54. Tässä arvioinnissa toimivaltaisten viranomaisten tulisi ottaa huomioon toimintamallista …

Tässä arvioinnissa toimivaltaisten viranomaisten tulisi ottaa huomioon toimintamallista erityisesti seuraavat seikat:

• a. Siinä tunnistetaan kriittiset ICT-prosessit ja niitä tukevat järjestelmät, joiden tulisi olla osa liiketoiminnan jatkuvuutta koskevia suunnitelmia, ja siihen sisältyy
• i. kattava analyysi kriittisten liiketoimintaprosessien ja tukijärjestelmien riippuvuussuhteista;
• ii. kriittisiä prosesseja tukevien tietojärjestelmien palautumistavoitteet (määritys suoritetaan tavallisesti liiketoiminnassa ja/tai määräyksissä palautusaikatavoitteen ja palautuspistetavoitteen avulla);
• iii. asianmukainen jatkuvuussuunnitelma, joka mahdollistaa kriittisten ICT-järjestelmien ja - palvelujen saatavuuden, jatkuvuuden ja palautumisen, jotta yhtiön toiminnoille aiheutuisi mahdollisimman vähän häiriöitä siedettävän ajan kuluessa.
• b. Siinä on liiketoiminnan häiriönsietokykyä ja jatkuvuuden hallintaympäristöä koskevat toimintaperiaatteet ja vaatimukset sekä kontrollit, joihin sisältyy
• i. toimenpiteitä, joilla estetään yksittäisen skenaarion tai häiriö- tai poikkeustilanteen mahdollinen vaikutus sekä ICT:n tuotanto- että varajärjestelmiin;
• ii. ICT-järjestelmien varmistus- ja palautusmenettelyt, jotka koskevat kriittisiä ohjelmistoja ja tietoja ja joilla varmistetaan, että varmuuskopiot tallennetaan turvalliseen ja riittävän etäiseen paikkaan, jotta tärkeät tiedot eivät voi tuhoutua tai korruptoitua häiriö- tai hätätilanteessa;
• iii. valvontaratkaisuja, joiden avulla ICT:n saatavuutta tai jatkuvuutta koskevat häiriöt voidaan havaita nopeasti;
• iv. häiriötilanteiden hallintaa ja eskaloitumista koskeva dokumentoitu prosessi, joka tarjoaa myös ohjeita häiriöitilanteiden hallintaa ja eskaloitumista koskevista eri tehtävistä ja vastuista, kriisitoimikunnan ( - toimikuntien) jäsenistä ja johtamisjärjestelyistä hätätilanteissa;
• v. konkreettisia toimenpiteitä, joilla sekä suojataan yhtiön kriittinen ICT-infrastruktuuri (esim. datakeskukset) ympäristöriskeiltä (esim. tulvilta ja muilta luonnonkatastrofeilta) että varmistetaan ICT-järjestelmille asianmukainen käyttöympäristö (esim. ilmastointi);
• vi. prosesseja, tehtäviä ja vastuita, joilla varmistetaan, että myös ulkoistetut ICT-järjestelmät ja -palvelut kuuluvat liiketoiminnan häiriönsietokykyä ja jatkuvuutta koskevien asianmukaisten ratkaisujen ja suunnitelmien piiriin;
• vii. ICT:n suorituskyvyn ja kapasiteetin suunnittelu- ja valvontaratkaisuja, jotka koskevat kriittisiä ICT-järjestelmiä ja -palveluja ja joissa on määritelty saatavuusvaatimuksia, jotta merkittävät suorituskyky- ja kapasiteettirajoitteet voidaan havaita nopeasti;
• viii. ratkaisuja, joilla kriittiset internettoiminnot tai -palvelut (esim. sähköiset pankkipalvelut) suojataan tarvittaessa internetissä tapahtuvilta palvelunestohyökkäyksiltä ja muilta kyberhyökkäyksiltä, joiden tavoitteena on estää tällaisten toimintojen ja -palvelujen käyttö tai häiritä sitä.
• c. Siinä testataan ICT:n saatavuuden ja jatkuvuuden turvaavia ratkaisuja realistisilla skenaarioilla, kuten kyberhyökkäyksillä, varajärjestelyihin siirtymistä koskevilla testeillä ja kriittisten ohjelmistojen ja tietojen varmuuskopioiden testauksilla,
• i. jotka ovat suunniteltuja, muodollisia ja dokumentoituja ja joissa testituloksia käytetään ICT:n saatavuutta ja jatkuvuutta koskevien ratkaisujen tehostamiseksi;
• ii. joihin sisältyy organisaation sidosryhmiä ja toimintoja, kuten liiketoiminta-alueiden johtoryhmiä sekä liiketoiminnan jatkuvuudesta, häiriötilanteista ja kriisitoiminnasta vastaavia ryhmiä sekä yhtiön ulkopuolisia sidosryhmiä, jotka kuuluvat ekosysteemiin;
• iii. joihin ylin hallintoelin ja toimiva johto osallistuvat asiaankuuluvasti (esim. osana kriisinhallintaryhmää) ja joiden tulokset ilmoitetaan näille.
• (b) Merkittävien ICT turvallisuusriskien kontrollit

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

3. Liittyvät standardit

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/