3.3 Olennaisten ICT-riskien vähentämiseksi toteutettavien kontrollien arviointi

Arvioidakseen yhtiön ICT-jäännösriskit toimivaltaisten viranomaisten tulisi tarkistaa, miten laitoksessa tunnistetaan, seurataan, arvioidaan ja vähennetään riskejä, jotka toimivaltaiset viranomaiset ovat määrittäneet olennaisiksi edellä esitetyssä arvioinnissa.

Tätä varten toimivaltaisten viranomaisten tulisi arvioida havaittujen olennaisten ICT-riskien osalta seuraavat:

• a. ICT-riskien hallintaperiaatteet, prosessit ja riskinsietorajat;
• b. organisaation hallinta- ja valvontajärjestelmä;
• c. sisäisen tarkastuksen kattavuus ja tulokset, sekä
• d. ICT-riskin erityiset valvontajärjestelyt, jotka koskevat havaittua olennaista ICT-riskiä.

Arvioinnissa tulisi ottaa huomioon EPV:n SREP-ohjeiden 5 osastossa tarkoitetun yleisen riskienhallinnan ja sisäisen valvonnan järjestelmän analyysin tulokset sekä näiden ohjeiden 2 osastossa käsitelty yhtiön ICT-hallinta ja -strategia, koska näillä osa-alueilla havaitut merkittävät puutteet voivat vaikuttaa yhtiön kykyyn hallita ja vähentää sen ICT-riskejä. Toimivaltaisten viranomaisten tulisi myös tarvittaessa hyödyntää näiden ohjeiden 37 kohdassa tarkoitettuja tietolähteitä.

Toimivaltaisten viranomaisten tulisi suorittaa seuraavat arviointitoimenpiteet siten, että ne ovat suhteutettuja yhtiön toimintojen luonteeseen, laajuuteen ja monimuotoisuuteen nähden. Niiden tulisi myös soveltaa yhtiön ICT-riskiprofiilin kannalta tarkoituksenmukaista valvojan arviointimenetelmää.

3.3.1 ICT-riskien hallintaa koskevat toimintaperiaatteet, prosessit ja riskinsietorajat

Toimivaltaisten viranomaisten tulisi arvioida, onko laitoksella käytössä riskienhallintaa koskevat asianmukaiset toimintaperiaatteet, prosessit ja riskinsietorajat havaittuja olennaisia ICT-riskejä varten. Nämä voivat olla osana operatiivisen riskin hallintajärjestelmää tai ne voidaan esittää erillisessä asiakirjassa. Tätä arviointia varten toimivaltaisten viranomaisten tulisi ottaa huomioon seuraavat seikat:

• a. ylin hallintoelin on laatinut riskienhallintaa koskevat toimintaperiaatteet viralliseen muotoon ja hyväksynyt ne, ja niihin sisältyy riittävästi ohjeistusta yhtiön ICT-riskinottohalusta ja tärkeimmistä ICT-riskien hallinnan tavoitteista ja/tai ICT-riskeihin sovellettavista sietorajoista. ICT-riskien hallintaperiaatteet tulisi myös toimittaa tiedoksi kaikille sidosryhmille;
• b. sovellettavat riskienhallintaperiaatteet kattavat kaikki merkittävät osatekijät havaittujen olennaisten ICT-riskien hallintaa varten;
• c. yhtiö on ottanut käyttöön prosessin ja sen perustana olevat menettelytavat tunnistaakseen (esim. riskienvalvonnan itsearviointien ja riskien skenaarioanalyysin avulla) olennaiset ICT-riskit ja seuratakseen niitä, ja
• d. yhtiö käyttää ICT-riskien hallintaa koskevaa raportointia, joka tarjoaa ajantasaista tietoa toimivalle johdolle ja ylimmälle hallintoelimelle ja jonka ansiosta toimiva johto ja/tai ylin hallintoelin voi arvioida ja seurata, noudatetaanko yhtiön ICT-riskien vähentämissuunnitelmissa ja -toimenpiteissä hyväksyttyä riskinottohalua ja/tai (mahdollisia) riskinsietorajoja, sekä valvoa olennaisten ICT-riskien muutoksia.

3.3.2 Organisaation hallinta- ja valvontajärjestelmä

Toimivaltaisten viranomaisten tulisi arvioida, miten riskienhallintatehtävät ja -vastuut sisällytetään ja integroidaan yhtiön sisäiseen organisaatioon havaittujen olennaisten ICT-riskien hallintaa ja valvontaa varten. Toimivaltaisten viranomaisten tulisi tältä osin arvioida, osoittaako yhtiö, että

• a. sillä on selkeät tehtävät ja vastuut olennaisten ICT-riskien tunnistamista, arviointia, seurantaa, vähentämistä, raportointia ja valvontaa varten;
• b. riskejä koskevista vastuista ja tehtävistä tiedotetaan selkeästi, ja ne kohdennetaan ja sisällytetään organisaation kaikkiin osiin (esim. liiketoiminta-alueisiin ja tietohallintoon) ja prosesseihin, ja huomioon otetaan myös tehtävät ja vastuut, jotka koskevat riskitietojen keräämistä ja ryhmittelyä ja niiden raportointia toimivalle johdolle ja/tai ylimmälle hallintoelimelle;
• c. ICT-riskien hallintatoiminnot suoritetaan siten, että niissä on määrän ja laadun kannalta riittävästi henkilöstöä ja teknisiä resursseja; riskien vähentämissuunnitelmien uskottavuuden arvioimiseksi toimivaltaisten viranomaisten tulisi laatia arvio myös siitä, onko yhtiö osoittanut riittävästi rahoitusta ja/tai tarvittavia resursseja suunnitelmien toteuttamiseen;
• d. ylin hallintoelin seuraa riittävästi havaintoja, joita riippumattomat valvontatoiminnot ovat tehneet ICT-riskistä ( - riskeistä), ja reagoi niihin sekä ottaa huomioon, että joissakin näkökohdissa vastuu on ehkä siirrettävä toimikunnalle, jos sellainen on olemassa, ja
• e. poikkeukset sovellettavista ICT-määräyksistä, ja - toimintaperiaatteista kirjataan ylös, ja riippumaton valvontatoiminto arvioi niitä koskevat asiakirjat ja raportoi niistä keskittyen niihin liittyviin riskeihin. 3.3.3 Sisäisen tarkastuksen kattavuus ja tulokset

Toimivaltaisten viranomaisten tulisi selvittää, onko sisäisen tarkastuksen toiminta tehokas ICT-riskien kontrollimenetelmiä koskevissa tarkastuksissa. Tätä varten niiden tulisi arvioida

• a. ovatko ICT-riskien kontrollimenetelmiä koskevat tarkastukset riittävän laadukkaita ja yksityiskohtaisia, suoritetaanko niitä riittävän usein ja ovatko ne oikein suhteutettuja yhtiön kokoon, toimintoihin ja ICT-riskiprofiiliin nähden;
• b. sisältyykö tarkastussuunnitelmaan tarkastuksia, jotka koskevat yhtiön havaitsemia kriittisiä ICT-riskejä;
• c. raportoidaanko sovituista toimista ja muista tärkeistä ICT-tarkastusten tuloksista ylimmälle hallintoelimelle, ja
• d. seurataanko sovittuja toimia ja muita ICT-tarkastusten tuloksia ja arvioiko toimiva johto ja/tai tarkastustoimikunta säännöllisesti väliraportit.

3.3.4 Merkittävät ICT-riskit ja niihin liittyvät kontrollit

Toimivaltaisten viranomaisten tulisi arvioida, onko laitoksella havaittuja olennaisia ICT-riskejä koskevat kontrollit. Seuraavissa jaksoissa luetellaan esimerkinomaisesti kontrollit, joita on tarkasteltava arvioitaessa 3.2.3 kohdan mukaisesti tunnistettuja merkittäviä riskejä, jotka on jaettu seuraaviin ICT-riskiluokkiin:

• a. ICT:n saatavuutta ja jatkuvuutta koskevat riskit
• b. ICT:n turvallisuusriskit
• c. ICT:n muutosriskit
• d. ICT-tiedon eheysriskit
• e. ICT:n ulkoistamista koskevat riskit.
• (a) ICT:n saatavuutta ja jatkuvuutta koskevien merkittävien riskien kontrollit

Toimivaltaisten viranomaisten tulisi arvioida EPV:n SREP-ohjeissa ( 279–281 kohdassa) asetettujen vaatimusten lisäksi, käyttääkö yhtiö tarkoituksenmukaista toimintamallia, jolla tunnistetaan, ymmärretään, mitataan ja vähennetään ICT:n saatavuutta ja jatkuvuutta koskevia riskejä.

Tässä arvioinnissa toimivaltaisten viranomaisten tulisi ottaa huomioon toimintamallista erityisesti seuraavat seikat:

• a. Siinä tunnistetaan kriittiset ICT-prosessit ja niitä tukevat järjestelmät, joiden tulisi olla osa liiketoiminnan jatkuvuutta koskevia suunnitelmia, ja siihen sisältyy
• i. kattava analyysi kriittisten liiketoimintaprosessien ja tukijärjestelmien riippuvuussuhteista;
• ii. kriittisiä prosesseja tukevien tietojärjestelmien palautumistavoitteet (määritys suoritetaan tavallisesti liiketoiminnassa ja/tai määräyksissä palautusaikatavoitteen ja palautuspistetavoitteen avulla);
• iii. asianmukainen jatkuvuussuunnitelma, joka mahdollistaa kriittisten ICT-järjestelmien ja - palvelujen saatavuuden, jatkuvuuden ja palautumisen, jotta yhtiön toiminnoille aiheutuisi mahdollisimman vähän häiriöitä siedettävän ajan kuluessa.
• b. Siinä on liiketoiminnan häiriönsietokykyä ja jatkuvuuden hallintaympäristöä koskevat toimintaperiaatteet ja vaatimukset sekä kontrollit, joihin sisältyy
• i. toimenpiteitä, joilla estetään yksittäisen skenaarion tai häiriö- tai poikkeustilanteen mahdollinen vaikutus sekä ICT:n tuotanto- että varajärjestelmiin;
• ii. ICT-järjestelmien varmistus- ja palautusmenettelyt, jotka koskevat kriittisiä ohjelmistoja ja tietoja ja joilla varmistetaan, että varmuuskopiot tallennetaan turvalliseen ja riittävän etäiseen paikkaan, jotta tärkeät tiedot eivät voi tuhoutua tai korruptoitua häiriö- tai hätätilanteessa;
• iii. valvontaratkaisuja, joiden avulla ICT:n saatavuutta tai jatkuvuutta koskevat häiriöt voidaan havaita nopeasti;
• iv. häiriötilanteiden hallintaa ja eskaloitumista koskeva dokumentoitu prosessi, joka tarjoaa myös ohjeita häiriöitilanteiden hallintaa ja eskaloitumista koskevista eri tehtävistä ja vastuista, kriisitoimikunnan ( - toimikuntien) jäsenistä ja johtamisjärjestelyistä hätätilanteissa;
• v. konkreettisia toimenpiteitä, joilla sekä suojataan yhtiön kriittinen ICT-infrastruktuuri (esim. datakeskukset) ympäristöriskeiltä (esim. tulvilta ja muilta luonnonkatastrofeilta) että varmistetaan ICT-järjestelmille asianmukainen käyttöympäristö (esim. ilmastointi);
• vi. prosesseja, tehtäviä ja vastuita, joilla varmistetaan, että myös ulkoistetut ICT-järjestelmät ja -palvelut kuuluvat liiketoiminnan häiriönsietokykyä ja jatkuvuutta koskevien asianmukaisten ratkaisujen ja suunnitelmien piiriin;
• vii. ICT:n suorituskyvyn ja kapasiteetin suunnittelu- ja valvontaratkaisuja, jotka koskevat kriittisiä ICT-järjestelmiä ja -palveluja ja joissa on määritelty saatavuusvaatimuksia, jotta merkittävät suorituskyky- ja kapasiteettirajoitteet voidaan havaita nopeasti;
• viii. ratkaisuja, joilla kriittiset internettoiminnot tai -palvelut (esim. sähköiset pankkipalvelut) suojataan tarvittaessa internetissä tapahtuvilta palvelunestohyökkäyksiltä ja muilta kyberhyökkäyksiltä, joiden tavoitteena on estää tällaisten toimintojen ja -palvelujen käyttö tai häiritä sitä.
• c. Siinä testataan ICT:n saatavuuden ja jatkuvuuden turvaavia ratkaisuja realistisilla skenaarioilla, kuten kyberhyökkäyksillä, varajärjestelyihin siirtymistä koskevilla testeillä ja kriittisten ohjelmistojen ja tietojen varmuuskopioiden testauksilla,
• i. jotka ovat suunniteltuja, muodollisia ja dokumentoituja ja joissa testituloksia käytetään ICT:n saatavuutta ja jatkuvuutta koskevien ratkaisujen tehostamiseksi;
• ii. joihin sisältyy organisaation sidosryhmiä ja toimintoja, kuten liiketoiminta-alueiden johtoryhmiä sekä liiketoiminnan jatkuvuudesta, häiriötilanteista ja kriisitoiminnasta vastaavia ryhmiä sekä yhtiön ulkopuolisia sidosryhmiä, jotka kuuluvat ekosysteemiin;
• iii. joihin ylin hallintoelin ja toimiva johto osallistuvat asiaankuuluvasti (esim. osana kriisinhallintaryhmää) ja joiden tulokset ilmoitetaan näille.
• (b) Merkittävien ICT turvallisuusriskien kontrollit

Toimivaltaisten viranomaisten tulisi arvioida, onko laitoksella käytössään tehokas järjestelmä ICT:n turvallisuusriskin tunnistamista, ymmärtämistä, mittaamista ja vähentämistä varten. Tässä arvioinnissa toimivaltaisten viranomaisten tulisi ottaa huomioon erityisesti, onko järjestelmässä kiinnitetty huomiota seuraaviin:

• a. Selkeästi määritellyt tehtävät ja vastuut, jotka koskevat
• i. ICT:n päivittäisen turvallisuuden hallinnasta sekä ICT:n yleisten turvallisuusperiaatteiden laadinnasta vastaavaa ja/tai tilintekovelvollista henkilöä (henkilöitä) ja/tai toimikuntia, ja joissa kiinnitetään huomiota heidän/niiden riippumattomuuteen;
• ii. ICT-turvallisuuteen liittyvien kontrollien suunnittelua, toteutusta, hallintaa ja seurantaa;
• iii. kriittisten ICT-järjestelmien ja -palvelujen suojaamista ottamalla käyttöön esimerkiksi haavoittuvuusarviointiprosessi, ohjelmistokorjausten hallintaprosessi, päätelaitteen suojaus (esim. haittaohjelmilta ja viruksilta) sekä tunkeutumisen havaitsemis- ja estovälineet;
• iv. ICT:n turvallisuuteen vaikuttavien yhtiön ulkopuolisten tai sisäisten häiriötapahtumien seurantaa, luokittelua ja käsittelyä, kuten häiriötapahtumiin reagointia sekä ICT-järjestelmien ja -palvelujen jatkumista ja palautumista;
• v. säännöllisiä ja ennakoivia uhka-arvioita asianmukaisten kontrollien ylläpitämiseksi.
• b. ICT:n turvallisuusperiaatteet, joissa otetaan huomioon ja tarvittaessa noudatetaan kansainvälisesti tunnustettuja ICT:n turvallisuusstandardeja ja -periaatteita (esim. välttämättömien käyttöoikeuksien periaate (principle of least privilege) eli käyttöoikeuksien rajaaminen suppeimpiin oikeuksiin, jotka mahdollistavat tavanomaisen toiminnan käyttöoikeudenhallinnassa, ja monikerrossuojaamisen (”defence in depth”) periaate, jonka mukaan monitasoiset turvallisuusjärjestelyt lisäävät koko järjestelmän turvallisuutta tietoturva-arkkitehtuuria suunniteltaessa).
• c. ICT-järjestelmien ja -palvelujen oikeasuhteisten tietoturvavaatimusten määritysprosessi, jossa otetaan huomioon mahdollinen petosriski ja/tai luottamuksellisten tietojen mahdollinen väärinkäyttö ja/tai laiton käyttö sekä dokumentoidut tietoturvaodotukset, joita on noudatettava tällä tavoin määritettyjen ICT-järjestelmien, -palvelujen ja -tietojen osalta, joissa otetaan huomioon yhtiön riskinottohalu ja joita monitoroidaan niiden moitteettoman toteutuksen varmistamiseksi.
• d. Tietoturvahäiriöiden hallintaa ja eskaloitumista koskeva dokumentoitu prosessi, joka antaa myös ohjeita häiriöitilanteiden hallintaa ja eskaloitumista koskevista eri tehtävistä ja vastuista, kriisitoimikunnan (-toimikuntien) jäsenistä ja johtamisjärjestelyistä tietoturvaa koskevissa hätätilanteissa.
• e. Käyttäjien ja admin-käyttäjien sisäänkirjautumistietojen kirjaaminen, jotta luvatonta toimintaa voidaan tarkkailla tehokkaasti, se voidaan havaita nopeasti ja siihen voidaan reagoida nopeasti ja jotta voidaan tarjota apua tietoturvahäiriöiden rikostutkinnoissa tai käynnistää niitä. Yhtiöllä tulisi olla käytössään sisäänkirjautumistietoja koskevat toimintaperiaatteet, joissa määritellään ylläpidettävät asianmukaiset lokityypit ja niiden säilytysajat.
• f. Valistus- ja tiedotuskampanjat tai -aloitteet, joilla yhtiön kaikille tasoille tiedotetaan yhtiön ICT-järjestelmien turvallisesta käytöstä ja suojaamisesta sekä tärkeimmistä (ja muistakin) ICT:n turvallisuusriskeistä, joista henkilöstön tulisi olla tietoinen. Henkilöstölle tulisi tiedottaa varsinkin nykyisistä ja kehittymässä olevista kyberuhista (esim. tietokoneviruksista, mahdollisista sisäisistä tai ulkoisista väärinkäytöistä tai hyökkäyksistä ja kyberhyökkäyksistä) ja siitä, miten he voivat olla mukana vähentämässä tietoturvaloukkauksia.
• g. Riittävät fyysiset turvallisuustoimenpiteet (esim. kameravalvonta, murtohälyttimet ja turvaovet), joilla estetään pääsy kriittisten ja arkaluonteisten ICT-järjestelmien luo (esim. datakeskuksissa).
• h. Toimenpiteet, joilla ICT-järjestelmät suojataan internetistä tai muista ulkopuolisista verkoista (esim. perinteiset tietoliikenneyhteydet tai yhteydet luotettaviin kumppaneihin) tulevilta hyökkäyksiltä (esim. kyberhyökkäyksiltä). Toimivaltaisten viranomaisten tulisi arvioida, onko yhtiön toimintamallissa otettu huomioon seuraavat:
• i. Prosessi ja ratkaisut, joilla pidetään yllä täydellistä ja ajantasaista luetteloa ja yhteenvetoa kaikista yhtiön ulkopuolelle suuntautuvista verkon liitäntäpisteistä (esim. verkkosivut, internetsovellukset, WiFi, etäyhteys), joiden kautta kolmannet osapuolet voivat tunkeutua yhtiön sisäisiin ICT-järjestelmiin.
• ii. Tarkasti hallinnoidut ja monitoroidut tietoturvatoimenpiteet (esim. palomuurit, välityspalvelimet, sähköpostin välityspalvelut, virustarkistus- ja sisällön tarkistusohjelmat), jotta voidaan turvata saapuva ja lähtevä verkkoliikenne (esim. sähköposti) ja yhtiön ulkopuolelle suuntautuvat verkkoyhteydet, joiden kautta kolmannet osapuolet voivat tunkeutua yhtiön sisäisiin ICT-järjestelmiin.
• iii. Prosessit ja ratkaisut, joilla suojataan verkkosivustot ja sovellukset, joita voidaan vahingoittaa suoraan internetistä ja/tai yhtiön ulkopuolelta ja joiden kautta voidaan päästä yhtiön sisäisiin ICT-järjestelmiin. Tällaisiin prosesseihin ja ratkaisuihin sisältyy yleensä yhdistelmä tunnettuja turvallisuuden kehittämiskäytäntöjä, ICT-järjestelmien käyttörajoituksia ja haavoittuvuustarkistuksia koskevia käytäntöjä ja/tai sovellusten palomuurien ja/tai tunkeutumisen havaitsemista ja/tai ennaltaehkäisyä koskevien järjestelmien tai muiden ylimääräisten tietoturvaratkaisujen toteutusta.
• iv. Säännöllisin väliajoin suoritettava tietoturvallisuuden penetraatiotestaus, jolla arvioidaan toteutettujen kybertoimenpiteiden ja yhtiön sisäisten ICT:n tietoturvatoimenpiteiden tehokkuus. Tällaisten testien suorittajien tulisi olla riittävän asiantuntemuksen omaavaa henkilöstöä ja/tai ulkopuolisia asiantuntijoita, testitulokset tulisi dokumentoida ja päätelmät ilmoittaa toimivalle johdolle ja/tai ylimmälle hallintoelimelle. Mikäli tarpeen ja mahdollista, yhtiön tulisi hyödyntää tällaisten testien tuloksia parantaakseen turvavalvontaa ja -prosesseja entisestään ja/tai saadakseen paremman varmuuden niiden tehokkuudesta.
• (c) Merkittävien ICT -muutosriskien kontrollit

Toimivaltaisten viranomaisten tulisi arvioida, onko yhtiöllä käytössään ICT:n muutosriskin tunnistamiseksi, ymmärtämiseksi, mittaamiseksi ja vähentämiseksi tehokas toimintamalli, joka on oikein suhteutettu yhtiön toimintojen luonteeseen, laajuuteen ja monimuotoisuuteen sekä ICT-riskiprofiiliin. Yhtiön toimintamallin tulisi kattaa riskit, jotka liittyvät ICT-järjestelmien muutosten kehittämiseen, testaukseen ja hyväksymiseen, mukaan lukien ohjelmistokehitys tai -muutokset ennen ohjelmistojen siirtämistä tuotantoympäristöön. Toimintamallin tulisi myös varmistaa tietojärjestelmien asianmukainen elinkaarihallinta. Tässä arvioinnissa toimivaltaisten viranomaisten tulisi ottaa huomioon erityisesti, onko toimintamallissa kiinnitetty huomiota seuraaviin:

• a. dokumentoidut prosessit ICT-järjestelmien (esim. järjestelmän hallinta ja korjausten hallinta) ja datan (esim. virheiden tai tietojen korjaukset) muutosten hallintaa ja kontrollointia varten, jotta voidaan varmistaa ICT-riskienhallinnan riittävä osallistuminen tärkeisiin ICT-muutoksiin, jotka voivat vaikuttaa merkittävästi yhtiön riskiprofiiliin tai kokonaisriskiin;
• b. määritelmät, jotka koskevat tehtävien eriyttämisvaatimuksia ICT:n muutosprosessien eri vaiheissa (esim. ratkaisusuunnittelu ja - kehitys, uusien ohjelmistojen ja/tai muutosten testaus ja hyväksyntä, siirtäminen tuotantoympäristöön ja virheiden korjaaminen) ja joissa tulisi keskittyä toteutettuihin ratkaisuihin ja tehtävien eriyttämiseen tarkoituksena hallita ja valvoa ICT-henkilöstön (esim. kehittäjien, ICT-järjestelmien ja tietokannan valvojien) tai muiden tahojen (esim. yrityskäyttäjien ja palveluntarjoajien) tekemiä muutoksia tuotantojärjestelmiin ja tietoihin;
• c. testausympäristöt, joissa otetaan riittävästi huomioon tuotantoympäristöt;
• d. tuotantoympäristössä sekä testaus- ja kehitysympäristössä olevien nykyisten sovellusten ja ICT-järjestelmien ominaisuudet, jotta tarvittavat muutokset (esim. versioiden päivitykset tai parannukset, järjestelmien korjaukset, määritysten muutokset) voidaan asianmukaisesti toteuttaa ja jotta niitä voidaan asianmukaisesti hallita ja valvoa muutoksenalaisissa ICT-järjestelmissä;
• e. prosessi, jolla seurataan ja hallitaan käytettävien ICT-järjestelmien elinkaarta sen varmistamiseksi, että ne täyttävät edelleen tämänhetkiset liiketoiminnan ja riskienhallinnan vaatimukset, että käytettävien ICT-ratkaisujen ja - järjestelmien myyjät tarjoavat niihin edelleen tukea ja että prosessin tukena on asianmukaiset ohjelmistokehityksen elinkaarta koskevat menettelyt;
• f. ohjelmiston lähdekoodin kontrollit, joilla estetään luvattomat muutokset yhtiön sisällä kehitetyn ohjelmiston lähdekoodiin;
• g. prosessi, jolla suoritetaan uusien tai olennaisesti muutettujen ICT-järjestelmien ja ohjelmistojen turva- ja haavoittuvuusseulonta ennen kuin ne otetaan käyttöön tuotannossa ja ennen kuin ne altistuvat mahdollisille kyberhyökkäyksille;
• h. prosessi ja ratkaisut, joilla estetään pääsy luottamuksellisiin tietoihin ICT-järjestelmien korvaamisen, arkistoinnin, käytöstäpoiston tai tuhoamisen yhteydessä;
• i. riippumaton arviointi- ja validointiprosessi, jolla vähennetään ICT-järjestelmiin tehtävien muutosten yhteydessä inhimillisten virheiden riskiä, joka saattaa heikentää merkittävästi yhtiön toimintavalmiutta, toiminnan jatkuvuutta tai tietoturvaa (esim. merkittävät muutokset palomuurimääritykseen tai palomuureihin).
• (d) Merkittävien ICT-tiedon eheysriskien kontrollit

Toimivaltaisten viranomaisten tulisi arvioida, onko laitoksella käytössään ICT-tiedon eheysriskin tunnistamiseksi, ymmärtämiseksi, mittaamiseksi ja vähentämiseksi tehokas toimintamalli, joka on oikein suhteutettu yhtiön toimintojen luonteeseen, laajuuteen ja monimuotoisuuteen sekä ICT-riskiprofiiliin. Yhtiön toimintamallissa tulisi ottaa huomioon riskit, jotka liittyvät ICT-järjestelmiin tallennetun tai niissä käsitellyn tiedon eheyden säilyttämiseen. Tässä arvioinnissa toimivaltaisten viranomaisten tulisi ottaa huomioon erityisesti, onko toimintamallissa kiinnitetty huomiota seuraaviin:

• a. toimintaperiaatteet, joissa määritellään ICT-järjestelmissä olevan tiedon eheyden hallintaa koskevat tehtävät ja vastuut (esim. tietoarkkitehti (data architect), tiedonhallintavastaavat (data officers)⁶ , tiedon hoitaja (data custodian)⁷ data owners/stewards⁸ ) ja jotka tarjoavat ohjeita siitä, mitkä tiedot ovat tiedon eheyden kannalta kriittisiä ja edellyttävät erityisiä ICT kontrolleja (esim. syötettävän tiedon kelpoisuuden automaattiset tarkistukset, tiedonsiirron valvontajärjestelyt, täsmäytykset jne.) tai tarkastuksia (esim. yhteensopivuustarkastusta tietoarkkitehtuurin kanssa) ICT-tiedon elinkaaren eri vaiheissa;
• b. dokumentoitu tietoarkkitehtuuri, tietomalli ja/tai tietohakemisto, jonka liiketoiminnan ja tietotekniikan sidosryhmät validoivat ja jonka tarkoituksena on tukea tarvittavaa tiedon yhtenäisyyttä eri ICT-järjestelmissä sekä varmistaa, että tietoarkkitehtuuri, tietomalli ja/tai tietohakemisto vastaavat liiketoiminnan ja riskienhallinnan tarpeita;
• c. toimintaperiaatteet, jotka koskevat itsenäiskäyttöä (End User Computing) ja varsinkin tärkeiden itsenäiskäyttöä koskevien ratkaisujen määrittämistä, rekisteröintiä ja dokumentointia (esim. tärkeiden tietojen käsittelyn yhteydessä), sekä odotetut turvallisuustasot luvattomien muutosten estämiseksi sekä itse välineessä että siihen tallennetuissa tiedoissa;
• d. poikkeusten käsittelyä koskevat dokumentoidut prosessit, joilla ratkotaan ICT-tiedon eheydessä havaittuja ongelmia tietojen tärkeyden ja arkaluonteisuuden mukaan.

Jos valvottavat yhtiöt kuuluvat riskidatan tehokasta aggregointia ja riskiraportointia koskevien Baselin pankkivalvontakomitean BCBS 239-periaatteiden piiriin⁹ , toimivaltaisten viranomaisten tulisi arvioida yhtiön tekemä riskianalyysi riskiraportointia ja datan aggregointia koskevista valmiuksistaan vertaamalla niitä periaatteisiin ja niitä koskeviin asiakirjoihin. Tällöin tulisi ottaa huomioon periaatteiden toteutusaikataulu ja siirtymäjärjestelyt.

• (e) ICT:n ulkoistamista koskevien merkittävien riskien kontrollit

Toimivaltaisten viranomaisten tulisi arvioida, sovelletaanko yhtiön ulkoistamisstrategiassa ulkoistamisesta annettujen Euroopan pankkivalvontaviranomaisten komitean (CEBS) ohjeiden

6 Tiedonhallintavastaava vastaa tiedon käsittelystä ja käytöstä. 7 Tiedon hoitaja vastaa tiedon turvallisesta huollosta, siirrosta ja tallennuksesta. 8 Data steward vastaa tietoelementtien – sekä sisällön että metadatan – hallinnasta ja käyttökelpoisuudesta.

9 Baselin pankkivalvontakomitea, Principles for effective risk data aggregation and risk reporting, tammikuu 2013, saatavilla osoitteessa: http://www.bis.org/publ/bcbs239.pdf. vaatimusten mukaisesti ja lisäksi EPV:n SREP-ohjeiden 85 kohdan d alakohdan vaatimuksen mukaisesti riittävästi kyseisiä vaatimuksia ICT:n ulkoistamiseen, myös ryhmän sisällä tapahtuvaan ryhmän sisäisten ICT-palvelujen ulkoistamiseen. ICT:n ulkoistamista koskevia riskejä arvioidessaan toimivaltaisten viranomaisten tulisi ottaa huomioon, että ICT:n ulkoistamista koskevat riskit voidaan arvioida myös osana EPV:n SREP-ohjeiden 240 kohdan j alakohdassa esitettyä laitokselle ominaisen operatiivisen riskin arviointia. Näin voidaan välttää päällekkäisyydet tai kahdenkertaiset laskutoimitukset.

Toimivaltaisten viranomaisten tulisi arvioida erityisesti, onko laitoksella käytössään ICT:n ulkoistamista koskevan riskin tunnistamiseksi, ymmärtämiseksi ja mittaamiseksi tehokas toimintamalli ja erityisesti kontrollit ja kontrolliympäristö, joilla voidaan vähentää ulkoistettuja olennaisia ICT-palveluja koskevia riskejä ja jotka ovat oikein suhteutettuja yhtiön kokoon, toimintaan ja ICT-riskiprofiiliin. Toimintamallissa tulisi olla seuraavat:

• a. Arviointi ICT:n ulkoistamisen vaikutuksesta yhtiön riskienhallintaan, joka koskee palveluntarjoajien käyttöä (esim. pilvipalvelujen tarjoajat) ja niiden tarjoamia palveluja hankintaprosessissa. Arviointi on dokumentoitava, ja toimivan johdon tai ylimmän hallintoelimen tulisi ottaa se huomioon tehdessään päätöstä palvelujen ulkoistamisesta. Yhtiön tulisi arvioida ICT-riskien hallintaperiaatteet, ICT:n valvontajärjestelyt ja palveluntarjoajan valvontaympäristö varmistaakseen, että ne vastaavat yhtiön sisäisiä riskienhallintatavoitteita ja riskinottohalua. Tämä arvio tulisi päivittää säännöllisin väliajoin sopimuksellisen ulkoistamisen aikana ottaen huomioon ulkoistettujen palvelujen ominaispiirteet.
• b. Ulkoistettuihin palveluihin liittyvien ICT-riskien seuranta sopimuksellisen ulkoistamisen aikana osana yhtiön riskienhallintaa, ja seurantatietojen sisällyttäminen yhtiön ICT-riskien hallintaa koskevaan raportointiin (esim. liiketoiminnan jatkuvuutta koskeva raportointi, turvallisuusraportointi).
• c. Palvelutasojen määrän seuranta ja vertaaminen sopimuksissa sovittuihin palvelutasoihin. Tämän tulisi olla osa ulkoistamissopimusta tai palvelutasosopimusta.
• d. Riittävästi henkilöstöä, resursseja ja toimivaltuuksia ulkoistetuista palveluista johtuvien ICT-riskien seurantaa ja hallintaa varten.