55. Az illetékes hatóság oknak értékelniük kell, hogy az intézmény hatékony keretrendszerrel …

Az illetékes hatóság oknak értékelniük kell, hogy az intézmény hatékony keretrendszerrel rendelkezik -e az IKT biztonsági kockázatok azonosítása, megértése, mérése és mérséklése céljából. Ezen értékelés érdekében az illetékes hatóságoknak különösen azt kell figyelembe venniük, hogy a keretrendszer vizsgálja- e a következőket:

• a. léteznek- e egyértelműen meghatározott szerepek és felelősségek a következőket illetően:
• i. az IKT- biztonság mindennapi irányításáért és az átfogó IKT -biztonsági politikák kidolgozásáért felelős és/vagy elszámoltatható személy(ek) és/vagy bizottságok, odafigyelve ezek szükséges függetlenségére;
• ii. az IKT- biztonsági kontrollintézkedések kialakítása, végrehajtása, irányítása és nyomon követése;
• iii. a kritikus IKT-rendszerek és - szolgáltatások védelme például sebezhetőségi értékelési folyamat, a szoftver- javítócsomagok kezelése, végponti védelem (pl. rosszindulatú vírusok), behatolásfelderítési és - megelőzési eszközök bevezetése révén;
• iv. a külső és belső IKT - biztonsági események nyomon követése, minősítése és kezelése, ideértve az eseményekre való reagálást és az IKT-rendszerek és - szolgáltatások újraindítását és helyreállítását;
• v. rendszeres és proaktív fenyegetésértékelések a megfelelő biztonsági kontr ollintézkedések fenntartása érdekében.
• b. létezik-e olyan IKT- biztonsági politika, amely figyelembe veszi, és ahol lehet, illeszkedik a nemzetközileg elismert IKT- biztonsági szabványokhoz és biztonsági elvekhez (pl. a „legkisebb jogosultság elve”, azaz a hozzáférés azon minimális szintre való korlátozása, amely lehetővé teszi a hozzáférési jogok kezelésének rendes működését, valamint a „mélységi védelem” elve, azaz a biztonsági architektúra kialakítása terén a többrétegű biztonsági mechanizmusok növelik a rend szer egészének biztonságát);
• c. létezik- e olyan folyamat, mely azonosítja az IKT - rendszereket, szolgáltatásokat és az olyan arányos biztonsági követelményeket, melyek választ adnak a potenciális csalás kockázatára és/vagy a bizalmas adatokkal való lehetséges visszaélésre és/vagy azok lehetséges helytelen felhasználására. Továbbá ez a folyamat meghatározza azokat a dokumentált biztonsági elvárásokat, amelyeket ezen azonosított IKT - rendszerek, -szolgáltatások és adatok tekintetében be kell tartani; illeszkedve az intézmény kockázatvállalási hajlandóságához, és biztosítja a helyes végrehajtás nyomon követését;
• d. létezik- e a biztonsági incidensek kezelésének és eszkalálásának dokumentált folyamata, amely az incidensek kezelésével és eszkalálásával kapcsolatos különbö ző szerepekre és felelősségekre, a válságbizottság(ok) tagjaira és a biztonsági vészhelyzet esetén alkalmazandó parancsnoki láncra vonatkozóan is útmutatást nyújt;
• e. a felhasználói és adminisztratív tevékenységek naplózása, amely lehetővé teszi a jogosulatla n tevékenységek eredményes nyomon követését és kellő időben való felderítését; és segíti a biztonsági eseményekre irányuló bűnügyi vizsgálatok lefolytatását. Az intézménynek olyan naplózási politikákkal kell rendelkeznie, amelyek meghatározzák a vezetendő naplók megfelelő típusait és azok megőrzési idejét;
• f. biztonságtudatosság növelő és tájékoztató kampányok vagy kezdeményezések, hogy az intézményben minden szintet tájékoztassanak az intézmény IKT-rendszereinek biztonságos használatáról és védelméről, valamint a fő IKT - biztonsági (és egyéb) kockázatokról, amelyekről az adott szintnek tudnia kell, különösen a fennálló vagy a későbbiekben megjelenő kiberfenyegetéseket (pl. számítógépes vírusok, lehetséges belső vagy külső visszaélések vagy támadások, kibertámadások) illetően, valamint a munkavállalók a biztonság megsértésének mérséklésében betöltendő szerepéről;
• g. megfelelő fizikai intézkedések (pl. CCTV, riasztóberendezés, biztonsági ajtók), a kritikus és érzékeny IKT-rendszerekhez (pl. adatközpontok) való jogosulatlan fizikai hozzáférés megakadályozása érdekében;
• h. az IKT- rendszerek internet felől érkező támadásokkal (azaz kibertámadásokkal) vagy más külső hálózatok (pl. hagyományos távközlési kapcsolatok vagy megbízható partnerekkel fenntartott kapcsolatok) irány ából érkező támadásokkal szembeni védelmét szolgáló intézkedések. Az illetékes hatóságoknak felül kell vizsgálniuk, hogy az intézmény keretrendszere figyelembe veszi -e a következőket:
• i. az összes olyan kifelé tekintő hálózati kapcsolati pont (pl. weboldalak, internetalkalmazások, WIFI, távoli elérés) teljes és naprakész leltárának és áttekintésének fenntartását célzó folyamat és megoldások, amelyen keresztül harmadik felek betörhetnének a belső IKT -rendszerekbe.
• ii. szorosan kezelt és nyomon követett biztonsági i ntézkedések (pl. tűzfalak, proxy szerverek, levéltovábbítók, vírusirtók és tartalomszűrők), amelyek célja a bejövő és kimenő hálózati forgalom (pl. e- mail), valamint azon kifelé tekintő hálózati kapcsolatok biztonságának biztosítása, amelyen keresztül harmadik felek betörhetnének a belső IKT -rendszerekbe;
• iii. az azon weboldalak és alkalmazások biztosítását célzó folyamatok és megoldások, amelyek az internetről és/vagy kívülről közvetlenül támadhatók, és amelyek a belső IKT - rendszerekbe való belépés pontjaként szolgálhatnak. Ezek általában a következő együttesét foglalják magukban: elismert biztonságos fejlesztési gyakorlatok, az IKT -rendszer támadási felületének csökkentésére (hardening) és sérülékenységének szűrésére szolgáló gyakorlatok, és/vagy további biztonsági megoldások, mint például alkalmazási tűzfalak és/vagy behatolásfelderítési (IDS) és/vagy behatolásmegelőzési (IPS) rendszerek bevezetése;
• iv. a biztonsági behatolási tesztelések időszakonkénti végzése, hogy értékeljék a bevezetett kiberbiztonsági és bels ő IKT -biztonsági intézkedések és folyamatok eredményességét. E teszteket a személyzetnek és/vagy a szükséges szakértelemmel rendelkező külső szakértőknek kell elvégezniük, a teszteredmények dokumentálásával és a következtetések felső vezetésnek és/vagy vezető testületnek való jelentésével. Amennyiben szükséges és alkalmazandó, az intézménynek le kell vonnia a tanulságot e tesztekből arra vonatkozóan, hogy hol kell tovább javítani a biztonsági kontrollintézkedéseket és folyamatokat és/vagy jobb bizonyosságot szerezni azok eredményességére vonatkozóan.
• (c) Az IKT változásaival kapcsolatos lényeges kockázatok kezelésére szolgáló kontrollintézkedések

1. Áttekintés

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabványok

2. Azonosított követelmények

3. Kapcsolódó szabványok

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/