54. Ezen értékelés érdekében az illetékes hatóságoknak különösen azt kell figyelembe venniük, hogy …

Ezen értékelés érdekében az illetékes hatóságoknak különösen azt kell figyelembe venniük, hogy a keretrendszer:

• a. azonosítja -e a kritikus IKT-folyamatokat és az érintett támogató IKT- rendszereket, amelyeknek az üzletmenet-ellenállósági és - folytonossági tervek részét kell képezniük, a következők révén:
• i. a kritikus üzleti folyamatok és a támogató rendszerek közötti függőségek átfogó elemzése;
• ii. a támogató IKT- rendszerekre vonatkozó helyreállítási célkitűzések meghatározása ( ezt az üzlet és/vagy a szabályzatok jellemzően RTO és RPO megadásával határozzák meg);
• iii. megfelelő készenléti tervezés, amely lehetővé teszi a kritikus IKT -rendszerek és -szolgáltatások rendelkezésre állását, folytonosságát és helyreállítását, hogy elfogadha tó korlátokon belül minimálisra csökkentsék az intézmény tevékenységének zavarát.
• b. rendelkezik-e az üzletmenet-rugalmasság és az üzletmenet- folytonosság ellenőrzésére szolgáló környezetre vonatkozó politikákkal és standardokkal, valamint működési kontrollintézkedésekkel, amelyek a következőket foglalják magukban:
• i. az annak elkerülését szolgáló intézkedések, hogy egyazon forgatókönyv, esemény vagy katasztrófa az éles és a tartalék IKT- rendszereket egyaránt sújtsa;
• ii. az IKT- rendszer mentését és helyreállítását cé lzó eljárások a kritikus szoftverek és adatok tekintetében, amelyek biztosítják, hogy e mentéseket biztonságos és kellően távoli helyen tárolják, hogy a rendszert érintő esemény vagy katasztrófa ne tudja megsemmisíteni vagy megrongálni e kritikus adatokat;
• iii. az IKT rendelkezésre állását vagy folytonosságát érintő incidensek kellő időben történő felderítésére szolgáló nyomonkövetési megoldások;
• iv. dokumentált incidenskezelési és eszkalációs folyamat, amely az incidensek kezelésével és eszkalálásával kapcsolatos k ülönböző szerepekre és felelősségekre, a válságbizottság(ok) tagjaira és a vészhelyzet esetén alkalmazandó parancsnoki láncra vonatkozóan is útmutatást nyújt;
• v. az intézmény kritikus IKT- infrastruktúráinak (pl. adatközpontok) a környezeti kockázatokkal (pl. árvíz és egyéb természeti katasztrófák) szembeni védelmét szolgáló és az IKT -rendszerek megfelelő működési környezetét biztosító (pl. légkondicionálás) fizikai intézkedések;
• vi. olyan folyamatok, szerepek és felelősségek, amelyek biztosítják, hogy a kiszervezett IKT - rendszerekre és - szolgáltatásokra is megfelelő üzletmenet -rugalmassági és -folytonossági megoldások és tervek vonatkozzanak;
• vii. a kritikus IKT-rendszereket és - szolgáltatásokat érintő IKT teljesítmény - és kapacitástervezési és nyomonkövetési megoldások, meghatározott rendelkezésre állási követelményekkel, hogy kellő időben feltárják a teljesítménnyel és kapacitással kapcsolatos korlátokat;
• viii. amennyiben szükség es és helyénvaló, a kritikus internetes tevékenységek vagy szolgáltatások (pl. e- banki szolgáltatások) túlterheléses támadásokkal és más, az internet irányából érkező kibertámadásokkal szembeni védelmét szolgáló megoldások, amely támadások célja az e tevékenységekhez és szolgáltatásokhoz való hozzáférés megakadályozása vagy zavarása;
• c. reális teszt forgatókönyvek körén teszteli-e az IKT rendelkezésre állási és folytonossági megoldásokat, amelyek kibertámadások, vészhelyzeti átkapcsolások és a kritikus szoftve rek és adatok biztonsági mentéseinek tesztelését foglalják magukban, és:
• i. e teszteket megtervezik, kihirdetik és dokumentálják, és a teszteredményeket felhasználják az IKT rendelkezésre állási és folytonossági megoldások eredményességének megerősítésére;
• ii. e tesztekbe bevonják a szervezeten belüli érdekelt feleket és funkciókat, így például az üzletágak vezetőit, ideértve az üzletfolytonossági, incidens - és válságreagálási csoportokat, valamint a szervezet normál működéséhez szükséges külső közreműködőket;
• iii. a vezető testületet és a felső vezetést (pl. a válságkezelési csoportok részeként) megfelelően bevonják a tesztekbe, és tájékoztatják a tesztek eredményeiről.
• (b) A lényeges IKT biztonsági kockázatok kezelésére szolgáló kontrollintézkedések

1. Áttekintés

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabványok

2. Azonosított követelmények

3. Kapcsolódó szabványok

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.