| Kategorije rizika Rizici IKT-a (nepotpun | IKT -a popis10 ) | Opis rizika | Primjeri | |
| Rizici povezani s Neprimjereno kontinuitetom i upravljanje dostupnošću kapacitetima IKT-a | | Nedostatak resursa (npr. sklopovske opreme, programske podrške, osoblja, pružatelja usluga) mogao bi prouzročiti nemogućnost prilagodbe opsega usluga radi zadovoljavanja poslovnih potreba, prekide sustava, pad kvalitete usluga i/ili operativne pogreške. | • • | Manjak kapaciteta mogao bi utjecati na brzinu prijenosa i dostupnost mreže (interneta) za usluge poput internetskog bankarstva. Nedostatak osoblja (internog ili trećih strana) mogao bi prouzročiti prekide rada sustava i/ili operativne pogreške. |
| Kvarovi IKT-a | sustava | Gubitak dostupnosti zbog kvarova sklopovske opreme Gubitak dostupnosti zbog kvarova i pogrešaka programske podrške | • • • | Kvarovi/pogreške u pohrani (tvrdi diskovi), poslužiteljima ili drugoj opremi IKT - a prouzročeni npr. nedovoljnim održavanjem Beskonačna petlja u programu aplikacije sprečava izvršenje transakcije. Prekidi zbog uporabe zastarjelih sustava i rješenja IKT- a koji više ne zadovoljavaju trenutačne zahtjeve u pogledu dostupnosti i otpornosti i/ili koje dobavljači više ne podrž avaju. |
| Neprimjeren kontinuitet planiranje oporavka katastrofa Kibernetički napadi i ruše | IKT-a i od koji remete sustave | Kvar planiranih rješenja IKT -a za dostupnost i/ili kontinuitet i/ili oporavak od katastrofa (npr. rezervni podatkovni centar) pri njihovoj aktivaciji u slučaju incidenta Napadi raznih svrha (npr. aktivizam, ucjenjivanje) koji izazivaju preopterećenje sustava i mreže i tako sprečavaju legitimne korisnike da pristupe svojim internetskim računalnim uslugama | • • | Konfiguracijske razlike između primarnog i sekundarnog podatkovnog centra mogu onemogućiti rezervnom podatkovnom centru pružanje planiranog kontinuiteta usluga. Distribuirani napadi uskraćivanjem usluga provode se posredstvom veli kog broja računalnih sustava na internetu koje kontrolira haker i koji šalju internetskim (npr. bankovnim) uslugama velike |
| Kategorije rizika Rizici IKT-a (nepotpun | IKT -a popis10 ) | Opis rizika | Primjeri | količine naizgled legitimnih zahtjeva za uslugama. |
| Sigurnosni rizici Kibernetički IKT-a napadi vanjski temeljeni u | i drugi napadi na IKT- | Napadi koji se izvršavaju s interneta ili s vanjskih mreža radi različitih svrha (npr. prijevare, špijunaža, aktivizam/sabotaža, kibernetički terorizam) s pomoću raznih postupaka (npr. socijalni inženjering, pokušaji neovlaštenog upadanja iskorištava njem ranjivosti, uporaba zlonamjernih programa), a čiji je rezultat preuzimanje kontrole nad internim sustavima IKT-a Prijevarne platne transakcije koje izvršavaju hakeri kršenjem ili zaobilaženjem sigurnosnih mehanizama platnih usluga i usluga internetskog bankarstva i/ili napadanjem ili iskorištavanjem sigurnosnih ranjivosti u internom platnom sustavu institucije Prijevarne transakcije vrijednosnim papirima koje izvršavaju hakeri kršenjem ili zaobilaženjem sigurnosnih mehanizama usluga internetskog bankarstva koje omogućuju i pristup klijentovim računima vrijednosnih papira Napadi na komunikacijske veze i razgovore svih vrsta ili na sustave IKT- a radi prikupljanja informacija i/ili izvršavanja prijevara | Razne • • • • • • • • | vrste napada: napredne ustrajne prijetnje (APT) radi preuzimanja kontrole nad internim sustavima ili radi krađe podataka (npr. podatci povezani s krađom identiteta, podatci o kreditnim karticama); zlonamjerni programi (npr. ransomware ) koji kriptiraju podatke s ciljem ucjene; zaraza internih sustava IKT-a trojanskim konjem radi potajnog provođenja zlonamjernih radnji; iskorištavan je ranjivosti sustava IKT- a i/ili (web) aplikacija (npr. umetanje SQL koda) radi pristupanja internim sustavima IKT-a. Napadi na usluge internetskog bankarstva ili platne usluge radi izvršavanja neovlaštenih transakcija Stvaranje i slanje prijevarnih platnih transakcija iz internog platnog sustava institucije (npr. prijevarne SWIFT poruke) Napadi pump and dump , pri kojima napadači stječu pristup računima vrijednosnih papira klijenata u internetskom bankarstvu i provode prijevarne kupovne ili prodajne naloge kako bi utjecali na tržišnu cijenu i/ili ostvarili dobit na temelju prethodno utvrđenih pozicija vrijednosnih papira Presretanje nezaštićenih prijenosa autentifikacijskih podataka koji su u obliku nekriptiranog teksta |
| Neprimjerena interna IKT-a | sigurnost | Stjecanje neovlaštenog pristupa ključnim sustavima IKT - a unutar institucije radi raznih svrha (npr. prijevare, izvršavanje i prikrivanje nedopuštenih a ktivnosti trgovanja, krađa podataka, aktivizam/sabotaža) na | • | Instaliranje programa/uređaja za bilježenje pritisaka na tipke (engl. key logger ) za krađu korisničkih imena i zaporki radi stjecanja neovlaštenog pristupa povjerljivim podatcima i/ili izvršavanja prijevara |
| Kategorije rizika Rizici IKT-a (nepotpun | IKT -a popis10 ) | Opis rizika razne načine (npr. zlouporaba i/ili povećanje ovlasti, krađa identiteta, socijalni inženjering, iskorištavanje ranjivosti u sustavima IKT, uporaba zlonamjernih programa) Neovlašteno manipuliranje IKT -om zbog neprimjerenih postupaka i praksi upravljanja pristupom IKT-u Sigurnosne prijetnje zbog nedostatka sigurnosne osviještenosti, pri čemu zaposlenici ne razumiju ili zanemaruju sigurnosne politike i postupke IKT-a ili ih se ne pridržavaju Neovlaštena pohrana ili prijenos povjerljivih podataka izvan institucije | Primjeri • • • • • • • • | Probijanje/pogađanje slabih zaporki radi stjecanja nezakonitih ili povećani h pristupnih prava Administrator sustava upotrebljava operativne sustave ili alate baza podataka (za izravne izmjene baza podataka) kako bi počinio prijevare. Neprovođenje deaktivacije i brisanja nepotrebnih računa, npr. računa zaposlenika koji su promijenili radna mjesta ili otišli iz institucije, uključujući goste ili dobavljače kojima pristup više nije potreban, što može omogućiti neovlašten pristup sustavima IKT -a Odobravanje prekomjernih pristupnih prava i ovlasti, kojima se omogućuje neovlašten pristup i/ili prikrivanje nedopuštenih aktivnosti Zaposlenici koji su prijevarom navedeni da pomognu u izvršavanju napada (tj. soci jalni inženjering) Loše prakse povezane s korisničkim podatcima: dijeljenje zaporki, uporaba zaporki koje je lako pogoditi, uporaba jedne zaporke za mnoštvo različitih svrha itd. Pohranjivanje nekriptiranih povjerljivih podataka na prijenosnim računalima i prenosivim rješenjima za pohranu podataka (npr. ključevi na USB uređaju) koji se mogu izgubiti ili ukrasti Osobe koje kradu ili namjerno odaju ili krijumčare povjerljive podatke neovlaštenim osobama ili javnosti |
| Neprimjerena fizička IKT-a | sigurnost | Zlouporaba ili krađa imovine IKT - a fizičkim pristupom čime je izazvana šteta, gubitak imovine ili podataka ili su omogućene druge prijetnje | • | Fizičke provale u zgrade/urede i/ili podatkovne centre radi krađe opreme IKT - a (npr. računala, prijenosna računala, rješenja za pohranu) i/ili radi umnožavanja podataka fizičkim pristupom IKT -u |
| Kategorije rizika Rizici IKT-a (nepotpun | IKT -a popis10 ) | Opis rizika Namjerno ili slučajno oštećenje fizičke imovine IKT -a prouzročeno terorizmom, nezgodama ili neho tičnim/pogrešnim postupcima zaposlenika institucije i/ili trećih strana (dobavljači, osoblje za održavanje/popravke) Nedovoljna fizička zaštita od prirodnih nepogoda, uslijed koje prirodne nepogode djelomično ili potpuno uništavaju sustave / podatkovne centre IKT-a | Primjeri • • • | Fizički terorizam (tj. terorističke bombe) ili sabotaža na sustavima IKT-a Uništenje podatkovnog centra prouzročeno požarom, curenjem vode ili drugim čimbenicima Potresi, ekstremna vrućina, olujni vjetar, snažne snježne mećave, poplave, požari, udari groma |
| Rizici promjena Neprimjerene IKT-a kontrole promjenama sustava razvojem | nad IKT-a i IKT-a | Incidenti prouzročeni neotkrivenim pogreškama ili ranjivostima izazvanima promjenama (npr. nepredviđeni učinci promjena ili promjena kojima se lo še upravlja zbog nedostatka testiranja ili loših praksi upravljanja promjenama) npr. programa, sustava IKT-a i podataka | • • • • • | Puštanje u produkciju nedovoljno testiranih programskih ili konfiguracijskih promjena s neočekivanim nepovoljnim učincima na podatke (np r. oštećenje, brisanje) i/ili rad sustava IKT -a (npr. kvar ili degradacija performansi) Nekontrolirane promjene sustava ili podataka IKT-a u produkcijsko okruženje. Puštanje u produkciju nedovoljno sigurnih sustava IKT- a i internetskih aplikacija, čime se hakerima daje mogućnost napada na pružene internetske usluge i/ili provale u interne sustave IKT-a Nekontrolirane promjene izvornog koda interno razvijenih programa Nedovoljno testiranje zbog nedostatka primjerenog testnog okruženja |
| Neprimjerena arhitektura | IKT-a | Loše upravljanje arhitekturom IKT -a pri dizajniranju, uspostavljanju i održavanju sustava IKT -a (npr. programska podrška, sklopovska oprema, podatci) s vremenom može dovesti do pojave složenih, teških i rigidnih sustava IKT- a s visokim troškovima održavanja, koji više nisu dovoljno usklađeni s poslovnim potrebama i koji ne ispunjavaju stvarne zahtjeve za upravljanje rizikom. | • | Neprimjereno upravljanje promjenama sustava IKT-a, programske podrške ili podataka tijekom duljeg razdoblja dovodi do pojave sustava i arhitektura IKT- a koji su složeni, heterogeni i teški za upravljanje, što izaziva mnoge nepovoljne učinke na poslovanje i upravljanje rizicima (npr. nedostatak fleksibilnosti i agilnosti, kvarovi i incidenti u pogledu IKT-a , visoki operativni troškovi, oslabljena |
| Kategorije rizika Rizici IKT-a (nepotpun | IKT -a popis10 ) | Opis rizika | Primjeri • | sigurnost i otpornost IKT-a, smanjenje kvalitete podataka i mogućnosti izvješćivanja) Prekomjerna prilagodba i proširenje komercijalnih programskih paketa s pomoću interno razvijenih programa uzrokuje nemogućnost puštanja budućih izdanja/verzija i nadogradnji komercijalnih programa te izlažu riziku da ih dobavljači više neće podržavati |
| Neprimjereno upravljanje životnim i zakrpama | ciklusom | Neodržavanje primjerene evidencije sve imovine IKT -a temeljem koje bi se podržale, odnosno vodile dobre prakse upravljanja životnim ciklusom i zakrpama; to dovodi do nedovoljno zakrpanih (i stoga ranjivijih) i zastarjelih sustava IKT- a koji možda neće moći podržavati poslovne potrebe i potrebe upravljanja rizikom. | • | Nezakrpani i zastarjeli sustavi IKT-a koji mogu prouzročiti nepovoljne poslovne učinke i učinke u pogledu upravljanja rizicima (npr. nedostatak fleksibilnosti i agilnosti, prekidi IKT -a, oslabljena sigurnost i otpornost IKT-a) |
| Rizici IKT -a Disfunkcionalna povezani s obrada integritetom IKT-a podataka s njima | podataka i postupanje | Zbog pogrešaka ili kvarova povezanih sa sustavom, komunikacijom ili aplikacijama, te zbog pogrešnog izdvajanja, prijenosa i punjenja podataka (ETL), podatci bi se mogli oštetiti ili izgubi ti. | • • • | Pogreška u informatičkom sustavu pri skupnoj (noćnoj) obradi, što uzrokuje pogrešna salda na bankovnim računima klijenata Pogrešno izvršeni upiti Gubitak podataka zbog pogreške u replikaciji podataka (izradi pričuvnih kopija) |
| Loše validacijske kontrole podataka sustavima | osmišljene u IKT-a | Pogreške povezane s nedostatkom ili neučinkovitošću automatiziranog unosa podataka i kontrola prihvata (npr. za korištene podatke trećih strana), prijenosa podataka, kontrola obrade i izlaznih kontrola u sustavima IKT-a (npr. kontrole valjanosti ulaznih podataka, usklađenja podataka) | • • • • | Nedovoljno ili nepravilno formatiranje/validacija ulaznih podataka u aplikacijama i/ili korisničkim sučeljima Nedostatak kontrola usklađivanja podataka za izlazne podatke Nedo statak kontrola prilikom provođenje izdvajanja podataka (npr. u upitima bazi podataka), što dovodi do pogrešnih podataka Uporaba neispravnih vanjskih podataka |
| Loše izmjene | kontrolirane podataka | Pogreške u podatcima nastale zbog nedostatka kontrole točnosti i opravdanosti manipulacija | • | Razvojni programeri ili administratori baza podataka koji izravno pristupaju podatcima u |
| Kategorije rizika Rizici IKT-a (nepotpun | IKT -a popis10 ) | Opis rizika | Primjeri | |
| u produkcijskim sustavima | IKT-a | podatcima koje se provode u produkciji sustava IKT-a | | produkcijskim sustavima IKT-a i mijenjaju ih bez kontrole, npr. u slučaju pojave incidenta u sustavu IKT-a |
| Arhitektura podataka, podataka, podataka rječnici koji su | tijek modeli ili podataka loše | Arhitekture podataka, modeli podataka, tijek podataka ili rječnici podataka kojima se loše upravlja mogu prouzročiti više verzija istih podataka u sustavima IKT -a, koje više nisu konzistentne zbog različito primijenjenih modela podataka ili definicija podataka i/ili zbog razlika u temeljnom postupku stvaranja i izmjene podataka. | • | Postojanje različitih baza podataka o klijentima za zasebne proizvode ili poslovne jedinice s različitim definicijama i poljima za unos podataka, što na razini cijele financijske institucije ili grupe uzrokuje neusklađene podatke o klijentima koje je teško usporediti i integrirati |