57. Toimivaltaisten viranomaisten tulisi arvioida, onko laitoksella käytössään ICT-tiedon …

Toimivaltaisten viranomaisten tulisi arvioida, onko laitoksella käytössään ICT-tiedon eheysriskin tunnistamiseksi, ymmärtämiseksi, mittaamiseksi ja vähentämiseksi tehokas toimintamalli, joka on oikein suhteutettu yhtiön toimintojen luonteeseen, laajuuteen ja monimuotoisuuteen sekä ICT-riskiprofiiliin. Yhtiön toimintamallissa tulisi ottaa huomioon riskit, jotka liittyvät ICT-järjestelmiin tallennetun tai niissä käsitellyn tiedon eheyden säilyttämiseen. Tässä arvioinnissa toimivaltaisten viranomaisten tulisi ottaa huomioon erityisesti, onko toimintamallissa kiinnitetty huomiota seuraaviin:

• a. toimintaperiaatteet, joissa määritellään ICT-järjestelmissä olevan tiedon eheyden hallintaa koskevat tehtävät ja vastuut (esim. tietoarkkitehti (data architect), tiedonhallintavastaavat (data officers)⁶ , tiedon hoitaja (data custodian)⁷ data owners/stewards⁸ ) ja jotka tarjoavat ohjeita siitä, mitkä tiedot ovat tiedon eheyden kannalta kriittisiä ja edellyttävät erityisiä ICT kontrolleja (esim. syötettävän tiedon kelpoisuuden automaattiset tarkistukset, tiedonsiirron valvontajärjestelyt, täsmäytykset jne.) tai tarkastuksia (esim. yhteensopivuustarkastusta tietoarkkitehtuurin kanssa) ICT-tiedon elinkaaren eri vaiheissa;
• b. dokumentoitu tietoarkkitehtuuri, tietomalli ja/tai tietohakemisto, jonka liiketoiminnan ja tietotekniikan sidosryhmät validoivat ja jonka tarkoituksena on tukea tarvittavaa tiedon yhtenäisyyttä eri ICT-järjestelmissä sekä varmistaa, että tietoarkkitehtuuri, tietomalli ja/tai tietohakemisto vastaavat liiketoiminnan ja riskienhallinnan tarpeita;
• c. toimintaperiaatteet, jotka koskevat itsenäiskäyttöä (End User Computing) ja varsinkin tärkeiden itsenäiskäyttöä koskevien ratkaisujen määrittämistä, rekisteröintiä ja dokumentointia (esim. tärkeiden tietojen käsittelyn yhteydessä), sekä odotetut turvallisuustasot luvattomien muutosten estämiseksi sekä itse välineessä että siihen tallennetuissa tiedoissa;
• d. poikkeusten käsittelyä koskevat dokumentoidut prosessit, joilla ratkotaan ICT-tiedon eheydessä havaittuja ongelmia tietojen tärkeyden ja arkaluonteisuuden mukaan.

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

3. Liittyvät standardit

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/