55. Toimivaltaisten viranomaisten tulisi arvioida, onko laitoksella käytössään tehokas järjestelmä …

Toimivaltaisten viranomaisten tulisi arvioida, onko laitoksella käytössään tehokas järjestelmä ICT:n turvallisuusriskin tunnistamista, ymmärtämistä, mittaamista ja vähentämistä varten. Tässä arvioinnissa toimivaltaisten viranomaisten tulisi ottaa huomioon erityisesti, onko järjestelmässä kiinnitetty huomiota seuraaviin:

• a. Selkeästi määritellyt tehtävät ja vastuut, jotka koskevat
• i. ICT:n päivittäisen turvallisuuden hallinnasta sekä ICT:n yleisten turvallisuusperiaatteiden laadinnasta vastaavaa ja/tai tilintekovelvollista henkilöä (henkilöitä) ja/tai toimikuntia, ja joissa kiinnitetään huomiota heidän/niiden riippumattomuuteen;
• ii. ICT-turvallisuuteen liittyvien kontrollien suunnittelua, toteutusta, hallintaa ja seurantaa;
• iii. kriittisten ICT-järjestelmien ja -palvelujen suojaamista ottamalla käyttöön esimerkiksi haavoittuvuusarviointiprosessi, ohjelmistokorjausten hallintaprosessi, päätelaitteen suojaus (esim. haittaohjelmilta ja viruksilta) sekä tunkeutumisen havaitsemis- ja estovälineet;
• iv. ICT:n turvallisuuteen vaikuttavien yhtiön ulkopuolisten tai sisäisten häiriötapahtumien seurantaa, luokittelua ja käsittelyä, kuten häiriötapahtumiin reagointia sekä ICT-järjestelmien ja -palvelujen jatkumista ja palautumista;
• v. säännöllisiä ja ennakoivia uhka-arvioita asianmukaisten kontrollien ylläpitämiseksi.
• b. ICT:n turvallisuusperiaatteet, joissa otetaan huomioon ja tarvittaessa noudatetaan kansainvälisesti tunnustettuja ICT:n turvallisuusstandardeja ja -periaatteita (esim. välttämättömien käyttöoikeuksien periaate (principle of least privilege) eli käyttöoikeuksien rajaaminen suppeimpiin oikeuksiin, jotka mahdollistavat tavanomaisen toiminnan käyttöoikeudenhallinnassa, ja monikerrossuojaamisen (”defence in depth”) periaate, jonka mukaan monitasoiset turvallisuusjärjestelyt lisäävät koko järjestelmän turvallisuutta tietoturva-arkkitehtuuria suunniteltaessa).
• c. ICT-järjestelmien ja -palvelujen oikeasuhteisten tietoturvavaatimusten määritysprosessi, jossa otetaan huomioon mahdollinen petosriski ja/tai luottamuksellisten tietojen mahdollinen väärinkäyttö ja/tai laiton käyttö sekä dokumentoidut tietoturvaodotukset, joita on noudatettava tällä tavoin määritettyjen ICT-järjestelmien, -palvelujen ja -tietojen osalta, joissa otetaan huomioon yhtiön riskinottohalu ja joita monitoroidaan niiden moitteettoman toteutuksen varmistamiseksi.
• d. Tietoturvahäiriöiden hallintaa ja eskaloitumista koskeva dokumentoitu prosessi, joka antaa myös ohjeita häiriöitilanteiden hallintaa ja eskaloitumista koskevista eri tehtävistä ja vastuista, kriisitoimikunnan (-toimikuntien) jäsenistä ja johtamisjärjestelyistä tietoturvaa koskevissa hätätilanteissa.
• e. Käyttäjien ja admin-käyttäjien sisäänkirjautumistietojen kirjaaminen, jotta luvatonta toimintaa voidaan tarkkailla tehokkaasti, se voidaan havaita nopeasti ja siihen voidaan reagoida nopeasti ja jotta voidaan tarjota apua tietoturvahäiriöiden rikostutkinnoissa tai käynnistää niitä. Yhtiöllä tulisi olla käytössään sisäänkirjautumistietoja koskevat toimintaperiaatteet, joissa määritellään ylläpidettävät asianmukaiset lokityypit ja niiden säilytysajat.
• f. Valistus- ja tiedotuskampanjat tai -aloitteet, joilla yhtiön kaikille tasoille tiedotetaan yhtiön ICT-järjestelmien turvallisesta käytöstä ja suojaamisesta sekä tärkeimmistä (ja muistakin) ICT:n turvallisuusriskeistä, joista henkilöstön tulisi olla tietoinen. Henkilöstölle tulisi tiedottaa varsinkin nykyisistä ja kehittymässä olevista kyberuhista (esim. tietokoneviruksista, mahdollisista sisäisistä tai ulkoisista väärinkäytöistä tai hyökkäyksistä ja kyberhyökkäyksistä) ja siitä, miten he voivat olla mukana vähentämässä tietoturvaloukkauksia.
• g. Riittävät fyysiset turvallisuustoimenpiteet (esim. kameravalvonta, murtohälyttimet ja turvaovet), joilla estetään pääsy kriittisten ja arkaluonteisten ICT-järjestelmien luo (esim. datakeskuksissa).
• h. Toimenpiteet, joilla ICT-järjestelmät suojataan internetistä tai muista ulkopuolisista verkoista (esim. perinteiset tietoliikenneyhteydet tai yhteydet luotettaviin kumppaneihin) tulevilta hyökkäyksiltä (esim. kyberhyökkäyksiltä). Toimivaltaisten viranomaisten tulisi arvioida, onko yhtiön toimintamallissa otettu huomioon seuraavat:
• i. Prosessi ja ratkaisut, joilla pidetään yllä täydellistä ja ajantasaista luetteloa ja yhteenvetoa kaikista yhtiön ulkopuolelle suuntautuvista verkon liitäntäpisteistä (esim. verkkosivut, internetsovellukset, WiFi, etäyhteys), joiden kautta kolmannet osapuolet voivat tunkeutua yhtiön sisäisiin ICT-järjestelmiin.
• ii. Tarkasti hallinnoidut ja monitoroidut tietoturvatoimenpiteet (esim. palomuurit, välityspalvelimet, sähköpostin välityspalvelut, virustarkistus- ja sisällön tarkistusohjelmat), jotta voidaan turvata saapuva ja lähtevä verkkoliikenne (esim. sähköposti) ja yhtiön ulkopuolelle suuntautuvat verkkoyhteydet, joiden kautta kolmannet osapuolet voivat tunkeutua yhtiön sisäisiin ICT-järjestelmiin.
• iii. Prosessit ja ratkaisut, joilla suojataan verkkosivustot ja sovellukset, joita voidaan vahingoittaa suoraan internetistä ja/tai yhtiön ulkopuolelta ja joiden kautta voidaan päästä yhtiön sisäisiin ICT-järjestelmiin. Tällaisiin prosesseihin ja ratkaisuihin sisältyy yleensä yhdistelmä tunnettuja turvallisuuden kehittämiskäytäntöjä, ICT-järjestelmien käyttörajoituksia ja haavoittuvuustarkistuksia koskevia käytäntöjä ja/tai sovellusten palomuurien ja/tai tunkeutumisen havaitsemista ja/tai ennaltaehkäisyä koskevien järjestelmien tai muiden ylimääräisten tietoturvaratkaisujen toteutusta.
• iv. Säännöllisin väliajoin suoritettava tietoturvallisuuden penetraatiotestaus, jolla arvioidaan toteutettujen kybertoimenpiteiden ja yhtiön sisäisten ICT:n tietoturvatoimenpiteiden tehokkuus. Tällaisten testien suorittajien tulisi olla riittävän asiantuntemuksen omaavaa henkilöstöä ja/tai ulkopuolisia asiantuntijoita, testitulokset tulisi dokumentoida ja päätelmät ilmoittaa toimivalle johdolle ja/tai ylimmälle hallintoelimelle. Mikäli tarpeen ja mahdollista, yhtiön tulisi hyödyntää tällaisten testien tuloksia parantaakseen turvavalvontaa ja -prosesseja entisestään ja/tai saadakseen paremman varmuuden niiden tehokkuudesta.
• (c) Merkittävien ICT -muutosriskien kontrollit

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

3. Liittyvät standardit

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/