisesti laadittavaa arviota.

• a. ICT:n saatavuutta ja jatkuvuutta koskeva riski
• b. ICT:n turvallisuusriski
• c. ICT:n muutosriski
• d. ICT-tiedon eheysriski
• e. ICT:n ulkoistamista koskeva riski

Kartoitus auttaa toimivaltaisia viranomaisia määrittämään, mitkä riskit ovat (mahdollisesti) olennaisia, jolloin niitä tulisi arvioida tarkemmin ja/tai yksityiskohtaisemmin seuraavassa esitettävissä arviointitoimenpiteissä.