54. Pri toj procjeni nadležna bi tijela ponajprije trebala razmotriti sljedeće: a. jesu li okvirom …

Pri toj procjeni nadležna bi tijela ponajprije trebala razmotriti sljedeće:

• a. jesu li okvirom utvrđeni ključni procesi/postupci IKT - a i odgovarajući podržavajući sustavi IKT -a koji bi trebali biti obuhvaćeni planovima za poslovnu otpornost i kontinuitet poslovanja s pomoću:
• i. sveobuhvatne analize međuovisnosti ključnih poslovnih procesa/postupaka i podržavajućih sustava;
• ii. određivanja ciljeva oporavka za podržavajuće sustave IKT - a (npr. obično određeni poslovanjem i/ili odredbama u pogledu ciljanih vremena oporavaka – RTO ili i ciljanih točki oporavka podataka - RPO);
• iii. primjerenih kriznih planova kojima se omogućuju dostupnost, kontinuitet poslovanja i oporavak ključnih sustava i usluga IKT - a kako bi se poremećaji u poslovanju institucije sveli na prihvatljive razine.
• b. jesu li okvirom obuhvaćene politike i standardi poslovne otpornosti i kontrolna okruženja kontinuiteta poslovanja te operativne kontrole koje obuhvaćaju:
• i. mjere kojima se izbjegava mogućnost da samo jedan scenarij, incident ili katastrofa utječu i na sustave IKT-a za produkciju i za oporavak;
• ii. postupke izrade pričuvnih kopija i oporavka za ključnu programsku opremu i podatke, kojima se jamči da su pričuvne kopije podataka pohranjene na sigurnom i dovoljno udaljenom mjestu kako incident ili katastrofa ne bi mogli uništiti ili oštetiti te ključne podatke;
• iii. sustave praćenja za pravodobno otkrivanje incidenata povezanih s dostupnošću ili kontinuitetom IKT-a;
• iv. dokumentiran proces/postupak za upravljanje incidentima i eskalaciju, kojim su obuhvaćene i smjernice za razne uloge i zaduženja u području upravljanja incidentima i eskalacijama, za članove kriznog odbora ili kriznih odbora i za zapovjedni lanac u slučaju kriznih situacija;
• v. fizičke mjere za zaštitu ključnih dijelova infrastrukture IKT -a institucije (npr. podatkovni centri) od rizika povezanih s okolišem (npr. poplava i drugih prirodnih nepogoda) i za osiguravanje primjerenog operativnog okruženja za sustave IKT -a (npr. klimat izacijski uređaji);
• vi. postupke, uloge i zaduženja kojima se osigurava da su i eksternalizirani sustavi i usluge IKT -a obuhvaćeni primjerenim rješenjima i planovima otpornosti i kontinuiteta poslovanja;
• vii. rješenja za planiranje i praćenje performansi te kapaciteta za ključne sustave i usluge IKT -a u skladu s definiranim zahtjevima u pogledu dostupnosti, u cilju pravodobnog uočavanja ograničenja povezanih s performansama i kapacitetom;
• viii. rješenja za zaštitu ključnih aktivnosti ili usluga pruženih putem interneta ( npr. usluge internetskog bankarstva), u slučajevima u kojima je to nužno i primjereno, od uskraćivanja usluga ili drugih internetskih kibernetičkih napada s ciljem sprečavanja ili ometanja pristupa tim aktivnostima i uslugama.
• c. provode li se unutar okvira t estiranja rješenja za dostupnost i kontinuitet IKT - a, uvažavajući niz realističnih scenarija, među kojima su i kibernetički napadi, testiranja prebacivanjem na zamjenske sustave i testiranja pričuvnih kopija za ključne programe i podatke, koja:
• i. su planir ana, formalizirana i dokumentirana, a rezultati testiranja upotrebljavaju se za poboljšanje učinkovitosti rješenja za dostupnost i kontinuitet IKT -a;
• ii. obuhvaćaju dionike i funkcije unutar organizacije, kao što je rukovodstvo poslovnih linija, uključujući t im za kontinuitet poslovanja te tim za odgovor na incidente i krizne situacije, kao i relevantne vanjske dionike;
• iii. imaju primjerenu razinu uključenosti upravljačkog tijela i višeg rukovodstva (npr. u sklopu timova za upravljanje kriznim situacijama) te ih s e obavještava o rezultatima testiranja.
• (b) Kontrole za upravljanje značajnim sigurnosnim rizicima IKT -a

1. Pregled

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

3. Povezani standardi

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/