54. Pri toj procjeni nadležna bi tijela ponajprije trebala razmotriti sljedeće: a. jesu li okvirom …

Pri toj procjeni nadležna bi tijela ponajprije trebala razmotriti sljedeće:

• a. jesu li okvirom utvrđeni ključni procesi/postupci IKT - a i odgovarajući podržavajući sustavi IKT -a koji bi trebali biti obuhvaćeni planovima za poslovnu otpornost i kontinuitet poslovanja s pomoću:
• i. sveobuhvatne analize međuovisnosti ključnih poslovnih procesa/postupaka i podržavajućih sustava;
• ii. određivanja ciljeva oporavka za podržavajuće sustave IKT - a (npr. obično određeni poslovanjem i/ili odredbama u pogledu ciljanih vremena oporavaka – RTO ili i ciljanih točki oporavka podataka - RPO);
• iii. primjerenih kriznih planova kojima se omogućuju dostupnost, kontinuitet poslovanja i oporavak ključnih sustava i usluga IKT - a kako bi se poremećaji u poslovanju institucije sveli na prihvatljive razine.
• b. jesu li okvirom obuhvaćene politike i standardi poslovne otpornosti i kontrolna okruženja kontinuiteta poslovanja te operativne kontrole koje obuhvaćaju:
• i. mjere kojima se izbjegava mogućnost da samo jedan scenarij, incident ili katastrofa utječu i na sustave IKT-a za produkciju i za oporavak;
• ii. postupke izrade pričuvnih kopija i oporavka za ključnu programsku opremu i podatke, kojima se jamči da su pričuvne kopije podataka pohranjene na sigurnom i dovoljno udaljenom mjestu kako incident ili katastrofa ne bi mogli uništiti ili oštetiti te ključne podatke;
• iii. sustave praćenja za pravodobno otkrivanje incidenata povezanih s dostupnošću ili kontinuitetom IKT-a;
• iv. dokumentiran proces/postupak za upravljanje incidentima i eskalaciju, kojim su obuhvaćene i smjernice za razne uloge i zaduženja u području upravljanja incidentima i eskalacijama, za članove kriznog odbora ili kriznih odbora i za zapovjedni lanac u slučaju kriznih situacija;
• v. fizičke mjere za zaštitu ključnih dijelova infrastrukture IKT -a institucije (npr. podatkovni centri) od rizika povezanih s okolišem (npr. poplava i drugih prirodnih nepogoda) i za osiguravanje primjerenog operativnog okruženja za sustave IKT -a (npr. klimat izacijski uređaji);
• vi. postupke, uloge i zaduženja kojima se osigurava da su i eksternalizirani sustavi i usluge IKT -a obuhvaćeni primjerenim rješenjima i planovima otpornosti i kontinuiteta poslovanja;
• vii. rješenja za planiranje i praćenje performansi te kapaciteta za ključne sustave i usluge IKT -a u skladu s definiranim zahtjevima u pogledu dostupnosti, u cilju pravodobnog uočavanja ograničenja povezanih s performansama i kapacitetom;
• viii. rješenja za zaštitu ključnih aktivnosti ili usluga pruženih putem interneta ( npr. usluge internetskog bankarstva), u slučajevima u kojima je to nužno i primjereno, od uskraćivanja usluga ili drugih internetskih kibernetičkih napada s ciljem sprečavanja ili ometanja pristupa tim aktivnostima i uslugama.
• c. provode li se unutar okvira t estiranja rješenja za dostupnost i kontinuitet IKT - a, uvažavajući niz realističnih scenarija, među kojima su i kibernetički napadi, testiranja prebacivanjem na zamjenske sustave i testiranja pričuvnih kopija za ključne programe i podatke, koja:
• i. su planir ana, formalizirana i dokumentirana, a rezultati testiranja upotrebljavaju se za poboljšanje učinkovitosti rješenja za dostupnost i kontinuitet IKT -a;
• ii. obuhvaćaju dionike i funkcije unutar organizacije, kao što je rukovodstvo poslovnih linija, uključujući t im za kontinuitet poslovanja te tim za odgovor na incidente i krizne situacije, kao i relevantne vanjske dionike;
• iii. imaju primjerenu razinu uključenosti upravljačkog tijela i višeg rukovodstva (npr. u sklopu timova za upravljanje kriznim situacijama) te ih s e obavještava o rezultatima testiranja.
• (b) Kontrole za upravljanje značajnim sigurnosnim rizicima IKT -a

1. Pregled

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

3. Povezani standardi

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.