| IKT-kockázati IKT-kockázatok kategóriák (nem | teljes körű10 ) | Kockázatleírás | Példák | |
| IKT Nem rendelkezésre kapacitáskezelés állási és folytonossági kockázatok | megfelelő | Az erőforrások (pl. hardverek, szoftverek, személyzet, szolgáltatók) hiánya azt eredményezheti, hogy nem tudják a szolgáltatást úgy méretezni, hogy megfeleljen az üzleti igényeknek, valamint a rendszer működésének megszakításához, a szolgáltatás romlásához és/vagy működési hibákhoz vezethet. | • • | A kapacitáshiány hátrányosan érintheti az átviteli sebességet és a hálózat (internet) olyan szolgáltatásokhoz v aló rendelkezésre állását, mint az internetes banki szolgáltatások. A személyzet (belső vagy harmadik fél) hiánya a rendszer működésének megszakadásához és/vagy működési hibákhoz vezethet. |
| Az IKT-rendszer hibái | | A rendelkezésre állás hardverhibák miatti kiesése. A rendelkezésre állás szoftverhibák miatti kiesése. | • • • | A tárolás (merevlemezek), a szerver vagy más IKT - berendezés hibája/rossz működése, amelyet pl. a karbantartás hibája okozott. Az alkalmazási szoftver végtelen ciklusa megakadályozza a tranzakció végrehajtását. Olyan elavult IKT-rendszerek és -megoldások folytatódó használata miatti üzemszünetek, amelyek már nem felelnek meg a jelenlegi rendelkezésre állási és rugalmassági követelményeknek, és/vagy amelyeket a szállítóik már nem támogatnak. |
| Nem IKT-val kapcsolatos folytonossági katasztrófa | megfelelő és utáni | Az IKT-val kapcsolatban tervbe vett rendelkezésre állási és/vagy folytonossági megoldások és/vagy katasztrófa utáni helyreállítás (pl. a helyreállításhoz használt tartalék adatközpont) hibája, amikor azt eseményre reagálva aktiválják. | • | Az elsődleges és a másodlagos adatközpont közötti konfigurációs különbségek következtében előfordulhat, hogy a tartalék adatközpont nem képes biztosítani a szolgáltatás tervbe vett folytonosságát. |
| IKT-kockázati IKT-kockázatok kategóriák (nem | teljes körű10 ) | Kockázatleírás | Példák | |
| helyreállítási tervezés Üzemzavart pusztítást kibertámadások | és okozó | Különböző célú (pl. aktivista tevékenység, zsarolás) támadások, amelyek a rendszerek és a hálózat túlterheléséhez vezetnek, és megakadályozzák a jogszerű felhasználók online számítógépes szolgáltatásokhoz való hozzáférését. | • | Az elosztott szolgáltatásmegtagadással járó támadásokat (Dist ributed Denial of Service, DDoS) a hekker által ellenőrzött több számítógépes rendszer segítségével hajtják végre az interneten, amelyek nagymennyiségű, látszólag jogszerű szolgáltatási kérelmet küldenek az internetes (pl. e-banki) szolgáltatásoknak. |
| IKT biztonsági Kibertámadások kockázatok és más n alapuló támadások | külső, IKT - | Az internetről vagy külső hálózatról, különböző célokból (pl. csalás, kémkedés, aktivista tevékenység/szabotázs, kiberterrorizmus), különféle technikák alkalmazásával (pl. társadal mi manipuláció, a sebezhetőségek kihasználásával végrehajtott behatolási kísérletek, rosszindulatú szoftverek felhasználása) végrehajtott támadások, amelyek eredményeképpen átveszik a belső IKT - rendszerek feletti ellenőrzést. Csalárd pénzügyi tranzakciók hekkerek általi végrehajtása az e-banki és pénzforgalmi szolgáltatások feltörése vagy megkerülése révén és/vagy az intézmény belső pénzforgalmi rendszereiben fennálló biztonsági sebezhetőségek támadásával és kihasználásával. | A támadások • • • • • • | különböző típusai: APT (Advanced Persistent Threat – fejlett állandó fenyegetés), amelynek célja a belső rendszerek feletti ellenőrzés megszerzése vagy információk ellopása (pl. személyazonossággal kapcsolatos információk vagy hitelkártya-információk ellopása). Rosszindulatú szoftverek (pl. zsarolóvírusok – ransomware), amelyek zsarolás céljából titkosítják az adatokat. A belső IKT -rendszerek trójai falovakkal való megfertőzése a rendszer elleni rosszindulatú lépések rejtett módon történő elkövetése érdekében. Az IKT- rendszer és/vagy a (webes) alkalmazások sebezhetőségeinek a kihasználása (pl. SQL befecskendezés – SQL injection), a belső IKT - rendszerhez való hozzáférés megszerzése céljából. Az e-banki vagy pénzforgalmi szolgáltatások elleni támadások, jogosulatlan tranzakciók végrehajtása céljából. Csalárd pénzforgalmi tranzakciók létrehozása és elküldése az intézmény belső pénzforgalmi |
| IKT-kockázati IKT-kockázatok kategóriák (nem | teljes körű10 ) | Kockázatleírás Csalárd értékpapír -tranzakciók hekkerek általi végrehajtása az e-banki szolgáltatások biztonságának feltörése vagy megkerülése révén, amely az ügyfelek értékpapírszámláihoz is hozzáférést biztosít. A kommunikációs kapcsolatok és mindenfajta beszélgetések vagy az IKT-rendszerek elleni támadások inform ációk gyűjtése és/vagy csalás elkövetése céljából. | Példák • • | rendszerein belülről (pl. csalárd SWIFT -üzenetek). Pump and dump támadások, amelyben a támadók ügyfelek e- banki értékpapírszámláihoz szereznek hozzáférést, és csalárd eladás i vagy vételi utasításokat adnak, hogy befolyásolják a piaci árat és/vagy korábban létrehozott értékpapír - pozíciók alapján nyereségre tegyenek szert. Hitelesítési adatok sima szöveges formátumban történő továbbításának kihallgatása/elfogása. |
| Nem belső biztonság | megfelelő IKT - | Jogosulatlan hozzáférés szerzése a kritikus IKT-rendszerekhez az intézményen belülről, különböző célokból (pl. csalás, tisztességtelen kereskedési tevékenységek végzése és elrejtése, adatlopás, aktivista tevékenység/szabotázs), különféle technikák segítségével (pl. jogosultságokkal való visszaélés és/vagy jogosultságok eszkalálása , személyazonosság - lopás, társadalmi manipuláció, az IKT -rendszerek sérülékenységeinek kihasználása, rosszindulatú szoftverek elterjesztése). Jogosulatlan IKT- manipulációk, amelyeket az IKT -val kapcsolatos hozzáférés-kezelési eljárások és gyakorlatok nem megfelelő volta tesz lehetővé. | • • • • | A billentyűleütéseket figyelő alkalmazások (key(stroke) logger) telepítése, hogy felhasználói azonosítókat és jels zavakat lopjanak el bizalmas adatokhoz való hozzáférés megszerzése és/vagy csalás elkövetése céljából. Gyenge jelszavak feltörése/kitalálása, hogy jogszerűtlen vagy bővített hozzáférési jogokhoz jussanak. A rendszeradminisztrátor csalás elkövetésére használja fel az operációs rendszereket vagy (az adatbázis közvetlen módosítására szolgáló) adatbázis- kezelő eszközöket. A szükségtelen fiókok üzemen kívül helyezésének vagy törlésének elmulasztása, így az olyan munkatársakhoz tartozó fiókok üzemen kívül helyezésének vagy törlésének elmulasztása, akik más beosztásba kerültek és/vagy kiléptek az intézményből, id eértve azokat a vendégeket vagy szállítókat is, akiknek már nincs szükségük hozzáférésre, jogosulatlan hozzáférést biztosítva ezáltal az IKT-rendszerekhez. |
| IKT-kockázati IKT-kockázatok kategóriák (nem | teljes körű10 ) | Kockázatleírás A biztonság tudatosságának hiánya miatti biztonsági fenyegetések, ami miatt az alkalmazottak nem értik és elhanyagolják az IKT-val kapcsolatos biztonsági politikákat és eljárásokat, vagy nem tartják magukat ezekhez. Bizalmas információk int ézményen kívüli jogosulatlan tárolása vagy átadása. | Példák • • • • • | Túlzott hozzáférési jogok és jogosultságok biztosítása, ami jogosulatlan hozzáférést tesz lehetővé és/vagy lehetőséget nyújt tisztességtelen tevékenységek elrejtésére. Az alkalmazottak becsapása azzal a céllal, hogy segítséget nyújtsanak támadásokhoz (azaz társadalmi manipuláció). A hitelesítő adatokkal kapcsolatos rossz gyakorlatok: a jelszavak megosztása, „könnyen” kitalálható jelszav ak használata, ugyanazon jelszó használata sok különböző célra stb. Nem titkosított bizalmas adatok laptopokon és olyan hordozható adattárolási megoldásokon (pl. USB- kulcsok) való tárolása, amelyek elveszíthetők vagy ellophatók. Bizalmas adatokat ellopó, illetve bizalmas adatokat jogosulatlan személyeknek vagy a nyilvánosságnak szándékosan kiszivárogtató vagy kicsempésző személyek. |
| Nem fizikai biztonság | megfelelő IKT- | IKT-eszközök helytelen felhasználása vagy ellopása fizikai hozzáférés útján, ami kárt okoz, eszközök vagy adatok elvesztéséhez vezet vagy más fenyegetéseket tesz lehetővé. A fizikai IKT- eszközöket érő szándékos vagy véletlenszerű kár, amelyet terrorizmus, baleset vagy az intézmény személyzete és/vagy harmadik felek (szállítók, szervizemberek) általi sajnálatos/hibás manipuláció okoz. A természeti katasztrófákkal szembeni elégtelen fizikai védelem, amely az IKT -rendszerek/adatközpontok | • • • • | Az irodaépületekbe és/vagy adatközpontokba való fizikai betörés IKT-berendezések (p l. számítógépek, laptopok, tárolási megoldások) ellopása és/vagy adatok IKT-rendszerekhez való fizikai hozzáférés révén történő lemásolása céljából. Az IKT-eszközök elleni fizikai terrorizmus (azaz terrorista bombák) vagy szabotázs. Az adatközpont tűz, vízszivárgás vagy más tényezők okozta megsemmisülése. Földrengés, szélsőséges hőség, szélvihar, súlyos hóvihar, árvíz, tűz, villámlás. |
| IKT-kockázati IKT-kockázatok kategóriák (nem | teljes körű10 ) | Kockázatleírás természeti katasztrófa miatti részleges vagy teljes megsemmisüléséhez vezet. | Példák | |
| IKT-változások Nem kockázatai ellenőrzés rendszer változásai IKT-fejlesztés felett | megfelelő az IKT - és az | A változások következtében fellépő felderítetlen hibák vagy sebezhetőségek (pl. valamely változás előre nem látott hatásai vagy a tesztelés hiánya vagy a nem megfelelő változásirányítási gyakorlatok miatt rosszul kezelt változás) okozta, pl. a szoftvereket, az IKT - rendszereket és az adatokat érintő események. | • • • • • | Nem kellően letesztelt szoftverek beélesítése vagy olyan konfi gurációs változtatások, amelyek nem várt káros hatást gyakorolnak az adatokra (pl. sérülés, törlés) és/vagy az IKT -rendszer teljesítményére (pl. összeomlás, a teljesítmény romlása). Az IKT- rendszereket vagy az adatokat érintő ellenőrizetlen változtatások a z éles környezetben. Biztonsági szempontból gyenge IKT-rendszerek és internetes alkalmazások beélesítése, amely lehetőséget teremt a hekkerek számára, hogy megtámadják a nyújtott internetes szolgáltatásokat és/vagy feltörjék a belső IKT -rendszereket. A belső fejlesztésű szoftverek forráskódjában elvégzett ellenőrizetlen változtatások. Nem elégséges tesztelés a megfelelő tesztkörnyezetek hiánya miatt. |
| Nem IKT- architektúra | megfelelő | Az IKT- architektúra IKT - rendszerek (pl. szoftverek, hardverek, adatok) megtervezése, kiépítése és karbantartása során való gyenge kezelése idővel összetett, nehézkes, költségesen kezelhető és merev IKT- rendszerekhez vezethet, amelyek már nem illeszkednek kellően az üzleti szükségletekhez, és nem felelnek meg az aktuális kockázatkezelési követelményeknek. | • • | Az IKT- rendszereket, szoftvereket és/vagy adatokat érintő, hosszabb időn át nem megfelelően kezelt változások, amelyek összetett, heterogén és nehezen kezelhető IKT -rendszerekhez és - architektúrákhoz vezetnek, amelyek sok káro s üzleti és kockázatkezelési hatást okoznak (pl. a rugalmasság és gyorsaság hiánya, IKT -események és - hibák, magas üzemeltetési költség, az IKT -biztonság és - rugalmasság meggyengülése, az adatminőség és a jelentéstételi képességek csökkenése). Kereskedelemben kapható szoftvercsomagok túlzott testre szabása és belső fejlesztésű |
| IKT-kockázati IKT-kockázatok kategóriák (nem | teljes körű10 ) | Kockázatleírás | Példák | szoftverekkel való bővítése, aminek következtében a kereskedelemben kapható szoftver későbbi kiadásai és frissítései nem telepíthetők, és fennáll annak a kockázata, hogy azt a gyártó a továbbiakban nem támogatja. |
| Nem életciklus-javítócsomag kezelés | megfelelő és - | Nem vezetnek megfelelő leltárt valamennyi IKT - eszközről, amely támogatná és kiegészítené a megalapozott életciklus- és javítócsomag -kezelési gyakorlatokat. Ez nem kellően javított (és emiatt sérülékenyebb) és elavult IKT- rendszerekhez vezet, amelyek nem feltétlenül támogatják az üzleti és kockázatkezelési igényeket. | • | Nem javított és elavult IKT - rendszerek, amelyek káros üzleti és kockázatkezelési hatásokkal járhatnak (pl. a rugalmasság és gyorsaság hiánya, IKT- kimaradások, az IKT -biztonság és -rugalmasság gyengülése). |
| IKT Nem adatintegritási IKT kockázatok adatfeldolgozás vagy | jól működő -kezelés | A rendszerek, a kommunikáció és/vagy az alkalmazások hibái vagy a hibásan végrehajtott adatkinyerési, - továbbítási és - betöltési (extraction, transfer and load – ETL) folyamatok miatt az adatok sérülhetnek vagy elveszhetnek. | • • • | Az informatikai rendszer hibája a kötegelt feldolgozás során, amely az ügyfelek bankszámláinak hibás egyenlegéhez vezet. Hibásan végrehajtott lekérdezések. Az adatok másodpéldányban való eltárolásának (biztonsági mentésének) hibája miatti adatvesztés. |
| Rosszul adathitelesítési kontrollok rendszerekben | kialakított az IKT- | Az automatizált adatbevitelre és -elfogadásra vonatkozó kontrollintézkedések (pl. a harmadik felektől származó felhasznált adatok kapcsán), az adattovábbításra, -feldolgozásra és -kimenetre vonatkozó kontrollintézkedések (pl. a bemenet hitelesítéséhez kapcsolódó kontrollintézkedések, adategyeztetések) hiányához vagy eredménytelenségéhez kapcsolódó hibák az IKT-rendszerekben. | • • • • | A bemeneti adatok nem kellő vagy érvénytelen formázása/hitelesítése az alkalmazásokban és/vagy felhasználói felületeken. Adategyeztetési kontrollintézkedések hiánya az előállított kimenetekkel kapcsolatban. A végrehajtott adatkinyerési folyamatokra (pl. adatbázis-lekérdezések) vonatkozó kontrollintézkedések hiánya, amely hibás adatokhoz vezet. Hibás külső adatok felhasználása. |
| Az adatok ellenőrzött módosítása | rosszul az | Az éles IKT-rendszerekben elvégzett adatmanipulációk helyességére és indokoltságára vonatkozó kontrollintézkedések hiánya miatt bekövetkező | • | Fejlesztők vagy adatbázis -adminisztrátorok ellenőrizetlen módon, közvetlenül hozzáférnek az éles IKT- rendszerekben lévő adatokhoz, és |
| IKT-kockázati IKT-kockázatok kategóriák (nem | teljes körű10 ) | Kockázatleírás | Példák | |
| éles IKT-rendszerekben. Rosszul és/vagy adatarchitektúra, adatáramlások, adatmodellek vagy | kialakított kezelt adatszótárak | adathibák. A r osszul kezelt adatarchitektúrák, adatmodellek, adatáramlások vagy adatszótárak azt eredményezhetik, hogy ugyanazok az adatok többféle változatban fordulnak elő az IKT - rendszerekben, amelyek az eltérően alkalmazott adatmodellek vagy adatmeghatározások és/vagy a mögöttes adat-előállítási és - módosítási folyamat eltérései miatt már nem konzisztensek. | • | módosítják azokat, pl. IKT -esemény bekövetkezésekor. Termékenként vagy üzletegységenként különböző ügyfél- adatbázisok megléte, amelyek különböző adatdefiníciókkal és - mezőkkel rendelkeznek, és ennek következtében hiányzik az ügyféladatok teljes pénzügyi intézmény vagy csoport szintjén való egyeztetése, vagy az ügyféladatok nehezen összehasonlíthatók és integrálhatók a teljes pénzügyi intézmény vagy csoport szintjén. |
| IKT kiszervezési A harmadik kockázatok vagy más szervezetei által szolgáltatások nem rugalmassága A kiszervezés ne m irányítása | felek a csoport nyújtott megfelelő megfelelő | Kritikus kiszervezett IKT- szolgáltatások, távközlési szolgáltatások és közművek rendelkezésre állásának hiánya. Szolgáltatóra bízott kritikus/szenzitív adatok elvesztése vagy sérülése A szolgáltatások jelentős romlása vagy hibái a kiszervezett szolgáltató nem hatékony készültségi vagy kontrollfolyamatai miatt. A kiszervezés nem eredményes irányítása az IKT - kockázatok teljes körű azonosításához, értékeléséhez, mérsékléséhez és nyomon követéséhez szükséges megfelelő készségek és képességek hiányához vezethet, és korlátozhatja az intézmények működési kapacitásait. | • • • • • | Alapvető szolgáltatások rendelkezésre állásának hiánya a szállítók (kiszervezett) IKT -rendszereiben vagy alkalmazásaiban fennálló hibák miatt. Távközlési összeköttetések zavara. Az áramellátás hiánya. A szolgáltatói megállapodásba beépített gyenge eseménykezelési eljárások, szerződéses kontrollintézke dések és garanciák, amelyek növelik a harmadik felek és szolgáltatók kulcsemberektől való függőségét. A szolgáltató IKT- környezetét érintő nem megfelelő változásirányítási kontrollintézkedések a szolgáltatás jelentős romlásához vagy hibájához vezethetnek. |
| Nem biztonság harmadik vagy másik | megfelelő feleknél a csoport | A harmadik fél szolgáltató IKT- rendszereinek hekkelése, amely közvetlenül kihat a kiszervezett szolgáltatásokra vagy a szolgáltatónál tárolt kritikus/bizalmas adatokra. A szolgáltató személyzete jogosulatlan hozzáférést szerez a szolgáltatónál tárolt kritikus/bizalmas | • | A szolgáltatók bűnözők vagy terroristák általi meghekkelése, hogy be tudjanak lépni az intézmény IKT- rendszereibe, vagy hozzáférjenek a szolgáltatónál tárolt kritikus vagy bizalmas adatokhoz vagy megsemmisítsék azokat. |
| IKT-kockázati IKT-kockázatok kategóriák (nem | teljes körű10 ) | Kockázatleírás | Példák | |
| szervezeténél | | adatokhoz. | • | A szolgáltató oldalán működő rosszindulatú bennfentesek érzékeny adatokat próbálnak meg ellopni és eladni. |