3.3 A lényeges IKT-kockázatok mérséklésére szolgáló kontrollintézkedések értékelése

Az intézmény fennmaradó IKT-kockázati kitettségének értékelése érdekében az illetékes hatóságoknak felül kell vizsgálniuk, hogy az intézmény hogyan azonosítja, kíséri figyelemmel, értékeli és mérsékli az illetékes hatóságok által a fenti értékelés során azonosított lényeges kockázatokat.

E célból az illetékes hatóságoknak az azonosított lényeges IKT -kockázatok tekintetében felül kell vizsgálniuk:

• a. az alkalmazandó IKT-kockáza tkezelési politikát, -folyamatokat és kockázatvállalási limiteket;
• b. az alkalmazandó szervezetirányítási és felügyeleti keretrendszert;
• c. az alkalmazandó belső ellenőrzési lefedettséget és a megállapításokat;
• d. a kifejezetten az azonosított lényeges IKT -kockázathoz kapcsolódó IKT-kockázati kontrollintézkedéseket.

Az értékelésnek figyelembe kell vennie az általános kockázatkezelési és belső kontroll keretrendszer EBH SREP- iránymutatásainak 5. címében említett elemzésének az eredményét, valamint az intézmény irán yítására és stratégiájára irányuló, ezen iránymutatások 2. címében tárgyalt elemzés eredményét, mivel az e területeken azonosított jelentős hiányosságok befolyásolhatják az intézmény képességét arra, hogy kezelje és mérsékelje IKT-kockázati kitettségeit. Az illetékes hatóságoknak adott esetben az ezen iránymutatások 37. bekezdésében foglalt információforrásokat is fel kell használniuk.

Az illetékes hatóságoknak a következő értékelési lépéseket az intézmény tevékenységeinek jellegével, nagyságrendjével és ös szetettségével arányos módon kell elvégeznie, az intézmény IKT -kockázati profiljának megfelelő felügyeleti felülvizsgálat alkalmazásával.

3.3.1 IKT-kockázatkezelési politika, folyamatok és kockázatvállalási limitek

Az illetékes hatóságoknak felül kell vizsgálniu k, hogy az intézmény megfelelő kockázatkezelési politikákkal, folyamatokkal és kockázatvállalási limitekkel rendelkezik - e az azonosított lényeges IKT - kockázatok tekintetében. Ezek a működési kockázat kezelésére szolgáló keretrendszer részei is lehetnek, vagy külön dokumentumban is szerepelhetnek. Ezen értékelés során az illetékes hatóságoknak a következőket kell figyelembe venniük:

• a. a kockázatkezelési politikát hivatalossá tették- e és a vezető testület jóváhagyta - e, és elégséges útmutatást tartalmaz -e az intézmény IKT-kockázatvállalási hajlandóságára és az IKT- kockázat kezelésével kapcsolatban követett fő célkitűzésekre és/vagy az alkalmazott IKT-kockázatvállalási limitekre vonatkozóan. A vonatkozó IKT-kockázatkezelési politikát az összes érintett érdekelt féllel is közölni kell;
• b. az alkalmazandó politika lefedi- e az azonosított lényeges IKT -kockázatok kockázatkezelése szempontjából jelentős összes elemet;
• c. az intézmény bevezetett-e az érintett lényeges IKT- kockázatok azonosítását (pl. kockázati kontroll önértékelés (RCSA), kockázati forgatókönyv -elemzés) és nyomon követését célzó folyamatot és mögöttes eljárásokat;
• d. az intézmény rendelkezik-e az IKT- kockázat kezelésével kapcsolatos jelentéstétellel, amely kellő időben információkkal látja el a felső vezetést és a vezető testületet, és amely lehetővé teszi a felső vezetés és/vagy a vezető testület számára annak értékelését és nyomon követését, hogy az intézmény IKT -kockázatmérséklési tervei és intézkedései összhangban vannak-e kockázatvállalási hajlandóságra/kockázati toleranciára vonatkozó jóváhagyott limitekkel (adott esetben), továbbá lehetővé teszi a lényeges IKT -kockázatok változásának nyomon követését.

3.3.2 A kockázat kezelésére és ellenőrzésére szolgáló szervezeti keretrendszer

Az illetékes hatóságoknak ér tékelniük kell, hogy az alkalmazandó kockázatkezelési szerepek és felelősségek hogyan ágyazódnak be és integrálódnak az azonosított lényeges IKT -kockázatok kezelésére és felügyeletére szolgáló belső szervezetbe. Az illetékes hatóságoknak e tekintetben értékelniük kell, hogy az intézmény bizonyítani tudja - e a következők fennállását:

• a. az érintett lényeges IKT- kockázatok azonosításával, értékelésével, monitorozásával, mérséklésével, jelentésével és felügyeletével kapcsolatos egyértelmű szerepkörök és felelősség ek;
• b. a kockázati felelősségeket és szerepeket egyértelműen közölték, kiosztották és beágyazták a szervezet valamennyi érintett részébe (pl. üzletágak, IT) és szervezetébe, ideértve a kockázati információk összegyűjtésével és összesítésével, valamint azoknak a felső vezetés és/vagy a vezető testület felé való jelentésével kapcsolatos szerepeket és felelősségeket is;
• c. az IKT- kockázatkezelési tevékenységeket elegendő és minőségi szempontból megfelelő humán és technikai erőforrás segítségével végzik el. Az alkalm azandó kockázatmérséklési tervek hitelességének értékelése érdekében az illetékes hatóságoknak azt is értékelniük kell, hogy az intézmény elégséges pénzügyi költségvetést és/vagy egyéb szükséges erőforrást biztosított -e e tervek végrehajtásához;
• d. A független kontrollintézkedések IKT- kockázat(ok)ra vonatkozó fontos megállapításait a vezető testület megfelelően nyomon követi és reagál azokra, figyelembe véve a hatáskör – valamely bizottságra (ha létezik ilyen) való lehetséges átruházását bizonyos szempontokat illetően; és
• e. az alkalmazandó IKT-szabályzatok és - politikák alóli kivételeket nyilvántartják, azokat független kontrolintézkedés keretében – a kapcsolódó kockázatokra összpontosítva – dokumentált felülvizsgálatnak vetik alá, és azokról jelentést tes znek.

3.3.3 A belső ellenőrzés által lefedett terület és annak megállapításai

Az illetékes hatóságoknak mérlegelniük kell, hogy a belső ellenőrzési funkció eredményes -e az alkalmazandó IKT- kockázatkezelési keretrendszer ellenőrzését illetően, a következők felül vizsgálata révén:

• a. az IKT- kockázatkezelési keretrendszert az előírt minőségben, mélységben és gyakorisággal, valamint az intézmény méretével, tevékenységeivel és IKT -kockázati profiljával arányosan ellenőrzik -e;
• b. az ellenőrzési terv magában foglal -e az intézmény által azonosított kritikus IKT -kockázatokra irányuló ellenőrzéseket;
• c. jelentik- e a vezető testületnek az IKT - val kapcsolatos ellenőrzések fontos megállapításait, ezen belül az elfogadott javító intézkedéseket; és
• d. az IKT- val kapcsolatos ellenőrzések megállapításait, ezen belül az elfogadott egyeztetett javító intézkedéseket nyomon követik - e, és a státusz jelentéseket a felső vezetés és/vagy az audit bizottság rendszeres időközönként tárgyalja -e.

3.3.4 A kifejezetten az azonosított lényeges IKT-kockázathoz kapcsolódó IKT -kockázati kontrollintézkedések

Az azonosított lényeges IKT - kockázatok tekintetében az illetékes hatóságoknak értékelniük kell, hogy az intézmény rendelkezik- e külön kontrollintézkedésekkel e kockázatok kezeléséhez. A következő szakaszok ta rtalmazzák a 3.2.3. pont szerint azonosított lényeges kockázatok értékelésekor figyelembe veendő külön kontrollintézkedések nem teljes körű felsorolását, amelyeket a következő IKT -kockázati kategóriákba soroltak be:

• a. IKT rendelkezésre állási és folytonossági kockázatok;
• b. IKT biztonsági kockázatok;
• c. IKT-változások kockázatai;
• d. IKT adatintegritási kockázatok;
• e. IKT kiszervezési kockázatok.
• (a) A lényeges IKT rendelkezésre állási és folytonossági kockázatok kezelésére szolgáló kontrollintézkedések

Az EBH SREP-iránymutatásaiban (279– 281. bekezdés) foglalt követelményeken túlmenően az illetékes hatóságoknak értékelniük kell, hogy az intézmény megfelelő keretrendszerrel rendelkezik -e az IKT rendelkezésre állási és folytonossági kockázatok azonosításához, megértéséhez, méréséhez és mérsékléséhez.

Ezen értékelés érdekében az illetékes hatóságoknak különösen azt kell figyelembe venniük, hogy a keretrendszer:

• a. azonosítja -e a kritikus IKT-folyamatokat és az érintett támogató IKT- rendszereket, amelyeknek az üzletmenet-ellenállósági és - folytonossági tervek részét kell képezniük, a következők révén:
• i. a kritikus üzleti folyamatok és a támogató rendszerek közötti függőségek átfogó elemzése;
• ii. a támogató IKT- rendszerekre vonatkozó helyreállítási célkitűzések meghatározása ( ezt az üzlet és/vagy a szabályzatok jellemzően RTO és RPO megadásával határozzák meg);
• iii. megfelelő készenléti tervezés, amely lehetővé teszi a kritikus IKT -rendszerek és -szolgáltatások rendelkezésre állását, folytonosságát és helyreállítását, hogy elfogadha tó korlátokon belül minimálisra csökkentsék az intézmény tevékenységének zavarát.
• b. rendelkezik-e az üzletmenet-rugalmasság és az üzletmenet- folytonosság ellenőrzésére szolgáló környezetre vonatkozó politikákkal és standardokkal, valamint működési kontrollintézkedésekkel, amelyek a következőket foglalják magukban:
• i. az annak elkerülését szolgáló intézkedések, hogy egyazon forgatókönyv, esemény vagy katasztrófa az éles és a tartalék IKT- rendszereket egyaránt sújtsa;
• ii. az IKT- rendszer mentését és helyreállítását cé lzó eljárások a kritikus szoftverek és adatok tekintetében, amelyek biztosítják, hogy e mentéseket biztonságos és kellően távoli helyen tárolják, hogy a rendszert érintő esemény vagy katasztrófa ne tudja megsemmisíteni vagy megrongálni e kritikus adatokat;
• iii. az IKT rendelkezésre állását vagy folytonosságát érintő incidensek kellő időben történő felderítésére szolgáló nyomonkövetési megoldások;
• iv. dokumentált incidenskezelési és eszkalációs folyamat, amely az incidensek kezelésével és eszkalálásával kapcsolatos k ülönböző szerepekre és felelősségekre, a válságbizottság(ok) tagjaira és a vészhelyzet esetén alkalmazandó parancsnoki láncra vonatkozóan is útmutatást nyújt;
• v. az intézmény kritikus IKT- infrastruktúráinak (pl. adatközpontok) a környezeti kockázatokkal (pl. árvíz és egyéb természeti katasztrófák) szembeni védelmét szolgáló és az IKT -rendszerek megfelelő működési környezetét biztosító (pl. légkondicionálás) fizikai intézkedések;
• vi. olyan folyamatok, szerepek és felelősségek, amelyek biztosítják, hogy a kiszervezett IKT - rendszerekre és - szolgáltatásokra is megfelelő üzletmenet -rugalmassági és -folytonossági megoldások és tervek vonatkozzanak;
• vii. a kritikus IKT-rendszereket és - szolgáltatásokat érintő IKT teljesítmény - és kapacitástervezési és nyomonkövetési megoldások, meghatározott rendelkezésre állási követelményekkel, hogy kellő időben feltárják a teljesítménnyel és kapacitással kapcsolatos korlátokat;
• viii. amennyiben szükség es és helyénvaló, a kritikus internetes tevékenységek vagy szolgáltatások (pl. e- banki szolgáltatások) túlterheléses támadásokkal és más, az internet irányából érkező kibertámadásokkal szembeni védelmét szolgáló megoldások, amely támadások célja az e tevékenységekhez és szolgáltatásokhoz való hozzáférés megakadályozása vagy zavarása;
• c. reális teszt forgatókönyvek körén teszteli-e az IKT rendelkezésre állási és folytonossági megoldásokat, amelyek kibertámadások, vészhelyzeti átkapcsolások és a kritikus szoftve rek és adatok biztonsági mentéseinek tesztelését foglalják magukban, és:
• i. e teszteket megtervezik, kihirdetik és dokumentálják, és a teszteredményeket felhasználják az IKT rendelkezésre állási és folytonossági megoldások eredményességének megerősítésére;
• ii. e tesztekbe bevonják a szervezeten belüli érdekelt feleket és funkciókat, így például az üzletágak vezetőit, ideértve az üzletfolytonossági, incidens - és válságreagálási csoportokat, valamint a szervezet normál működéséhez szükséges külső közreműködőket;
• iii. a vezető testületet és a felső vezetést (pl. a válságkezelési csoportok részeként) megfelelően bevonják a tesztekbe, és tájékoztatják a tesztek eredményeiről.
• (b) A lényeges IKT biztonsági kockázatok kezelésére szolgáló kontrollintézkedések

Az illetékes hatóság oknak értékelniük kell, hogy az intézmény hatékony keretrendszerrel rendelkezik -e az IKT biztonsági kockázatok azonosítása, megértése, mérése és mérséklése céljából. Ezen értékelés érdekében az illetékes hatóságoknak különösen azt kell figyelembe venniük, hogy a keretrendszer vizsgálja- e a következőket:

• a. léteznek- e egyértelműen meghatározott szerepek és felelősségek a következőket illetően:
• i. az IKT- biztonság mindennapi irányításáért és az átfogó IKT -biztonsági politikák kidolgozásáért felelős és/vagy elszámoltatható személy(ek) és/vagy bizottságok, odafigyelve ezek szükséges függetlenségére;
• ii. az IKT- biztonsági kontrollintézkedések kialakítása, végrehajtása, irányítása és nyomon követése;
• iii. a kritikus IKT-rendszerek és - szolgáltatások védelme például sebezhetőségi értékelési folyamat, a szoftver- javítócsomagok kezelése, végponti védelem (pl. rosszindulatú vírusok), behatolásfelderítési és - megelőzési eszközök bevezetése révén;
• iv. a külső és belső IKT - biztonsági események nyomon követése, minősítése és kezelése, ideértve az eseményekre való reagálást és az IKT-rendszerek és - szolgáltatások újraindítását és helyreállítását;
• v. rendszeres és proaktív fenyegetésértékelések a megfelelő biztonsági kontr ollintézkedések fenntartása érdekében.
• b. létezik-e olyan IKT- biztonsági politika, amely figyelembe veszi, és ahol lehet, illeszkedik a nemzetközileg elismert IKT- biztonsági szabványokhoz és biztonsági elvekhez (pl. a „legkisebb jogosultság elve”, azaz a hozzáférés azon minimális szintre való korlátozása, amely lehetővé teszi a hozzáférési jogok kezelésének rendes működését, valamint a „mélységi védelem” elve, azaz a biztonsági architektúra kialakítása terén a többrétegű biztonsági mechanizmusok növelik a rend szer egészének biztonságát);
• c. létezik- e olyan folyamat, mely azonosítja az IKT - rendszereket, szolgáltatásokat és az olyan arányos biztonsági követelményeket, melyek választ adnak a potenciális csalás kockázatára és/vagy a bizalmas adatokkal való lehetséges visszaélésre és/vagy azok lehetséges helytelen felhasználására. Továbbá ez a folyamat meghatározza azokat a dokumentált biztonsági elvárásokat, amelyeket ezen azonosított IKT - rendszerek, -szolgáltatások és adatok tekintetében be kell tartani; illeszkedve az intézmény kockázatvállalási hajlandóságához, és biztosítja a helyes végrehajtás nyomon követését;
• d. létezik- e a biztonsági incidensek kezelésének és eszkalálásának dokumentált folyamata, amely az incidensek kezelésével és eszkalálásával kapcsolatos különbö ző szerepekre és felelősségekre, a válságbizottság(ok) tagjaira és a biztonsági vészhelyzet esetén alkalmazandó parancsnoki láncra vonatkozóan is útmutatást nyújt;
• e. a felhasználói és adminisztratív tevékenységek naplózása, amely lehetővé teszi a jogosulatla n tevékenységek eredményes nyomon követését és kellő időben való felderítését; és segíti a biztonsági eseményekre irányuló bűnügyi vizsgálatok lefolytatását. Az intézménynek olyan naplózási politikákkal kell rendelkeznie, amelyek meghatározzák a vezetendő naplók megfelelő típusait és azok megőrzési idejét;
• f. biztonságtudatosság növelő és tájékoztató kampányok vagy kezdeményezések, hogy az intézményben minden szintet tájékoztassanak az intézmény IKT-rendszereinek biztonságos használatáról és védelméről, valamint a fő IKT - biztonsági (és egyéb) kockázatokról, amelyekről az adott szintnek tudnia kell, különösen a fennálló vagy a későbbiekben megjelenő kiberfenyegetéseket (pl. számítógépes vírusok, lehetséges belső vagy külső visszaélések vagy támadások, kibertámadások) illetően, valamint a munkavállalók a biztonság megsértésének mérséklésében betöltendő szerepéről;
• g. megfelelő fizikai intézkedések (pl. CCTV, riasztóberendezés, biztonsági ajtók), a kritikus és érzékeny IKT-rendszerekhez (pl. adatközpontok) való jogosulatlan fizikai hozzáférés megakadályozása érdekében;
• h. az IKT- rendszerek internet felől érkező támadásokkal (azaz kibertámadásokkal) vagy más külső hálózatok (pl. hagyományos távközlési kapcsolatok vagy megbízható partnerekkel fenntartott kapcsolatok) irány ából érkező támadásokkal szembeni védelmét szolgáló intézkedések. Az illetékes hatóságoknak felül kell vizsgálniuk, hogy az intézmény keretrendszere figyelembe veszi -e a következőket:
• i. az összes olyan kifelé tekintő hálózati kapcsolati pont (pl. weboldalak, internetalkalmazások, WIFI, távoli elérés) teljes és naprakész leltárának és áttekintésének fenntartását célzó folyamat és megoldások, amelyen keresztül harmadik felek betörhetnének a belső IKT -rendszerekbe.
• ii. szorosan kezelt és nyomon követett biztonsági i ntézkedések (pl. tűzfalak, proxy szerverek, levéltovábbítók, vírusirtók és tartalomszűrők), amelyek célja a bejövő és kimenő hálózati forgalom (pl. e- mail), valamint azon kifelé tekintő hálózati kapcsolatok biztonságának biztosítása, amelyen keresztül harmadik felek betörhetnének a belső IKT -rendszerekbe;
• iii. az azon weboldalak és alkalmazások biztosítását célzó folyamatok és megoldások, amelyek az internetről és/vagy kívülről közvetlenül támadhatók, és amelyek a belső IKT - rendszerekbe való belépés pontjaként szolgálhatnak. Ezek általában a következő együttesét foglalják magukban: elismert biztonságos fejlesztési gyakorlatok, az IKT -rendszer támadási felületének csökkentésére (hardening) és sérülékenységének szűrésére szolgáló gyakorlatok, és/vagy további biztonsági megoldások, mint például alkalmazási tűzfalak és/vagy behatolásfelderítési (IDS) és/vagy behatolásmegelőzési (IPS) rendszerek bevezetése;
• iv. a biztonsági behatolási tesztelések időszakonkénti végzése, hogy értékeljék a bevezetett kiberbiztonsági és bels ő IKT -biztonsági intézkedések és folyamatok eredményességét. E teszteket a személyzetnek és/vagy a szükséges szakértelemmel rendelkező külső szakértőknek kell elvégezniük, a teszteredmények dokumentálásával és a következtetések felső vezetésnek és/vagy vezető testületnek való jelentésével. Amennyiben szükséges és alkalmazandó, az intézménynek le kell vonnia a tanulságot e tesztekből arra vonatkozóan, hogy hol kell tovább javítani a biztonsági kontrollintézkedéseket és folyamatokat és/vagy jobb bizonyosságot szerezni azok eredményességére vonatkozóan.
• (c) Az IKT változásaival kapcsolatos lényeges kockázatok kezelésére szolgáló kontrollintézkedések

Az illetékes hatóságoknak értékelniük kell, hogy az intézmény hatékony keretrendszerrel rendelkezik-e az IKT- változásokhoz kapcsolódó kockázatok azonosítása, megértése, mérése és mérséklése céljából, amely arányban áll az intézmény tevékenységeinek jellegével, nagyságrendjével és összetettségével, valamint az intézmény IKT-kockázati profiljával. Az intézmény keretrendszerének fel kell ölelnie az IKT-rendszerek fejlesztésével, tesztelésével és változtatásainak jóváhagyásával kapcsolatos kockázatokat, ideértve a szoftverek fejlesztését vagy változtatását, mielőtt azokat az éles környezetbe migrálnák, és biztosítania kell a megfelelő IKT -életcikluskezelést. Ezen értékelés érdekében az illetékes hatóságoknak különösen azt kell figyelembe venniük, hogy a keretrendszer vizsgálja - e a következőket:

• a. dokumentált folyamatok az IKT-rendszerek változásain ak kezelése és ellenőrzése céljából (pl. konfiguráció- és javítócsomag - kezelés) és az adatok változásainak kezelése és ellenőrzése céljából (pl. hibajavítás és adatjavítások), amelyek biztosítják az IKT - kockázatkezelés megfelelő bevonását az IKT olyan font os változásai esetén, amelyek jelentős hatást gyakorolhatnak az intézmény kockázati profiljára vagy kitettségére;
• b. a bevezetett IKT- változások különböző szakaszaira vonatkozó összeférhetetlenségi előírások (pl. megoldások tervezése és fejlesztése, új szoftverek és/vagy változások tesztelése és jóváhagyása, migráció és az éles környezetben való bevezetés, valamint hibajavítás), a bevezetett megoldásokra és az éles IKT- rendszereket és adatokat érintő változások kezelésével és ellenőrzésével kapcsolatos, az IKT- személyzet (pl. fejlesztők, IKT - rendszergazdák, adatbázis -adminisztrátorok) vagy bármely másik fél (pl. üzleti felhasználók, szolgáltatók) által ellátott feladatok elkülönítésére összpontosítva;
• c. az éles környezetet megfelelően tükröző tesztkörnyezetek;
• d. a z éles környezet, valamint a teszt - és fejlesztési környezet meglévő alkalmazásainak és IKT - rendszereinek eszköz nyilvántartása, hogy a szükséges változtatásokat (pl. verziófrissítések, javítások, konfigurációs változtatások) az érintett IKT -rendszerek tek intetében megfelelően lehessen kezelni, végrehajtani és nyomon követni;
• e. a használatban lévő IKT -rendszerek életciklusának nyomon követésére és kezelésére szolgáló folyamat, amellyel biztosítható, hogy azok továbbra is megfeleljenek az aktuális üzleti és ko ckázatkezelési követelményeknek és támogassák azokat, valamint amellyel meg lehet győződni arról, hogy a használatban lévő IKT -megoldásokat és - rendszereket szállítóik továbbra is támogatják-e; és hogy ezt a szoftverfejlesztési életciklusra (SDLC) vonatkoz ó megfelelő eljárások kísérik -e;
• f. a szoftverforráskódok ellenőrzési rendszere és megfelelő eljárások, amelyek célja, hogy megakadályozzák a jogosulatlan változtatásokat a házon belül fejlesztett szoftverek forráskódjában;
• g. az új vagy lényegesen átalakított I KT- rendszerek biztonsági és sérülékenységi szűrésének folyamata az éles üzembe állítást és a lehetséges kibertámadásoknak való kitettséget megelőzően;
• h. az IKT- rendszerek cseréjekor, archiválásakor, megszüntetésekor vagy megsemmisítésekor a bizalmas adatok j ogosulatlan vagy nem szándékos kiszolgáltatásának megelőzésére szolgáló folyamat és megoldások;
• i. független felülvizsgálati és hitelesítési folyamatok, amelyek célja az emberi hibák kockázatának csökkentése az IKT-rendszerek azon változtatásainak a végrehajt ása során, amelyek fontos káros hatást gyakorolhatnak az intézmény rendelkezésre állására, üzletmenet -folytonosságára vagy biztonságára (pl. a tűzfal beállításának fontos változtatásai) vagy az intézmény biztonságára (pl. a tűzfalak változtatásai).
• (d) Az IKT adatintegritással kapcsolatos lényeges kockázatok kezelésére szolgáló kontrollintézkedések

Az illetékes hatóságoknak értékelniük kell, hogy az intézmény hatékony keretrendszerrel rendelkezik -e az IKT adatintegritáshoz kapcsolódó kockázatok azonosítása, megértése, mérése és mérséklése céljából, amely arányban áll az intézmény tevékenységeinek jellegével, nagyságrendjével és összetettségével és az intézmény IKT-kockázati profiljával. Az intézmény keretrendszerének figyelembe kell vennie az IKT-rendszerek ált al tárolt és feldolgozott adatok integritásának megőrzésével kapcsolatos kockázatokat. Ezen értékelés érdekében az illetékes hatóságoknak különösen azt kell figyelembe venniük, hogy a keretrendszer vizsgálja- e a következőket:

• a. olyan politika, amely meghatár ozza az IKT- rendszerekben lévő adatok integritásának a kezelésével kapcsolatos szerepeket és felelősségeket (pl. adatépítész, adatmenedzserek⁶ , adatgondozók⁷ , adatgazdák/adatgazdászok⁸ ), és útmutatást nyújt azzal kapcsolatban, hogy az adatintegritás szempo ntjából mely adatok kritikusak, és mely adatokat kell meghatározott IKT - ellenőrzéseknek (pl. automatizált beviteli hitelesítési ellenőrzések, adatátadási ellenőrzések, egyeztetések stb.) vagy felülvizsgálatoknak (pl. az adatarchitektúrával való összeegyeztethetőség ellenőrzése) alávetni az IKT- adatok életciklusának különböző szakaszaiban;
• b. dokumentált adatarchitektúra, adatmodell és/vagy - szótár, amelyet az érintett üzleti és IT érdekelt felekkel hitelesítenek, és amely támogatja az IKT -rendszerek körében az adatok szükséges következetességét, és biztosítja, hogy az adatarchitektúra, az adatmodell és/vagy az adatszótár folyamatosan illeszkedjen az üzleti és kockázatkezelési szükségletekhez;
• c. a végfelhasználói számítástechnika (end -user computing – EUC) megengedett felhasználására és az arra való támaszkodásra vonatkozó politika, különösen a fontos végfelhasználói számítástechnikai megoldások azonosítását, nyilvántartását és dokumentálását illetően (pl. fontos adatok feldolgozásakor), valamint a jogosulatlan – a kár magában az eszközben, akár az abban tárolt adatokban elvégzett – átalakítások megelőzése céljából elvárt biztonsági szintek;
• d. a kivételek kezelésére szolgáló dokumentált folyamatok, amelyek célja az azonosított adatintegritási problémák azok kritikusságával és érzékenységével összhangban való megoldása.

⁶ Az adatmenedzser az adatok feldolgozásáért és felhasználásáért felel.

⁷ Az adatgondozó az adatok biztonságos őrzéséért, szállításáért és táro lásáért felel.

⁸ Az adatgazdász az adatelemek – mind a tartalom, mind a metaadatok – kezeléséért és alkalmasságáért felel.

Azon felügyelt intézmények esetében, amelyek a BCBS kockázati adatok eredményes összesítésére és a kockázati jelentéstételre vonatkozó 239. sz. elveinek⁹ a hatálya alá tartoznak, az illetékes hatóságoknak felül kell vizsgálniuk az intézmény kockázati jelentéstételi és adatösszesítési kapacitásainak kockázati elemzését, az elvekkel és az erre vonatkozó, elkészített dokumentációval összehasonlítva azt, figye lembe véve az ezen elvekben foglalt végrehajtási időkeretet és átmeneti rendelkezéseket.

• (e) Az IKT kiszervezésével kapcsolatos lényeges kockázatok kezelésére szolgáló kontrollintézkedések

⁹ Bázeli Bankfelügyeleti Bizottság, A kockázati adatok eredményes összesítésére és a kockázati jelentéstételre vonatkozó elvek, 2013. január, az interneten a következő címen érhető el: http://www.bis.org/publ/bcbs239.pdf.

Az illetékes hatóságoknak értékelniük kell, hogy az intézmény kiszervezési stratégiája, a CEBS kiszervezési iránymutatásaiban (2006) foglalt követelményekkel összhangban van-e és az EBH SREP-iránymutatásai 85. bekezdésének d) pontjában foglalt követelmények szerint megfelelően alkalmazandó- e az IKT kiszervezésére, beleértve a csoporton belüli kiszervezést is, amelynek keretében a csoporton belül nyújtanak IKT -szolgáltatásokat. Az IKT kiszervezési kockázatok értékelésekor az illetékes hatóságoknak figyelembe kell venniük, hogy az IKT kiszervezési kockázatok az inherens működés i kockázatok EBH SREP- iránymutatásai 240. bekezdésének j) pontja szerinti értékelésének részeként is lefedhetők, a párhuzamos munka vagy a kétszeres beszámítás elkerülése érdekében.

Az illetékes hatóságoknak értékelniük kell különösen, hogy az intézmény hatékony keretrendszerrel rendelkezik- e az IKT kiszervezési kockázatok azonosítása, megértése és mérése céljából, és különösen, hogy rendelkezik- e olyan, a lényeges kiszervezett IKT -szolgáltatásokkal kapcsolatos kockázatok mérséklésére szolgáló kontrollint ézkedésekkel és kontrollkörnyezettel, amely arányban áll az intézmény méretével, tevékenységeivel és IKT - kockázati profiljával, és magában foglalja a következőket:

• a. az IKT kiszervezése által az intézmény kockázatkezelésére gyakorolt, a szolgáltatók (pl. felhőalapú szolgáltatások nyújtói) igénybevételével és ezek szolgáltatásaival összefüggő hatás a beszerzési folyamat során történő értékelése, amelyet dokumentálnak, és amelyet a felső vezetés vagy a vezető testület figyelembe vesz az arra vonatkozó döntés meghozatalakor, hogy kiszervezzék -e a szolgáltatásokat vagy sem. Az intézménynek felül kell vizsgálnia a szolgáltató IKT-kockázatkezelési politikáit, IKT - kontrollintézkedéseit és kontrollkörnyezetét, azt biztosítandó, hogy ezek megfeleljenek az intézmény b első kockázatkezelési célkitűzéseinek és kockázatvállalási hajlandóságának. E felülvizsgálatot a szerződéses kiszervezési időszak alatt rendszeresen frissíteni kell, figyelembe véve a kiszervezett szolgáltatások jellemzőit;
• b. a kiszervezett szolgáltatások IKT- kockázatainak nyomon követése a szerződéses kiszervezési időszak alatt az intézmény kockázatkezelésének részeként, amely alapanyagot szolgáltat az IKT -kockázat kezelésére vonatkozó jelentéstételhez (pl. az üzletfolytonossági jelentés, biztonsági jelent és elkészítéséhez);
• c. a kapott szolgáltatási szintek nyomon követése és összehasonlítása a szerződésben vállalt szolgáltatási szintekkel, amelyeknek a kiszervezési szerződés vagy a szolgáltatási szintre vonatkozó megállapodás (SLA) részét kell képezniük; és
• d. megfelelő személyzet, erőforrások és hatáskörök a kiszervezett szolgáltatásokból származó IKT - kockázatok nyomon követéséhez és kezeléséhez.