184. Što se tiče rizika informacijske i komunikacijske tehnologije i sigurnosnih rizika , nadležna …

Što se tiče rizika informacijske i komunikacijske tehnologije i sigurnosnih rizika⁵⁵ , nadležna tijela trebaju se uvjeriti da će okvirom upravljanja biti zajamčeno dobro, pouzdano i sigurno funkcioniranje informacijskih i komunikacijskih sustava koji podržavaju djelatnosti kreditnih institucija, kao i primjereno sprječavanje, praćenje i ublažavanje rizika IKT - a u normalnim uvjetima poslovanja kao i u vrijeme stresa. Nadležna tijela osobito trebaju procijeniti sljedeće:

• (a) je li upravljačko tijelo općenito odgovorno za uspostavu, odobravanje i nadzor provedbe strategije IKT - a financijske institucije, koja treba biti usklađena s cjelokupnom poslovnom strategijom financijske institucije;
• (b) jasnu definiciju i dodjelu ključnih uloga i odgovornosti te relevantnih linija izvješćivanja, kako bi okvir za upravljanje rizicima IKT - a i sigurnosnim rizicima bio učinkovit, uključujući dodjelu primjerenog proračuna za prikladno podržavanje operativnih potreba IKT -a te upravljanje rizicima IKT - a i sigurnosnim rizicima;
• (c) jesu li upravljanje i nadzor nad rizicima IKT - a i sigurnosnim rizicima povjereni neovisnoj i nepristranoj kontrolnoj funkciji, koja je na primjeren način odvojena od operativnih procesa IKT - a i nije odgovorna za unutarnje revizije, te neovisnoj funkciji unutarnje revizije;
• (d) mehanizme za osiguranje utvrđivanja, uspostave i redovitog održavanja ažuriranih mapiranja poslovnih funkcija, uloga i procesa za podršku kako bi se njihova utvrdila pojedinačna važnost i njihova međuovisnost povezana s rizicima IKT -a i sigurnosnim rizicima;
• (e) u mjeri u kojoj se informacije drže u sustavima IKT - a, hoće li biti uspostavljeni zahtjevi za informacijsku sigurnost;
• (f) razmjer, složenost i važnost ovisnosti povezanih s IKT - om, ako je predviđena eksternalizacija operativnih funkcija usluga IKT - a i bilo koja djelatnost sustava IKT - a, uključujući subjektima unutar grupe, ili uporaba trećih strana u pogledu takvih funkcija i djelatnosti.

⁵⁵ Kako je definirano u EBA -inim Smjernicama o upravljanju rizicima IKT - a i sigurnosnim rizici ma , „Rizik IKT -a i sigurnosni rizik” znači: „Rizik gubitaka uslijed povrede povjerljivosti, gubitka integriteta sustava i podataka, neprikladnosti ili nedostupnosti sustava i podataka ili nemogućnosti promjene informacijskih tehnologija (IT -a) unutar razumnog roka i uz razumne troškove u slučaju promjene zahtjeva okruženja ili poslovanja (to jest prilagodljivosti). To obuhvaća sigurnosne rizike koji proizlaze iz neadekvatnih ili neuspješnih internih postupaka ili vanjskih događaja, uključujući kibernapade ili neadekvatnu fizičku sigurnost”.

1. Pregled

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

3. Povezani standardi

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/