| ICT-riskiluokat | ICT-riskit (esimerkkejä10 ) | Riskin kuvaus | Esimerkkejä | |
| ICT:n saatavuutta ja jatkuvuutta koskevat riskit | Riittämätön kapasiteetinhalli nta ICT-järjestelmähäiriö t Riittämätön ICT:n jatkuvuuden ja vakavasta virhetilanteesta palautumisen suunnittelu | Puutteelliset resurssit (esim. laitteistot, ohjelmistot, henkilöstö, palveluntarjoajat) voivat johtaa siihen, ettei palvelua kyetä mitoittamaan liiketoiminnan tarpeisiin, järjestelmähäiriöihin, palvelun huononee ja/tai tehdään operatiivisia virheitä. Käytettävyyden menettäminen laitteistohäiriöiden vuoksi. Käytettävyyden menettäminen ohjelmistohäiriöiden ja - virheiden vuoksi. ICT:n suunnitellun käytettävyyden ja/tai jatkuvuutta koskevien ratkaisujen ja/tai vakavasta virhetilanteesta palautumisen epäonnistuminen (esim. datakeskuksen varalaitteiston käytöstä toipuminen) häiriötilanteessa. | • • • • • • | Kapasiteettivaje saattaa heikentää siirtonopeutta ja verkon (internetin) käytettävyyttä internetpankkitoimintoihin ja muihin palveluihin. Henkilöstövaje (yhtiön sisäinen tai kolmas osapuoli) voi johtaa järjestelmähäiriöihin ja/tai operatiivisiin virheisiin. Tallennuksen (kovalevyjen), serverin tai muun ICT-laitteiston häiriöt/viat, jotka johtuvat esim. puutteellisesta ylläpidosta. Päättymätön silmukka sovellusohjelmistossa estää transaktion suorittamisen. Katkokset, jotka johtuvat edelleen käytössä olevista vanhentuneista ICT-järjestelmistä ja -ratkaisuista, jotka eivät enää täytä nykyisiä käytettävyys- ja häiriönsietovaatimuksia ja/tai niihin ei enää saada myyjän tukea. Ensisijaisen ja toissijaisen datakeskuksen väliset kokoonpanoerot saattavat johtaa varalla olevan datakeskuksen kyvyttömyyteen turvata palvelun jatkuvuus suunnitellusti. |
| ICT-riskiluokat | ICT-riskit (esimerkkejä10 ) Toiminta-katkoksia ja tuhoja aiheuttavat kyberhyökkäyks et | Riskin kuvaus Eri tarkoituksissa tehdyt hyökkäykset (esim. aktivismi, kiristys), jotka johtavat järjestelmien ja verkon ylikuormittumiseen ja estävät sähköisten laskentapalvelujen laillisia käyttäjiä käyttämästä niitä. | Esimerkkejä • | Hajautettuja palvelunestohyökkäyksiä tehdään hakkereiden kaappaamien lukuisten tietokonejärjestelmien avulla internetissä lähettämällä suuria määriä luotettavilta vaikuttavia palvelupyyntöjä internet-palveluihin (esim. sähköinenpankkitoiminta) . |
| ICT:n turvallisuusriskit | Kyberhyökkäyks et ja muut ICT-pohjaiset hyökkäykset yhtiön ulkopuolelta | Internetistä tai yhtiön ulkopuolisista verkoista tehdyt hyökkäykset eri tarkoituksissa (esim. petokset, vakoilu, aktivismi/sabotaasi, kyberterrorismi) ja eri tekniikoilla (esim. käyttäjän manipulointi, tunkeutumisyritykset haavoittuvuuksia hyödyntämällä, haittaohjelmien käyttö), mikä johtaa sisäisten ICT-järjestelmien haltuun ottamiseen. Hakkereiden tekemät vilpilliset maksutapahtumat, jotka suoritetaan murtamalla tai kiertämällä sähköisten pankki- ja maksupalvelujen tietoturva ja/tai hyökkäämällä ja hyödyntämällä yhtiön sisäisten maksujärjestelmien tietoturvahaavoittuvuuksia . Vilpilliset arvopaperikaupat, joita hakkerit suorittavat murtamalla tai kiertämällä sellaisten sähköisten pankkipalvelujen tietoturvan, joiden kautta on pääsy myös asiakkaiden arvopaperitileille. | Erityyppisiä • • • • • • • | hyökkäyksiä: Edistynyt pitkäkestoinen uhka, joka koskee sisäisten järjestelmien haltuun ottamista tai tietojen anastamista (esim. identiteettivarkauden yhteydessä tapahtuva luottokorttitietojen ja muiden tietojen anastaminen). Haittaohjelmat (esim. kiristysohjelmat), jotka salaavat tiedot kiristystarkoituksessa. Troijan hevosten tartuttaminen sisäisiin ICT-järjestelmiin tarkoituksena tehdä järjestelmää haittaavia toimia salaisesti. ICT-järjestelmän ja/tai (verkko)sovellusten haavoittuvuuksien hyödyntäminen (esim. SQL-injektiojne.) tarkoituksena päästä sisäiseen ICT-järjestelmään. Sähköisiin pankkipalveluihin tai maksupalveluihin kohdistuvat hyökkäykset, joiden tarkoituksena on tehdä luvattomia transaktioita. Vilpillisten maksutapahtumien luominen ja lähettäminen ulos yhtiön sisäisistä maksujärjestelmistä (esim. vilpilliset SWIFT-viestit). Niin sanotut pump and dump -hyökkäykset, joissa hakkerit pääsevät sähköisessä pankkitoiminnassa asiakkaille tarjottaville arvopaperitileille ja tekevät vilpillisiä osto- tai myyntimääräyksiä vaikuttaakseen markkinahintoihin ja/tai tekevät voittoa |
| ICT-riskiluokat ICT-riskiluokat | ICT-riskit (esimerkkejä10 ) ICT:n riittämätön sisäinen turvallisuus ICT-riskit (esimerkkejä10 ) ICT:n riittämätön fyysinen turvallisuus | Riskin kuvaus Hyökkäykset viestintäyhteyksiin ja kaikenlaisiin keskusteluihin tai ICT-järjestelmiin tarkoituksena kerätä tietoja ja/tai tehdä petoksia. Luvaton tunkeutuminen kriittisiin ICT-järjestelmiin yhtiön sisällä eri tarkoituksissa (esim. petokset, luvattoman kaupankäynnin suorittaminen ja salaaminen, tietovarkaudet, aktivismi/sabotaasi) ja monilla eri tekniikoilla (esim. käyttämällä väärin ja/tai laajentamalla käyttöoikeuksia, identiteettivarkauksilla, käyttäjän manipuloinnilla, hyödyntämällä ICT-järjestelmien haavoittuvuuksia ja käyttämällä haittaohjelmia). ICT:n luvaton muuntelu riittämättömien ICT:n käyttöoikeusmenettelyjen ja -käytäntöjen vuoksi. Tietoturvauhat, jotka johtuvat turvallisuustietoisuuden puutteesta, kun työntekijät eivät ymmärrä tai noudata ICT:n turvaperiaatteita ja -menettelyjä tai lyövät ne laimin. Riskin kuvaus Luottamuksellisten tietojen luvaton tallentaminen tai siirtäminen yhtiön ulkopuolelle. ICT-omaisuuden väärinkäyttö tai anastaminen murtautumalla ICT-laitteisiin fyysisesti aiheuttaen vahinkoja, menetettyä omaisuutta tai tietoja tai mahdollistamalla muut uhat. Tarkoituksellinen tai tahaton fyysisen ICT-omaisuuden vahingoittaminen terrorismin, onnettomuuksien tai yhtiön henkilöstön ja/tai kolmansien osapuolten (alihankkijoiden, korjaajien) epäonnistuneiden/virheellisten käsittelytoimenpiteiden vuoksi. Riittämätön fyysinen suojautuminen luonnonkatastrofeilta, mikä johtaa ICT-järjestelmien/datakeskusten osittaiseen tai täydelliseen tuhoutumiseen luonnonkatastrofeissa. | Esimerkkejä • • • • • • • • • Esimerkkejä • • • • • | arvopapereille aiemmin avatuilla positioilla. Salakuuntelu tai selväkielitekstinä lähetettyjen suojaamattomien todennustietojen sieppaaminen. Näppäinpainalluksia tallentavien ohjelmien asentaminen käyttäjätunnuksien ja salasanojen anastamiseksi tarkoituksena käyttää luvattomasti luottamuksellisia tietoja ja/tai tehdä petoksia. Heikkojen salasanojen murtaminen/arvaaminen luvattomien tai laajempien käyttöoikeuksien hankkimiseksi. Järjestelmävalvoja käyttää käyttöjärjestelmiä tai tietokannan apuohjelmia (tehdäkseen muutoksia suoraan tietokantaan) vilpillisessä tarkoituksessa. Tarpeettomien tilien sulkemisen tai poistamisen laiminlyönti esim. henkilöstön vaihtaessa tehtäviä ja/tai jättäessä yhtiön tai kun alihankkijat eivät enää tarvitse käyttöoikeuksia, mikä mahdollistaa luvattoman tunkeutumisen ICT-järjestelmiin. Liian laajojen käyttöoikeuksien myöntäminen, mikä mahdollistaa luvattoman käytön ja/tai mahdollistaa epärehelliset toimet. Työntekijät, jotka harhautetaan antamaan apua hyökkäyksessä (esim. käyttäjän manipulointi). Tunnistetietoja koskevat huonot käytännöt: salasanojen jakaminen, helposti arvattavien salasanojen käyttäminen, saman salasanan käyttäminen moniin eri tarkoituksiin jne. Salaamattomien luottamuksellisten tietojen tallentaminen kannettaviin tietokoneisiin ja siirrettäviin tiedontallennusratkaisuihin (esim. USB-muistitikuille), jotka voidaan kadottaa tai varastaa. Henkilöt, jotka varastavat tai vuotavat tarkoituksellisesti tai vievät laitoksesta salaa tietoja valtuudettomille tai muille ulkopuolisille henkilöille. Fyysinen murtautuminen toimistorakennuksiin ja/tai datakeskuksiin ICT-laitteiden (esim. tietokoneiden, kannettavien tai tallennusratkaisujen) anastamiseksi ja/tai tietojen kopioimiseksi pääsemällä fyysisesti ICT-järjestelmien luo. Fyysisen terrorismi (esim. pommi-iskut) tai ICT-omaisuuden sabotointi. Datakeskuksen tuhoutuminen tulipalon, vesivahingon tai muiden tekijöiden vuoksi. Maanjäristykset, helleaallot, myrskytuulet, voimakkaat lumimyrskyt, tulvat, tulipalot, ukkosmyrskyt. |
| ICT:n muutosriskit | ICT-järjestelmien muutosten ja kehittämistyön riittämätön valvonta | Muutosten aiheuttamat virheet tai haavoittuvuudet, jotka jäävät havaitsematta ja aiheuttavat häiriöitä (esim. muutosten odottamattomat vaikutukset tai muutosten huono hallinta riittämättömän testauksen tai virheellisten muutostenhallintakäytäntöjen vuoksi) esim. ohjelmistoihin, ICT-järjestelmiin ja tietoihin. | • • • | Tuotannossa otetaan käyttöön uusia, riittämättömästi testattuja ohjelmistoja tai kokoonpanomuutoksia, joilla on odottamattomia haittavaikutuksia tietoihin (esim. tietojen korruptoituminen tai poistaminen) ja/tai ICT-järjestelmien suorituskykyyn (esim. järjestelmän kaatuminen tai suorituskyvyn heikkeneminen). ICT-järjestelmiin tai tuotantoympäristössä oleviin tietoihin tehdään muutoksia, joita ei valvota. Tuotannossa otetaan käyttöön heikosti suojattuja ICT-järjestelmiä ja internetsovelluksia, mikä luo hakkereille tilaisuuksia hyökätä yhtiön tarjoamiin internetpalveluihin ja/tai murtautua yhtiön sisäisiin |
| ICT-riskiluokat | ICT-riskit (esimerkkejä10 ) Riittämätön ICT-arkkitehtuuri Elinkaaren ja korjausten riittämätön hallinta | Riskin kuvaus ICT-arkkitehtuurin heikko hallinta ICT-järjestelmien (esim. ohjelmistojen, laitteistojen ja tietojen) suunnittelun, kehittämisen ja ylläpidon yhteydessä voi johtaa ajan mittaan monimutkaisiin, vaikeisiin, kalliisti hallinnoitaviin ja joustamattomiin ICT-järjestelmiin, jotka eivät enää vastaa riittävästi liiketoiminnan tarpeita ja eivätkä täytä riskienhallinnan todellisia vaatimuksia. Ei kyetä pitämään yllä riittävää ICT-omaisuusluetteloa, joka tukee ja täydentää elinkaaren ja korjausten moitteettomia hallintakäytäntöjä. Tämä johtaa riittämättömästi korjattuihin (ja siten haavoittuvampiin) ja vanhentuneisiin ICT-järjestelmiin, jotka eivät ehkä tue liiketoiminnan ja riskien hallintatarpeita. | Esimerkkejä • • • • • | ICT-järjestelmiin. Yhtiön sisällä kehitettyjen ohjelmistojen lähdekoodin hallitsemattomat muutokset. Riittämätön testaus asianmukaisen testiympäristön puuttumisen vuoksi. Riittämättömästi hallitut ja pitkään vievät muutokset ICT-järjestelmiin, ohjelmistoihin ja/tai tietoihin, mikä johtaa monimutkaisiin, epäyhtenäisiin ja vaikeasti hallittaviin ICT-järjestelmiin ja -arkkitehtuureihin aiheuttaen monia haittavaikutuksia liiketoiminnan ja riskien hallintaan (esim. riittämätön joustavuus ja ketteryys, ICT:n häiriö- ja vikatilanteet, korkeat käyttökustannukset, ICT:n tietoturvan ja häiriönsietokyvyn heikkeneminen, tietojen laadun ja raportointivalmiuksien heikkeneminen). Kaupallisten ohjelmistopakettien liiallinen räätälöinti ja laajentaminen yhtiön sisäisesti kehitettyjen ohjelmistojen kanssa, minkä vuoksi kaupallisten ohjelmistojen tulevia julkaisuversioista ei voida ottaa käyttöön ja riski myyjän tuen loppumisesta kasvaa. Korjaamattomat ja vanhentuneet ICT-järjestelmät, jotka saattavat vaikuttaa haitallisesti liiketoiminnan ja riskien hallintaan (esim. joustavuuden ja ketteryyden puute, ICT:n käyttökatkokset, ICT:n turvallisuuden ja häiriönsietokyvyn heikkeneminen). |
| ICT-tiedon eheysriskit | ICT-tiedon prosessoinnin tai käsittelyn | Järjestelmässä, tiedonsiirrossa ja/tai sovelluksissa ilmenevät virheet tai häiriöt tai virheellisesti suoritettu tiedon poiminta-, siirto- ja latausprosessi (extraction, | • • | IT-järjestelmävirhe eräkäsittelyssä, mikä aiheuttaa virheellisiä saldoja asiakkaan pankkitileillä. Väärin suoritetut kyselyt. |
| ICT-riskiluokat | ICT-riskit (esimerkkejä10 ) häiriöt Huonosti suunnitellut kontrollit tietojen validoinnissa ICT-järjestelmissä Huonosti kontrolloidut tietomuutokset tuotannon ICT-järjestelmissä Huonosti suunnitellut ja/tai hallitut tietoarkkitehtuu rit, tietovuot, tietomallit tai tietohakemistot | Riskin kuvaus transfer and load process, ETL) voivat johtaa tietojen korruptoitumiseen tai menettämiseen. Virheet, jotka liittyvät puuttuvaan tai tehottomaan tietojen automaattista syöttöä ja hyväksymistä koskeviin kontrolleihin (esim. kolmansien osapuolten tietoihin käytettävät), tiedon siirtoa, käsittelyä ja saatuja tietoja koskeviin kontrolleihin ICT-järjestelmissä (esim. syöttötietojen kelpuutusta koskevat kontrollit ja tietojen täsmäytykset). Tietoihin päätyy virheitä, koska tuotannon ICT-järjestelmiin tehtyjen tietomuutosten virheettömyyttä ja aiheellisuutta ei valvota . Huonosti hallitut tietoarkkitehtuurit, tietomallit, tietovuot tai tietohakemistot voivat johtaa siihen, että samoista tiedoista on monta eri versiota eri ICT-järjestelmissä, jotka eivät ole enää yhdenmukaisia eri tavoilla käytettyjen tietomallien tai tietomääritelmien vuoksi ja/tai erot tietojen luonti- ja muutosprosessissa. | Esimerkkejä • • • • • • • | Tietojen menetys niiden replikoinnissa (varmuuskopioinnissa) ilmenevän virheen vuoksi. Syöttötietojen riittämätön tai virheellinen alustaminen/kelpuutus sovelluksissa ja/tai käyttöliittymissä. Saatujen tietojen (output data) täsmäytystä koskevien kontrollien puuttuminen Suoritettujen tiedonpoimintaprosessien (esim. tietokantakyselyjen) kontrollien puuttuminen, mikä johtaa virheellisiin tietoihin. Yhtiön ulkopuolelta saatujen virheellisten tietojen käyttö. Järjestelmien kehittäjät tai tietokantojen admin-käyttäjät pääsevät suoraan ja ilman valvontaa käyttämään ja muuttamaan tuotannossa käytettävien ICT-järjestelmien tietoja esimerkiksi ICT:n häiriötilanteessa. Tietystä tuotteesta tai liiketoimintayksiköstä on olemassa erilaisia asiakastietokantoja, joissa käytetään erilaisia tietomääritelmiä ja tietokenttiä, mikä johtaa täsmäyttämättömiin ja vaikeasti verrattaviin ja integroitaviin asiakastietoihin koko rahoitusyhtiön tai ryhmän tasolla. |
| ICT:n ulkoistamista koskevat riskit | Kolmannen osapuolen tai ryhmän jonkin toisen yksikön tarjoamien palvelujen puuteellinen häiriönsietokyky | Kriittiset ulkoistetut ICT-palvelut, tietoliikennepalvelut ja apuohjelmat eivät ole käytettävissä. Kolmannelle osapuolelle uskottujen kriittisten/arkaluonteisten tietojen menetys tai korruptoituminen | • • • | Keskeiset palvelut eivät ole käytettävissä toimittajien (ulkoistetuissa) ICT-järjestelmissä tai -sovelluksissa ilmenevien virheiden vuoksi. Tietoliikenneyhteyksien katkeaminen. Häiriö sähkönsaannissa. |
| ICT-riskiluokat | ICT-riskit (esimerkkejä10 ) Ulkoistamisen riittämätön hallinta Kolmannen osapuolen tai ryhmän jonkin toisen yksikön puuteellinen tietoturva | Riskin kuvaus Palvelun merkittävä heikkeneminen tai merkittävät häiriöt ulkoistetun palvelun tuottajan heikon varautumisen tai tehottomien kontrollien vuoksi. Ulkoistamisen tehoton hallinta saattaa johtaa siihen, ettei yhtiöllä ole asianmukaista osaamista ja asianmukaisia valmiuksia ICT-riskien täydelliseen tunnistamiseen, arviointiin, vähentämiseen ja seurantaan, ja saattaa heikentää yhtiön toimintavalmiutta. Murtautuminen ulkopuolisten palveluntarjoajien ICT-järjestelmiin, millä on suora vaikutus ulkoistettuihin palveluihin tai palveluntarjoajan järjestelmiin tallennettuihin kriittisiin/luottamuksellisiin tietoihin. Palveluntarjoajan henkilöstö pääsee käyttämään luvattomasti kriittisiä/arkaluonteisia tietoja, jotka on tallennettu palveluntarjoajan järjestelmiin | Esimerkkejä • • • • | Heikot häiriötilanteiden selvitysmenettelyt, sopimusten valvontamekanismit ja palveluntarjoajan sopimukseen sisällytetyt takeet, jotka lisäävät riippuvuutta kolmansista osapuolista ja myyjistä. Palveluntarjoajan ICT-ympäristöä koskevat puutteelliset muutoksenhallinnan kontrollit, voivat aiheuttaa palvelun merkittävää heikkenemistä tai häiriytymistä. Rikolliset tai terroristit murtautuvat palveluntarjoajien järjestelmiin päästäkseen yhtiöiden ICT-järjestelmiin tai saadakseen käyttöönsä tai tuhotakseen kriittisiä tai arkaluonteisia tietoja, jotka on tallennettu palveluntarjoajan järjestelmiin. Palveluntarjoajan epärehelliset työntekijät yrittävät anastaa tai myydä arkaluonteisia tietoja. |