55. Nadležna tijela trebala bi procijeniti postoji li u instituciji učinkovit okvir za utvrđivanje …

Nadležna tijela trebala bi procijeniti postoji li u instituciji učinkovit okvir za utvrđivanje, razumijevanje, mjerenje i smanjenje sigurnosnog rizika IKT- a. Pri toj procjeni nadležna bi tijela ponajprije trebala razmotriti obuhvaća li taj okvir sljedeće:

• a. jasno definirane uloge i zaduženja u pogledu:
• i. svih osoba i/ili odbora zaduženih i/ili odgovornih za svakodnevno sigurnosno upravljanje IKT - om i za razvoj općih sigurnosnih politika IKT -a, s posebnim naglaskom na potrebu za njihovom neovisnošću;
• ii. osmišljavanja, provedbe i praćenja sigurnosnih kontrola IKT -a te upravljanja njima;
• iii. zaštite ključnih sustava i usluga IKT -a usvajanjem, primjerice, postupaka za provjeru ranjivosti, upravljanja programskim zakrpama, zaštite na krajnjim točkama (npr. od zlonamjernih sadržaja ili virusa) i alata za detekciju i sprečavanje upada;
• iv. praćenja i razvrstavanja vanjskih ili unutarnjih sigurnosnih incidenata IKT -a te postupanja s njima, uključujući reagiranje na incidente te ponovno osposobljavanje i oporavak sustava i usluga IKT-a;
• v. redovitih i proaktivnih procjena prijetnji kojima se osiguravaju primjerene sigurnosne kontrole.
• b. sigurnosnu politiku IKT- a koja uzima u obzir međunarodno priznate sigurnosne standarde i načela IKT- a (npr. načelo „najmanjih povlastica“ u upravljanju pristupnim pravima, odnosno ograničavanje pristupa na najmanju moguću razinu s kojom će biti moguće normalno funkcioniranje i načelo „obrane u dubinu“ u dizajniranju sigurnosne arhitekture, tj. slojeviti sigurnosni mehanizmi kojima se povećava sigurnost cijelog sustava) i koja ih se pridržava u slučajevima u kojima je to primjereno;
• c. postupak za utvrđivanje sustava, usluga i raz mjernih sigurnosnih zahtjeva IKT-a, koji su razmjerni mogućem riziku od prijevara i/ili mogućoj pogrešnoj uporabi i/ili zlouporabi povjerljivih podataka, te dokumentiranih sigurnosnih očekivanja kojih se treba pridržavati kad je riječ o tim utvrđenim susta vima, uslugama i podatcima, koji su usklađeni s tolerancijom rizika institucije i čija se ispravna provedba nadgleda;
• d. dokumentiran postupak za upravljanje sigurnosnim incidentima i eskalaciju, kojim se pružaju smjernice za razne uloge i zaduženja povezana s upravljanjem incidentima i eskalacijama, za članove kriznog odbora ili kriznih odbora i za zapovjedni lanac u slučaju sigurnosnih kriznih situacija;
• e. evidentiranje aktivnosti korisnika i administratora radi učinkovitog praćenja i pravodobnog uočavanja neovlaštenih aktivnosti i reagiranja na njih te radi olakšavanja i provedbe istraga o sigurnosnim incidentima. U instituciji trebaju postojati politike upravljanja zapisima kojima su definirane primjerene vrste zapisa koje se trebaju bilježiti, kao i razdoblje njihova čuvanja;
• f. kampanje ili inicijative s ciljem podizanja svijesti i informiranja kojima će se sve razine institucije informirati o sigurnoj uporabi i zaštiti sustava IKT -a institucije te o glavnim sigurnosnim (i drugim) rizicima IKT-a kojih trebaju b iti svjesni, osobito u pogledu postojećih i novorazvijenih kibernetičkih prijetnji (npr. računalni virusi, moguće unutarnje ili vanjske zlouporabe ili napadi, kibernetički napadi) i njihove uloge u ublažavanju povreda sigurnosti;
• g. primjerene fizičke sigurno sne mjere (npr. nadzorne kamere, protuprovalni alarm, sigurnosna vrata) za sprječavanje neovlaštenog fizičkog pristupa ključnim i osjetljivim sustavima IKT -a (npr. podatkovni centri);
• h. mjere za zaštitu sustava IKT - a od internetskih napada (tj. kibernetički h napada) ili napada iz drugih vanjskih mreža (npr. tradicionalne telekomunikacijske veze ili veze s pouzdanim partnerima). Nadležna tijela trebala bi preispitati obuhvaća li okvir institucije sljedeće:
• i. postupak i rješenja za održavanje potpune i ažurne evidencije i pregleda svih izloženih točaka za povezivanje na mrežu (npr. internetske stranice, internetske aplikacije, Wi-Fi , pristup na daljinu) kroz koje bi treće strane mogle neovlašteno pristupiti internim sustavima IKT-a;
• ii. strogo nadgledane sigurnosne mjere kojima se temeljito upravlja (npr. vatrozidi, proxy poslužitelji, posredovatelji elektroničke pošte, antivirusni programi i programi za skeniranje sadržaja) i koji služe za osiguravanje ulaznog i izlaznog mrežnog prometa (primjerice, elektronička pošta) i izloženih točaka za povezivanje na mrežu kroz koje bi treće strane mogle neovlašteno pristupiti internim sustavima IKT -a;
• iii. postupke i rješenja za osiguravanje internetskih stranica i aplikacija koje se mogu izravno napasti s interneta i/ili izvana, ko je bi služile kao ulazna točka u interne sustave IKT -a. Oni općenito obuhvaćaju kombinaciju priznatih sigurnih razvojnih praksi, praksi za ojačavanje sustava IKT- a i skeniranje ranjivosti i/ili provedbu dodatnih sigurnosnih rješenja poput vatrozida za apli kacije i/ili sustava za detekciju i/ili sprečavanje upada;
• iv. povremeno provođenje sigurnosnih penetracijskih testiranja radi procjene učinkovitosti implementiranih kibernetičkih i internih sigurnosnih mjera i provedenih postupaka povezanih s IKT-om. Ta testi ranja trebali bi provoditi zaposlenici i/ili vanjski stručnjaci koji raspolažu potrebnim stručnim znanjima, a dokumentirani rezultati testiranja i zaključci trebali bi se dostaviti višem rukovodstvu i/ili upravljačkom tijelu. U slučajevima u kojima je to potrebno i primjenjivo institucija bi iz tih testiranja trebala uvidjeti u kojim područjima treba dodatno unaprijediti sigurnosne kontrole i postupke i/ili dobiti bolje jamstvo njihove učinkovitosti.
• (c) Kontrole za upravljanje značajnim rizicima promjena IKT -a

1. Pregled

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

3. Povezani standardi

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.