39. Arvioidessaan yhtiön ICT-riskiprofiilia toimivaltaisten viranomaisten tulisi tarkastella …

Arvioidessaan yhtiön ICT-riskiprofiilia toimivaltaisten viranomaisten tulisi tarkastella kaikkia tietoja yhtiön ICT-riskeistä, kuten 37 kohdassa esitettyjä tietoja ja näiden ohjeiden 2 osastossa käsiteltyjä olennaisia puutteita tai heikkouksia, joita on havaittu ICT-organisaatiossa ja yhtiön laajuisissa kontrolleissa. Viranomaisten tulisi tarkastella tällaisia tietoja tarvittaessa oikeasuhteisella tavalla. Osana arviointia toimivaltaisten viranomaisten tulisi lisäksi tutkia

• a. voiko yhtiön ICT-järjestelmien merkittävä häiriö vaikuttaa rahoitusjärjestelmään joko kansallisella tai kansainvälisellä tasolla;
• b. voiko laitokseen kohdistua ICT:n turvallisuusriskejä tai ICT:n saatavuutta ja jatkuvuutta koskevia riskejä, jotka johtuvat internetin riippuvuuksista, innovatiivisten ICT-ratkaisujen laajasta käyttöönotosta tai liiketoimintojen muista jakelukanavista ja saattavat lisätä todennäköisyyttä yhtiön joutumisesta kyberhyökkäysten kohteeksi;
• c. voiko yhtiö altistua enemmän ICT:n turvallisuusriskeille, ICT:n saatavuutta ja jatkuvuutta koskeville riskeille, ICT-tiedon eheysriskeille tai ICT:n muutosriskeille tieto- ja viestintäteknisten järjestelmiensä (esim. yritysfuusioiden tai -ostojen jälkeisen) monimutkaisuuden tai vanhanaikaisuuden vuoksi;
• d. tehdäänkö laitoksessa merkittäviä muutoksia ICT-järjestelmiin ja/tai ICT-toimintoon (esim. yritysfuusioiden, yritysostojen, divestointien tai yhtiön keskeisten ICT-järjestelmien korvaamisen vuoksi), mikä voi horjuttaa ICT-järjestelmien vakautta tai moitteetonta toimintaa ja aiheuttaa olennaisia ICT:n saatavuutta ja jatkuvuutta koskevia riskejä, ICT:n turvallisuusriskejä, ICT:n muutosriskejä tai ICT-tiedon eheysriskejä;
• e. onko yhtiö ulkoistanut ryhmän muille yksiköille tai sen ulkopuolelle ICT-palveluja tai ICT-järjestelmiä, jotka saattavat altistaa yhtiön olennaisille ICT:n ulkoistamista koskeville riskeille;
• f. toteutetaanko laitoksessa voimakkaita ICT-kustannusten leikkaustoimenpiteitä, jotka voivat johtaa tarpeellisten ICT-investointien ja -resurssien sekä tietoteknisen osaamisen vähenemiseen ja saattavat lisätä altistumista luokitukseen sisältyville kaikentyyppisille ICT-riskeille;
• g. voiko tärkeiden ICT-toimintojen tai -datakeskusten sijainti (esim. eri alueilla tai maissa) altistaa yhtiön luonnonkatastrofeille (esim. tulville tai maanjäristyksille), poliittiselle epävakaudelle tai työmarkkinariidoille ja kansalaislevottomuuksille, jotka voivat olennaisesti lisätä ICT:n saatavuutta ja jatkuvuutta koskevia riskejä ja ICT:n turvallisuusriskejä.

3.2.2 Kriittisten ICT-järjestelmien ja -palvelujen arviointi

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

3. Liittyvät standardit

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/