4.6 Tieto- ja viestintätekniikka- sekä turvallisuusriskien hallinta

Luotto- ja finanssilaitosten olisi tunnistettava ja hallittava tieto- ja viestintäteknisiä riskejään ja turvallisuusriskejään, jotka liittyvät etätunnistamisratkaisuilla toteutettavaan asiakassuhteen perustamisprosessiin, myös silloin, kun luotto- ja finanssilaitokset käyttävät kolmansia osapuolia tai kun palvelu on ulkoistettu, myös konserniyhteisöille.

Sen lisäksi, että luotto- ja finanssilaitosten on soveltuvissa tapauksissa noudatettava tieto- ja viestintätekniikka- (ICT) sekä turvallisuusriskien hallintaa koskevissa EPV:n ohjeissa¹⁰ asetettuja vaatimuksia, niiden olisi käytettävä suojattuja viestintäkanavia vuorovaikutuksessa asiakkaan kanssa etätunnistamisratkaisuilla toteutettavan asiakassuhteen perustamisprosessin aikana. Asiakassuhteen perustamisessa käytettävässä etätunnistamisratkaisussa olisi tarvittaessa käytettävä suojattuja protokollia ja salausalgoritmeja alan parhaiden käytäntöjen mukaisesti vaihdettavien tietojen luottamuksellisuuden, aitouden ja eheyden turvaamiseksi.

¹⁰ EBA/GL/2019/04

Luotto- ja finanssilaitosten olisi etätunnistamisratkaisuilla toteutettavan asiakassuhteen perustamisprosessin käynnistämistä varten tarjottava turvallinen liityntä joko asetuksen (EU) N:o 910/2014 3 artiklan 30 kohdassa tarkoitetulla sähköisellä leimalla hyväksyttyihin varmenteisiin tai mainitun asetuksen 3 artiklan 39 kohdassa tarkoitetulla verkkosivustojen todentamisen hyväksytyillä varmenteella. Asiakkaalle olisi myös tiedotettava sovellettavista turvatoimenpiteistä, jotka olisi toteutettava järjestelmän turvallisen käytön varmistamiseksi.

Jos etätunnistamisratkaisuilla toteutettavassa asiakassuhteen perustamisprosessissa käytetään monikäyttölaitetta, tulisi soveltuvissa tapauksissa käyttää suojattua ympäristöä ohjelmistokoodin suorittamiseen asiakkaan puolella. Olisi toteutettava lisäturvatoimenpiteitä, joilla varmistetaan ohjelmistokoodin ja kerättyjen tietojen turvallisuus ja luotettavuus EPV:n tieto- ja viestintätekniikka- sekä turvallisuusriskien hallintaa koskevissa ohjeissa vahvistetun turvallisuusriskien arvioinnin mukaisesti.