54. Per questa valutazione, le autorità competenti dovrebbero, in particolar modo, considerare se …

Per questa valutazione, le autorità competenti dovrebbero, in particolar modo, considerare se il framework:

• a. individui i processi critici dell’ICT i relativi sistemi ICT di supporto che dovrebbero far parte del piano di resilienza e continuità aziendale mediante:
• i. un’analisi completa della relazione di dipendenza tra i processi aziendali critici e i sistemi di supporto;
• ii. la determinazione degli obiettivi di ripristino per i sistemi ICT di supporto (ad esempio generalmente determinati dalle attività aziendali e/o dai regolamenti in termini di RTO e RPO);
• iii. adeguati piani di emergenza per consentire la disponibilità, la continuità e il ripristino di sistemi e servizi ICT critici al fine di ridurre le interruzioni delle operazioni di un ente entro limiti accettabili.
• b. disponga di resilienza aziendale, standard e politiche ambientali di controllo della continuità e controlli operativi che includano:
• i. misure per evitare che un singolo scenario, incidente o disastro possa avere un impatto sia sui sistemi ICT di produzione che su quelli di ripristino;
• ii. procedure di backup e ripristino dei sistemi ICT per software e dati critici, che assicurino che tali backup siano memorizzati in una posizione sicura e sufficientemente remota in modo che non possano essere distrutti o corrotti in caso di incidente o disastro;
• iii. soluzioni di monitoraggio per la rilevazione tempestiva degli incidenti legati alla disponibilità o continuità delle ICT;
• iv. un processo documentato di gestione e di escalation, che fornisca inoltre indicazioni sui diversi ruoli e responsabilità di gestione e di escalation degli incidenti, sui membri del/dei comitato/i di crisi e sulla catena di comando in caso di emergenza;
• v. misure fisiche per proteggere le infrastrutture ICT critiche dell’ente (ad es. centri dati) da rischi ambientali (ad es. allagamenti e altri disastri naturali) e garantire un ambiente operativo appropriato per i sistemi ICT (ad es. aria condizionata);
• vi. processi, ruoli e responsabilità per garantire che anche i sistemi e i servizi ICT esternalizzati siano coperti da adeguati piani e soluzioni di resilienza aziendale e di continuità;
• vii. soluzioni di pianificazione e monitoraggio delle prestazioni e della capacità dei sistemi e servizi ICT critici, con requisiti di disponibilità definiti, per individuare tempestivamente importanti limitazioni a prestazioni e capacità;
• viii. soluzioni per proteggere attività o servizi Internet critici (ad es. servizi di e-banking), ove necessario e appropriato, da attacchi “denial of service” e da altri attacchi informatici provenienti da Internet mirati a impedire o disturbare l’accesso a tali attività e servizi.
• c. testi le soluzioni di disponibilità e continuità delle risorse ICT, ipotizzando una gamma di scenari realistici che includano attacchi informatici e test di fail-over e backup per software e dati critici che:
• i. siano pianificati, formalizzati e documentati e i cui risultati vengano utilizzati per rafforzare l’efficacia delle soluzioni di disponibilità e continuità delle risorse ICT;
• ii. includano le parti interessate e le funzioni interne all’organizzazione, quali i responsabili delle linee di business, compresi i team responsabili della continuità aziendale, degli incidenti e gestione delle crisi, nonché le parti interessate esterne, appartenenti all’ecosistema;
• iii. coinvolgano adeguatamente l’organo di amministrazione e l’alta dirigenza (ad esempio, in quanto parte dei team di gestione delle crisi), che vengono informati dei risultati dei test.
• (b) Controlli per la gestione dei rischi rilevanti di sicurezza ICT

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

3. Standard correlati

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.