54. Per questa valutazione, le autorità competenti dovrebbero, in particolar modo, considerare se …

Per questa valutazione, le autorità competenti dovrebbero, in particolar modo, considerare se il framework:

• a. individui i processi critici dell’ICT i relativi sistemi ICT di supporto che dovrebbero far parte del piano di resilienza e continuità aziendale mediante:
• i. un’analisi completa della relazione di dipendenza tra i processi aziendali critici e i sistemi di supporto;
• ii. la determinazione degli obiettivi di ripristino per i sistemi ICT di supporto (ad esempio generalmente determinati dalle attività aziendali e/o dai regolamenti in termini di RTO e RPO);
• iii. adeguati piani di emergenza per consentire la disponibilità, la continuità e il ripristino di sistemi e servizi ICT critici al fine di ridurre le interruzioni delle operazioni di un ente entro limiti accettabili.
• b. disponga di resilienza aziendale, standard e politiche ambientali di controllo della continuità e controlli operativi che includano:
• i. misure per evitare che un singolo scenario, incidente o disastro possa avere un impatto sia sui sistemi ICT di produzione che su quelli di ripristino;
• ii. procedure di backup e ripristino dei sistemi ICT per software e dati critici, che assicurino che tali backup siano memorizzati in una posizione sicura e sufficientemente remota in modo che non possano essere distrutti o corrotti in caso di incidente o disastro;
• iii. soluzioni di monitoraggio per la rilevazione tempestiva degli incidenti legati alla disponibilità o continuità delle ICT;
• iv. un processo documentato di gestione e di escalation, che fornisca inoltre indicazioni sui diversi ruoli e responsabilità di gestione e di escalation degli incidenti, sui membri del/dei comitato/i di crisi e sulla catena di comando in caso di emergenza;
• v. misure fisiche per proteggere le infrastrutture ICT critiche dell’ente (ad es. centri dati) da rischi ambientali (ad es. allagamenti e altri disastri naturali) e garantire un ambiente operativo appropriato per i sistemi ICT (ad es. aria condizionata);
• vi. processi, ruoli e responsabilità per garantire che anche i sistemi e i servizi ICT esternalizzati siano coperti da adeguati piani e soluzioni di resilienza aziendale e di continuità;
• vii. soluzioni di pianificazione e monitoraggio delle prestazioni e della capacità dei sistemi e servizi ICT critici, con requisiti di disponibilità definiti, per individuare tempestivamente importanti limitazioni a prestazioni e capacità;
• viii. soluzioni per proteggere attività o servizi Internet critici (ad es. servizi di e-banking), ove necessario e appropriato, da attacchi “denial of service” e da altri attacchi informatici provenienti da Internet mirati a impedire o disturbare l’accesso a tali attività e servizi.
• c. testi le soluzioni di disponibilità e continuità delle risorse ICT, ipotizzando una gamma di scenari realistici che includano attacchi informatici e test di fail-over e backup per software e dati critici che:
• i. siano pianificati, formalizzati e documentati e i cui risultati vengano utilizzati per rafforzare l’efficacia delle soluzioni di disponibilità e continuità delle risorse ICT;
• ii. includano le parti interessate e le funzioni interne all’organizzazione, quali i responsabili delle linee di business, compresi i team responsabili della continuità aziendale, degli incidenti e gestione delle crisi, nonché le parti interessate esterne, appartenenti all’ecosistema;
• iii. coinvolgano adeguatamente l’organo di amministrazione e l’alta dirigenza (ad esempio, in quanto parte dei team di gestione delle crisi), che vengono informati dei risultati dei test.
• (b) Controlli per la gestione dei rischi rilevanti di sicurezza ICT

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

3. Standard correlati

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/