184. Az IKT- és biztonsági kockázatok tekintetében az illetékes hatóságoknak meg kell győződniük …

Az IKT- és biztonsági kockázatok⁵⁵ tekintetében az illetékes hatóságoknak meg kell győződniük arról, hogy a kezelési keretrendszer biztosítani fogja a hitelintézetek tevékenységét támogató infor mációs és kommunikációs rendszerek szilárd, megbízható és biztonságos működését, valamint az IKT- kockázatok megfelelő megelőzését, nyomon követését és csökkentését rendes körülmények között és stresszhelyzetekben. Az illetékes hatóságoknak különösen a köve tkezőket kell értékelniük:

• (a) a vezető testület általánosan elszámoltatható -e a pénzügyi intézmény azon IKT-stratégiájának kidolgozásáért, jóváhagyásáért és végrehajtásának felügyeletéért, amelyet össze kell hangolni a pénzügyi intézmények általános üzleti st ratégiájával;
• (b) egyértelmű meghatározták -e és kiosztották-e az IKT- és biztonságikockázat-kezelési keret eredményessége érdekében a kulcsfontosságú szerepeket és felelősségeket, valamint a vonatkozó jelentési útvonalakat, beleértve az IKT operatív igényeinek , valamint az IKT- és biztonsági kockázatkezelés megfelelő támogatására szolgáló megfelelő költségvetés elkülönítését;
• (c) az IKT- és biztonsági kockázatok kezelésével és felügyeletével egy független és objektív kontroll funkciót bíznak -e meg, amely megfelelően elkülönül az IKT működési folyamataitól, és nem felel semmilyen belső ellenőrzésért, valamint egy független belső kontroll funkciót;
• (d) az üzleti funkciók, szerepkörök és támogató folyamatok áttekintő táblája meghatározásának, létrehozásának és fo lyamatos frissítésnek biztosítását szolgáló rendelkezések, hogy azonosítsák ezek mindegyikének fontosságát és az IKT - és biztonsági kockázatokkal kapcsolatos kölcsönös függőségeiket;
• (e) amennyiben az információkat IKT-rendszerekben tárolják, érvényben lesznek-e az információbiztonsági követelmények;
• (f) az IKT- hoz kapcsolódó függőségek nagyságrendje, összetettsége és jelentősége, amennyiben az IKT- szolgáltatások operatív funkcióinak és az IKT -rendszerek bármely tevékenységének – ideértve a csoporthoz tartozó vállalkozásokat is – kiszervezését, vagy harmadik felek ilyen funkciókkal és tevékenységgel kapcsolatos igénybevételét tervezik.

⁵⁵ Az IKT- és biztonsági kockázatkezelésére vonatkozó EBH iránymutatások meghatározása szerint az „IKT- és biztonsági kockázat”: „A bizalmasság megsértéséből, a rendszerek és adatok sértetlenségének sérüléséből, a rendszerek és adatok megfelelőségének vagy elérhetetlenségének hiányából, illetve a környezeti vagy üzleti követelmények változása esetén az információs technológia (IT) észszerű időn belül és költségekkel járó megváltoztatására való (agilitás) képtelenségből adódó veszteség kockázata. Ide tartoznak a nem megfelelő vagy rosszul működő belső folyamatokból vagy külső eseményekből eredő biztonsági kockázatok, beleértve a kibertámadásokat vagy a nem megfelelő fizikai biztonságot is.

1. Áttekintés

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabványok

2. Azonosított követelmények

3. Kapcsolódó szabványok

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/