55. Nadležna tijela trebala bi procijeniti postoji li u instituciji učinkovit okvir za utvrđivanje …

Nadležna tijela trebala bi procijeniti postoji li u instituciji učinkovit okvir za utvrđivanje, razumijevanje, mjerenje i smanjenje sigurnosnog rizika IKT- a. Pri toj procjeni nadležna bi tijela ponajprije trebala razmotriti obuhvaća li taj okvir sljedeće:

• a. jasno definirane uloge i zaduženja u pogledu:
• i. svih osoba i/ili odbora zaduženih i/ili odgovornih za svakodnevno sigurnosno upravljanje IKT - om i za razvoj općih sigurnosnih politika IKT -a, s posebnim naglaskom na potrebu za njihovom neovisnošću;
• ii. osmišljavanja, provedbe i praćenja sigurnosnih kontrola IKT -a te upravljanja njima;
• iii. zaštite ključnih sustava i usluga IKT -a usvajanjem, primjerice, postupaka za provjeru ranjivosti, upravljanja programskim zakrpama, zaštite na krajnjim točkama (npr. od zlonamjernih sadržaja ili virusa) i alata za detekciju i sprečavanje upada;
• iv. praćenja i razvrstavanja vanjskih ili unutarnjih sigurnosnih incidenata IKT -a te postupanja s njima, uključujući reagiranje na incidente te ponovno osposobljavanje i oporavak sustava i usluga IKT-a;
• v. redovitih i proaktivnih procjena prijetnji kojima se osiguravaju primjerene sigurnosne kontrole.
• b. sigurnosnu politiku IKT- a koja uzima u obzir međunarodno priznate sigurnosne standarde i načela IKT- a (npr. načelo „najmanjih povlastica“ u upravljanju pristupnim pravima, odnosno ograničavanje pristupa na najmanju moguću razinu s kojom će biti moguće normalno funkcioniranje i načelo „obrane u dubinu“ u dizajniranju sigurnosne arhitekture, tj. slojeviti sigurnosni mehanizmi kojima se povećava sigurnost cijelog sustava) i koja ih se pridržava u slučajevima u kojima je to primjereno;
• c. postupak za utvrđivanje sustava, usluga i raz mjernih sigurnosnih zahtjeva IKT-a, koji su razmjerni mogućem riziku od prijevara i/ili mogućoj pogrešnoj uporabi i/ili zlouporabi povjerljivih podataka, te dokumentiranih sigurnosnih očekivanja kojih se treba pridržavati kad je riječ o tim utvrđenim susta vima, uslugama i podatcima, koji su usklađeni s tolerancijom rizika institucije i čija se ispravna provedba nadgleda;
• d. dokumentiran postupak za upravljanje sigurnosnim incidentima i eskalaciju, kojim se pružaju smjernice za razne uloge i zaduženja povezana s upravljanjem incidentima i eskalacijama, za članove kriznog odbora ili kriznih odbora i za zapovjedni lanac u slučaju sigurnosnih kriznih situacija;
• e. evidentiranje aktivnosti korisnika i administratora radi učinkovitog praćenja i pravodobnog uočavanja neovlaštenih aktivnosti i reagiranja na njih te radi olakšavanja i provedbe istraga o sigurnosnim incidentima. U instituciji trebaju postojati politike upravljanja zapisima kojima su definirane primjerene vrste zapisa koje se trebaju bilježiti, kao i razdoblje njihova čuvanja;
• f. kampanje ili inicijative s ciljem podizanja svijesti i informiranja kojima će se sve razine institucije informirati o sigurnoj uporabi i zaštiti sustava IKT -a institucije te o glavnim sigurnosnim (i drugim) rizicima IKT-a kojih trebaju b iti svjesni, osobito u pogledu postojećih i novorazvijenih kibernetičkih prijetnji (npr. računalni virusi, moguće unutarnje ili vanjske zlouporabe ili napadi, kibernetički napadi) i njihove uloge u ublažavanju povreda sigurnosti;
• g. primjerene fizičke sigurno sne mjere (npr. nadzorne kamere, protuprovalni alarm, sigurnosna vrata) za sprječavanje neovlaštenog fizičkog pristupa ključnim i osjetljivim sustavima IKT -a (npr. podatkovni centri);
• h. mjere za zaštitu sustava IKT - a od internetskih napada (tj. kibernetički h napada) ili napada iz drugih vanjskih mreža (npr. tradicionalne telekomunikacijske veze ili veze s pouzdanim partnerima). Nadležna tijela trebala bi preispitati obuhvaća li okvir institucije sljedeće:
• i. postupak i rješenja za održavanje potpune i ažurne evidencije i pregleda svih izloženih točaka za povezivanje na mrežu (npr. internetske stranice, internetske aplikacije, Wi-Fi , pristup na daljinu) kroz koje bi treće strane mogle neovlašteno pristupiti internim sustavima IKT-a;
• ii. strogo nadgledane sigurnosne mjere kojima se temeljito upravlja (npr. vatrozidi, proxy poslužitelji, posredovatelji elektroničke pošte, antivirusni programi i programi za skeniranje sadržaja) i koji služe za osiguravanje ulaznog i izlaznog mrežnog prometa (primjerice, elektronička pošta) i izloženih točaka za povezivanje na mrežu kroz koje bi treće strane mogle neovlašteno pristupiti internim sustavima IKT -a;
• iii. postupke i rješenja za osiguravanje internetskih stranica i aplikacija koje se mogu izravno napasti s interneta i/ili izvana, ko je bi služile kao ulazna točka u interne sustave IKT -a. Oni općenito obuhvaćaju kombinaciju priznatih sigurnih razvojnih praksi, praksi za ojačavanje sustava IKT- a i skeniranje ranjivosti i/ili provedbu dodatnih sigurnosnih rješenja poput vatrozida za apli kacije i/ili sustava za detekciju i/ili sprečavanje upada;
• iv. povremeno provođenje sigurnosnih penetracijskih testiranja radi procjene učinkovitosti implementiranih kibernetičkih i internih sigurnosnih mjera i provedenih postupaka povezanih s IKT-om. Ta testi ranja trebali bi provoditi zaposlenici i/ili vanjski stručnjaci koji raspolažu potrebnim stručnim znanjima, a dokumentirani rezultati testiranja i zaključci trebali bi se dostaviti višem rukovodstvu i/ili upravljačkom tijelu. U slučajevima u kojima je to potrebno i primjenjivo institucija bi iz tih testiranja trebala uvidjeti u kojim područjima treba dodatno unaprijediti sigurnosne kontrole i postupke i/ili dobiti bolje jamstvo njihove učinkovitosti.
• (c) Kontrole za upravljanje značajnim rizicima promjena IKT -a

1. Pregled

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

3. Povezani standardi

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/