184. Toimivaltaisten viranomaisten tulisi tieto- ja viestintätekniikka- ja turvallisuusriskin …

Toimivaltaisten viranomaisten tulisi tieto- ja viestintätekniikka- ja turvallisuusriskin⁵⁵ osalta vakuuttua siitä, että hallintakehyksellä varmistetaan luottolaitosten toimia tukevien tieto- ja viestintäjärjestelmien vakaa, luotettava ja turvallinen toiminta sekä tieto- ja viestintätekniikkariskien asianmukainen ehkäisy, seuranta ja lieventäminen normaaleina aikoina ja stressin aikana. Toimivaltaisten viranomaisten tulisi erityisesti arvioida

• (a) sitä, onko ylimmällä hallintoelimellä yleinen vastuuvelvollisuus sellaisten rahoituslaitosten tieto- ja viestintätekniikan strategian täytäntöönpanon hyväksymisestä ja valvonnasta, joka olisi yhdenmukaistettava rahoituslaitosten yleisen liiketoimintastrategian kanssa
• (b) keskeisten tehtävien ja vastuiden selkeää määritelmää ja osoittamista ja asiaankuuluvia raportointilinjoja, jotta tieto- ja viestintätekniikka- ja turvallisuusriskien hallintajärjestelmä on tehokas, myös asianmukaisten määrärahojen osoittamista, jotta voidaan tukea asianmukaisesti tieto- ja viestintätekniikan operatiivisia tarpeita ja tieto- ja viestintätekniikka- ja turvallisuusriskien hallintaa
• (c) sitä, onko tieto- ja viestintätekniikka- ja turvallisuusriskien hallinta ja valvonta osoitettu riippumattomalle ja puolueettomalle valvontatoiminnolle ja erotettu asianmukaisesti tieto- ja viestintätekniikan operatiivisista prosesseista siten, että se ei vastaa mistään sisäisestä tarkastuksesta, sekä riippumattomalle sisäiselle tarkastustoiminnolle
• (d) järjestelyjä, joilla varmistetaan liiketoimintojen yksilöinti ja vahvistaminen ja niiden ajan tasalla olevan kartoituksen ylläpito, jotta voitaisiin yksilöidä niiden kunkin merkitys ja niiden keskinäiset riippuvuudet tieto- ja viestintätekniikka- sekä turvallisuusriskien osalta
• (e) mikäli tietoja pidetään tieto- ja viestintäteknisissä järjestelmissä, sitä, onko käytössä tietoturvaa koskevat vaatimukset
• (f) tieto- ja viestintätekniikkaan liittyvien riippuvuuksien laajuutta, monimutkaisuutta ja merkitystä, jos suunnitteilla on tieto- ja viestintäteknisten palvelujen ja jonkin tieto- ja viestintäteknisen järjestelmän toiminnan ulkoistaminen – myös konsernin yhteisöille – tai kolmansien osapuolten käyttö kyseisiin tehtäviin ja toimintaan.

⁵⁵ Tieto- ja viestintätekniikka- (ICT) sekä turvallisuusriskien hallinnasta annettujen EPV:n ohjeiden määritelmän mukaan ’tieto- ja viestintätekniikka- ja turvallisuusriskillä’ tarkoitetaan tappion riskiä, joka johtuu salassapitovelvollisuuden rikkomisesta, järjestelmien ja datan eheyden rikkoutumisesta, järjestelmien ja datan sopivuudessa tai saatavuudessa olevista ongelmista tai siitä, että tietotekniikkaa ei pystytä vaihtamaan kohtuullisen ajan kuluessa ja kohtuullisin kustannuksin, kun ympäristö- ja liiketoimintavaatimukset muuttuvat (ts. joustavuus). Tähän kuuluvat turvallisuusriskit, jotka johtuvat riittämättömistä tai epäonnistuneista sisäisistä prosesseista tai ulkoisista tapahtumista, muun muassa kyberhyökkäyksistä tai riittämättömästä fyysisestä turvallisuudesta.

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

3. Liittyvät standardit

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/