54. Ezen értékelés érdekében az illetékes hatóságoknak különösen azt kell figyelembe venniük, hogy …

Ezen értékelés érdekében az illetékes hatóságoknak különösen azt kell figyelembe venniük, hogy a keretrendszer:

• a. azonosítja -e a kritikus IKT-folyamatokat és az érintett támogató IKT- rendszereket, amelyeknek az üzletmenet-ellenállósági és - folytonossági tervek részét kell képezniük, a következők révén:
• i. a kritikus üzleti folyamatok és a támogató rendszerek közötti függőségek átfogó elemzése;
• ii. a támogató IKT- rendszerekre vonatkozó helyreállítási célkitűzések meghatározása ( ezt az üzlet és/vagy a szabályzatok jellemzően RTO és RPO megadásával határozzák meg);
• iii. megfelelő készenléti tervezés, amely lehetővé teszi a kritikus IKT -rendszerek és -szolgáltatások rendelkezésre állását, folytonosságát és helyreállítását, hogy elfogadha tó korlátokon belül minimálisra csökkentsék az intézmény tevékenységének zavarát.
• b. rendelkezik-e az üzletmenet-rugalmasság és az üzletmenet- folytonosság ellenőrzésére szolgáló környezetre vonatkozó politikákkal és standardokkal, valamint működési kontrollintézkedésekkel, amelyek a következőket foglalják magukban:
• i. az annak elkerülését szolgáló intézkedések, hogy egyazon forgatókönyv, esemény vagy katasztrófa az éles és a tartalék IKT- rendszereket egyaránt sújtsa;
• ii. az IKT- rendszer mentését és helyreállítását cé lzó eljárások a kritikus szoftverek és adatok tekintetében, amelyek biztosítják, hogy e mentéseket biztonságos és kellően távoli helyen tárolják, hogy a rendszert érintő esemény vagy katasztrófa ne tudja megsemmisíteni vagy megrongálni e kritikus adatokat;
• iii. az IKT rendelkezésre állását vagy folytonosságát érintő incidensek kellő időben történő felderítésére szolgáló nyomonkövetési megoldások;
• iv. dokumentált incidenskezelési és eszkalációs folyamat, amely az incidensek kezelésével és eszkalálásával kapcsolatos k ülönböző szerepekre és felelősségekre, a válságbizottság(ok) tagjaira és a vészhelyzet esetén alkalmazandó parancsnoki láncra vonatkozóan is útmutatást nyújt;
• v. az intézmény kritikus IKT- infrastruktúráinak (pl. adatközpontok) a környezeti kockázatokkal (pl. árvíz és egyéb természeti katasztrófák) szembeni védelmét szolgáló és az IKT -rendszerek megfelelő működési környezetét biztosító (pl. légkondicionálás) fizikai intézkedések;
• vi. olyan folyamatok, szerepek és felelősségek, amelyek biztosítják, hogy a kiszervezett IKT - rendszerekre és - szolgáltatásokra is megfelelő üzletmenet -rugalmassági és -folytonossági megoldások és tervek vonatkozzanak;
• vii. a kritikus IKT-rendszereket és - szolgáltatásokat érintő IKT teljesítmény - és kapacitástervezési és nyomonkövetési megoldások, meghatározott rendelkezésre állási követelményekkel, hogy kellő időben feltárják a teljesítménnyel és kapacitással kapcsolatos korlátokat;
• viii. amennyiben szükség es és helyénvaló, a kritikus internetes tevékenységek vagy szolgáltatások (pl. e- banki szolgáltatások) túlterheléses támadásokkal és más, az internet irányából érkező kibertámadásokkal szembeni védelmét szolgáló megoldások, amely támadások célja az e tevékenységekhez és szolgáltatásokhoz való hozzáférés megakadályozása vagy zavarása;
• c. reális teszt forgatókönyvek körén teszteli-e az IKT rendelkezésre állási és folytonossági megoldásokat, amelyek kibertámadások, vészhelyzeti átkapcsolások és a kritikus szoftve rek és adatok biztonsági mentéseinek tesztelését foglalják magukban, és:
• i. e teszteket megtervezik, kihirdetik és dokumentálják, és a teszteredményeket felhasználják az IKT rendelkezésre állási és folytonossági megoldások eredményességének megerősítésére;
• ii. e tesztekbe bevonják a szervezeten belüli érdekelt feleket és funkciókat, így például az üzletágak vezetőit, ideértve az üzletfolytonossági, incidens - és válságreagálási csoportokat, valamint a szervezet normál működéséhez szükséges külső közreműködőket;
• iii. a vezető testületet és a felső vezetést (pl. a válságkezelési csoportok részeként) megfelelően bevonják a tesztekbe, és tájékoztatják a tesztek eredményeiről.
• (b) A lényeges IKT biztonsági kockázatok kezelésére szolgáló kontrollintézkedések

1. Áttekintés

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabványok

2. Azonosított követelmények

3. Kapcsolódó szabványok

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/