39. Durante la revisione del profilo di rischio ICT dell’ente, le autorità competenti dovrebbero …

Durante la revisione del profilo di rischio ICT dell’ente, le autorità competenti dovrebbero prendere in considerazione tutte le informazioni pertinenti riguardanti le esposizioni ai rischi ICT dell’ente, comprese le informazioni di cui al paragrafo 37, e le carenze o debolezze rilevanti individuate nell’organizzazione ICT e nei controlli a livello aziendale di cui al titolo 2 dei presenti Orientamenti e, se del caso, esaminare tali informazioni in modo appropriato. Nell’ambito della presente revisione, le autorità competenti dovrebbero considerare quanto segue:

• a. il potenziale impatto di una interruzione significativa del funzionamento dei sistemi ICT dell’ente sul sistema finanziario, a livello nazionale o internazionale;
• b. se l’ente possa essere soggetto a rischi di sicurezza ICT o a rischi di disponibilità e continuità ICT dovuti alla dipendenza da Internet, all’elevato utilizzo di soluzioni ICT innovative o ad altri canali di distribuzione aziendale che potrebbero rendere l’ente un possibile obiettivo di attacchi informatici;
• c. se l’ente possa essere maggiormente esposto a rischi di sicurezza ICT , rischi di disponibilità e continuità ICT , rischi di integrità dei dati ICT o rischi relativi ai cambiamenti ICT dovuti alla complessità (ad esempio, derivante da fusioni o acquisizioni) o all’obsolescenza dei suoi sistemi ICT;
• d. se l’ente stia attuando cambiamenti sostanziali ai propri sistemi ICT e/o alla funzione ICT (ad esempio, a seguito di fusioni, acquisizioni, dismissioni o sostituzione dei principali sistemi ICT) che possono avere effetti negativi sulla stabilità o sul regolare funzionamento dei sistemi ICT e comportare rischi ICT rilevanti di disponibilità e continuità, di sicurezza, relativi ai cambiamenti o di integrità dei dati;
• e. se l’ente abbia esternalizzato i servizi o i sistemi ICT, all’interno o all’esterno del gruppo, e se pertanto possa essere esposto a rischi di esternalizzazione ICT rilevanti ;
• f. se l’ente stia attuando misure aggressive di riduzione dei costi delle ICT che possano portare alla riduzione di investimenti in ICT, risorse e competenze informatiche necessari e possano aumentare l’esposizione a tutti i tipi di rischi ICT illustrati nella classificazione;
• g. se l’ubicazione di importanti centri operativi/dati ICT (ad es. regioni, paesi) possa esporre l’ente a catastrofi naturali (ad es. inondazioni, terremoti), instabilità politica o conflitti sindacali e disordini civili che possano portare ad un aumento significativo dei rischi di disponibilità e continuità e di sicurezza ICT.

3.2.2 Analisi dei sistemi e dei servizi ICT critici

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

3. Standard correlati

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/