3.3 Kontrolės priemonių, kuriomis mažinama reikšminga IRT rizika, vertinimas

Siekdamos įvertinti įstaigos likutinės IRT rizikos poziciją, kompetentingos institucijos turėtų tikrinti, kaip įstaiga nustato, stebi, vertina ir mažina reikšmingą riziką, kurią kompetentingos institucijos nustatė atlikdamos pirmiau nurodytą vertinimą.

Šiuo tikslu dėl nustatytos reikšmingos IRT rizikos kompetentingos institucijos turėtų tikrinti, jei taikoma:

• a. IRT rizikos valdymo politiką, procesus ir priimtinos rizikos ribines vertes;
• b. organizacijos valdymo ir priežiūros sistemą;
• c. vidaus audito apimtį ir nustatytus faktus;
• d. nustatytai reikšmingai IRT rizikai taikomas specialias IRT rizikos kontrolės priemones.

Atliekant šį vertinimą turėtų būti atsižvelgiama į EBI SREP gairių 5 antraštinėje dalyje nurodytos bendrosios rizikos valdymo ir vidaus kontrolės sistemos analizės rezultatus, taip pat į šių gairių 2 antraštinėje dalyje nurodytą įstaigos valdymą ir strategiją, nes nustatyti reikšmingi šių sričių trūkumai gali turėti įtakos įstaigos gebėjimui valdyti ir mažinti jai kylančią IRT riziką. Prireikus kompetentingos institucijos taip pat turėtų naudotis šių gairių 37 punkte nurodytais informacijos šaltiniais.

Toliau nurodytus vertinimo veiksmus kompetentingos institucijos turėtų atlikti taip, kad jie būtų proporcingi įstaigos veiklos pobūdžiui, mastui ir sudėtingumui, ir atlikti įstaigos IRT rizikos profiliui tinkamą priežiūrinį tikrinimą.

3.3.1 IRT rizikos valdymo politika, procesai ir priimtinos rizikos ribinės vertės

Kompetentingos institucijos turėtų tikrinti, ar nustatytai reikšmingai IRT rizikai įstaiga taiko tinkamą rizikos valdymo politiką, procesus ir priimtinos rizikos ribines vertes. Jie gali būti įtraukti į operacinės rizikos valdymo sistemą arba išdėstyti atskirame dokumente. Atlikdamos šį vertinimą, kompetentingos institucijos turėtų atsižvelgti į tai, ar:

• a. rizikos valdymo politika tinkamai įforminta, ją yra patvirtinęs valdymo organas ir joje pateikta pakankamai gairių dėl įstaigos norimos prisiimti IRT rizikos ir pagrindinių siekiamų IRT rizikos valdymo tikslų ir (arba) taikomų priimtinos IRT rizikos ribinių verčių. Apie atitinkamą IRT rizikos valdymo politiką taip pat turėtų būti pranešama visiems susijusiems suinteresuotiesiems subjektams;
• b. taikoma politika apima visus reikšmingus nustatytos reikšmingos IRT rizikos valdymo elementus;
• c. įstaiga yra įgyvendinusi susijusios reikšmingos IRT rizikos nustatymo (pvz., įstaigos atliekamo savo rizikos kontrolės vertinimo, rizikos scenarijų analizės) ir stebėsenos procesą bei susijusias procedūras;
• d. įstaiga taiko IRT rizikos valdymo ataskaitų teikimo sistemą, pagal kurią vyresniajai vadovybei ir valdymo organui laiku teikiama informacija ir pagal kurią vyresnioji vadovybė ir (arba) valdymo organas gali įvertinti ir stebėti, ar įstaigos IRT rizikos mažinimo planai ir priemonės dera su patvirtinta norima prisiimti rizika ir (arba) priimtinos rizikos ribinėmis vertėmis (jei taikoma), taip pat stebėti reikšmingos IRT rizikos pokyčius.

3.3.2 Organizacijos valdymo ir priežiūros sistema

Kompetentingos institucijos turėtų vertinti, kaip taikomos rizikos valdymo pareigos ir atsakomybė įtrauktos ir integruotos į vidaus organizaciją, siekiant valdyti ir prižiūrėti nustatytą reikšmingą IRT riziką. Šiuo atžvilgiu kompetentingos institucijos turėtų vertinti, ar įstaigoje aiškiai matyti, kad:

• a. nustatytos aiškios pareigos ir atsakomybė už susijusios reikšmingos IRT rizikos nustatymą, vertinimą, stebėseną, mažinimą, pranešimą apie ją ir jos priežiūrą;
• b. apie su rizika susijusią atsakomybę ir pareigas aiškiai informuojama, jos paskiriamos ir įtraukiamos į visas susijusias dalis (pvz., verslo linijas, IT) ir organizacijos procesus, įskaitant pareigas ir atsakomybę už rizikos informacijos rinkimą, apibendrinimą ir pranešimą vyresniajai vadovybei ir (arba) valdymo organui;
• c. IRT rizikos valdymo veikla vykdoma naudojantis pakankamais ir tinkamos kokybės žmogiškaisiais ir techniniais ištekliais. Siekdamos įvertinti taikomų rizikos mažinimo planų patikimumą, kompetentingos institucijos taip pat turėtų vertinti, ar įstaiga yra skyrusi pakankamą finansinį biudžetą ir (arba) pakankamai kitų reikiamų šių planų įgyvendinimo išteklių;
• d. valdymo organas imasi tinkamų tolesnių veiksmų ir atsakomųjų priemonių dėl svarbių nepriklausomų kontrolės funkcijų vykdytojų nustatytų faktų apie IRT riziką, atsižvelgiant į galimą pavedimą kai kuriuos aspektus nagrinėti komitetui, jei toks komitetas įsteigtas;
• e. taikomų IRT taisyklių ir politikos taikymo išimtys yra užregistruotos ir kad nepriklausomi kontrolės funkcijos vykdytojai atlieka dokumentuotą jų patikrą ir teikia ataskaitas, ypatingą dėmesį atkreipdami į susijusią riziką.

3.3.3 Vidaus audito apimtis ir nustatyti faktai

Kompetentingos institucijos turėtų atsižvelgti į tai, ar vidaus audito funkcijos vykdytojai veiksmingai audituoja taikomą IRT rizikos kontrolės sistemą, ir šiuo tikslu tikrinti, ar:

• a. IRT rizikos kontrolės sistemos auditas atliekamas pakankamai kokybiškai, išsamiai, dažnai ir atitinka įstaigos dydį, veiklą ir IRT rizikos profilį;
• b. į audito planą įtraukti įstaigos nustatytos ypatingos svarbos IRT rizikos auditai;
• c. svarbūs nustatyti IRT audito faktai, įskaitant sutartus veiksmus, pranešami valdymo organui;
• d. dėl nustatytų IRT audito faktų, įskaitant sutartus veiksmus, imamasi tolesnių veiksmų, o vyresnioji vadovybė ir (arba) audito komitetas periodiškai tikrina pažangos ataskaitas.

3.3.4 Nustatytai reikšmingai IRT rizikai taikomos specialios IRT rizikos kontrolės priemonės

Dėl nustatytos reikšmingos IRT rizikos kompetentingos institucijos turėtų vertinti, ar įstaiga taiko specialias šiai rizikai skirtas kontrolės priemones. Tolesniuose skirsniuose pateikiamas neišsamus konkrečių kontrolės priemonių sąrašas, į kurias reikėtų atsižvelgti vertinant pagal 3.2.3 skirsnį nustatytą reikšmingą riziką, priskirtą prie šių IRT rizikos kategorijų:

• a. IRT prieinamumo ir tęstinumo rizika,
• b. IRT saugumo rizika,
• c. IRT pakeitimų rizika,
• d. IRT duomenų vientisumo rizika,
• e. IRT paslaugų pirkimo rizika.
• (a) Reikšmingai IRT prieinamumo ir tęstinumo rizikai valdyti skirtos kontrolės priemonės

Be EBI SREP gairėse (279 – 281 punktuose) nustatytų reikalavimų, kompetentingos institucijos turėtų įvertinti, ar įstaiga taiko tinkamą IRT prieinamumo ir tęstinumo rizikos nustatymo, supratimo, vertinimo ir mažinimo sistemą.

Atlikdamos šį vertinimą kompetentingos institucijos pirmiausia turėtų atsižvelgti į tai, ar taikant šią sistemą:

• a. nustatomi ypatingos svarbos IRT procesai ir susijusios pagalbinės IRT sistemos – jos turėtų būti įtrauktos į veiklos atsparumo ir tęstinumo planus kartu su:
• i. išsamia ypatingos svarbos veiklos procesų ir pagalbinių sistemų tarpusavio priklausomumo analize;
• ii. nustatytais pagalbinių IRT sistemų atkūrimo tikslais (pvz., paprastai juos kaip RTO ir RPO nustato įmonė ir (arba) jie nustatyti teisės aktuose);
• iii. tinkamu nenumatytų atvejų planavimu, kad, užtikrinus ypatingos svarbos IRT sistemų prieinamumą, tęstinumą ir atkūrimą, būtų galima kuo labiau sumažinti įstaigos veiklos sutrikimus ir jie neviršytų priimtinų ribų;
• b. taikoma veiklos atsparumo, tęstinumo ir kontrolės aplinkos politika, standartai ir operacinės kontrolės priemonės, kurias sudaro:
• i. priemonės, kuriomis siekiama užtikrinti, kad vienas scenarijus, incidentas arba viena nelaimė nepaveiktų ir IRT gamybos, ir atkūrimo sistemų;
• ii. IRT sistemų atsarginių kopijų darymo, taip pat ypatingos svarbos programinės įrangos ir duomenų atkūrimo procedūros, kuriomis užtikrinamas šių atsarginių kopijų saugojimas saugioje ir pakankamai nutolusioje vietoje, kad šie ypatingos svarbos duomenys per incidentą arba nelaimę nebūtų sunaikinti arba pažeisti;
• iii. sprendimų stebėsena siekiant laiku nustatyti su IRT prieinamumu arba tęstinumu susijusius incidentus;
• iv. dokumentuotas incidentų valdymo ir pranešimų apie juos teikimo procesas, per kurį taip pat teikiamos gairės apie įvairias incidentų valdymo ir pranešimų apie juos teikimą ir atsakomybę, krizių valdymo komiteto ( - ų) narius ir pavaldumo tvarką ekstremaliuoju atveju;
• v. fizinės priemonės, kuriomis siekiama apsaugoti įstaigos ypatingos svarbos IRT infrastruktūrą (pvz., duomenų centrus) nuo aplinkos pavojų (pvz., potvynių ir kitų gaivalinių nelaimių) ir užtikrinti tinkamą IRT sistemų veikimo aplinką (pvz., oro kondicionavimą);
• vi. procesai, pareigos ir atsakomybė, siekiant užtikrinti, kad tinkami veiklos atsparumo ir tęstinumo sprendimai bei planai taip pat būtų taikomi perkamoms IRT sistemoms ir paslaugoms;
• vii. su IRT susijusių ypatingos svarbos IRT sistemų ir paslaugų rezultatų ir gebėjimų planavimo ir stebėsenos sprendimai kartu su apibrėžtais prieinamumo reikalavimais, kad būtų galima laiku nustatyti didelius rezultatų ir pajėgumų apribojimus;
• viii. sprendimai, kuriais siekiama apsaugoti, jei reikia ir tinkama, ypatingos svarbos internetinę veiklą arba paslaugas (pvz., elektroninės bankininkystės paslaugas) nuo atkirtimo nuo paslaugos ir kitų internetu rengiamų kibernetinių išpuolių, kuriais siekiama sutrukdyti prieigą prie šios veiklos ir paslaugų arba ją sutrukdyti;
• c. atliekami IRT prieinamumo ir tęstinumo sprendimų testai pagal įvairius tikroviškus scenarijus, įskaitant kibernetinius išpuolius, automatinio perjungimo ir ypatingos svarbos programinės įrangos ir duomenų atsarginių kopijų testai:
• i. kurie yra planuojami, įforminami ir dokumentuojami, o remiantis jų rezultatais didinamas IRT prieinamumo ir tęstinumo užtikrinimo sprendimų veiksmingumas;
• ii. į kuriuos įtraukiami organizacijos suinteresuotieji subjektai ir funkcijų vykdytojai, pvz., verslo linijos vadovybė, įskaitant veiklos tęstinumo, reagavimo į incidentus ir krizes komandas, taip pat susiję išoriniai ekosistemos suinteresuotieji subjektai;
• iii. kuriuos atliekant tinkamai dalyvauja valdymo organas ir vyresnioji vadovybė (pvz., kaip krizių valdymo komandų nariai) ir kurių rezultatai pranešami šiam organui ir vadovybei.
• (b) Reikšmingai IRT saugumo rizikai valdyti skirtos kontrolės priemonės

Kompetentingos institucijos turėtų vertinti, ar įstaiga taiko veiksmingą IRT saugumo rizikos nustatymo, supratimo, vertinimo ir mažinimo sistemą. Atlikdamos šį vertinimą kompetentingos institucijos pirmiausia turėtų atsižvelgti į tai, ar šioje sistemoje atsižvelgiama į:

• a. aiškiai apibrėžtas pareigas ir atsakomybę, susijusias su:
• i. asmenimi(s) ir (arba) komitetais, atsakingais ir (arba) atskaitingais už kasdienį IRT saugumo valdymą ir bendrosios IRT saugumo politikos parengimą, daug dėmesio skiriant reikiamam jų nepriklausomumui;
• ii. IRT saugumo kontrolės priemonių rengimu, įgyvendinimu, valdymu ir stebėsena;
• iii. ypatingos svarbos IRT sistemų ir paslaugų apsauga patvirtinant, pvz., pažeidžiamumo vertinimo procesą, programinės įrangos pataisų valdymą, prieigos taškų apsaugą (pvz., nuo virusinės kenkimo programos), įsilaužimo nustatymo ir prevencijos priemones;
• iv. išorės arba vidaus IRT saugumo incidentų stebėsena, klasifikavimu ir valdymu, įskaitant reagavimą į incidentus ir IRT sistemų ir paslaugų atnaujinimą ir atkūrimą;
• v. reguliariais ir aktyviais pavojų vertinimais, siekiant išlaikyti tinkamas saugumo kontrolės priemones;
• b. taikomą IRT saugumo politiką, kuria atsižvelgiama ir prireikus laikomasi tarptautiniu lygmeniu pripažintų IRT saugumo standartų ir saugumo principų (pvz., prieigos teisių valdymui taikomo mažiausių privilegijų principo, pagal kurį prieiga apribojama tokiu būtiniausiu lygmeniu, kuriuo sudaromos sąlygos įprastiniam veikimui; saugumo struktūros projektavimui taikomo pakopinės apsaugos principo, pagal kurį kelių lygmenų saugumo mechanizmais didinamas visos sistemos saugumas);
• c. procesą, pagal kurį nustatomos IRT sistemos, paslaugos ir tinkami saugumo reikalavimai, atitinkantys galimą sukčiavimo riziką, galimą netinkamą konfidencialių duomenų naudojimą ir (arba) piktnaudžiavimą jais, kartu su dokumentuotais saugumo lūkesčiais, kurių reikia laikytis dėl šių nustatytų IRT sistemų, paslaugų ir duomenų, kuris yra suderintas su įstaigos priimtina rizika ir kurio tinkamas įgyvendinimas stebimas;
• d. dokumentuotą saugumo incidentų valdymo ir pranešimų apie juos teikimo procesą, per kurį teikiamos gairės apie įvairias incidentų valdymo ir pranešimų apie juos teikimo pareigas ir atsakomybę, krizių valdymo komiteto ( - ų) narius ir pavaldumo tvarką su saugumu susijusiais ekstremaliaisiais atvejais;
• e. naudotojų ir administracinės veiklos registravimą žurnaluose, kad būtų galima veiksmingai stebėti ir laiku nustatyti neteisėtą veiklą, imtis dėl jos atsakomųjų veiksmų, padėti atlikti arba vykdyti kriminalistinius saugumo incidentų tyrimus. Įstaiga turėtų taikyti registravimo žurnaluose politiką, kuria būtų apibrėžti tinkami tvarkytinų žurnalų tipai ir jų saugojimo laikotarpis;
• f. informuotumo didinimo ir informavimo kampanijas arba iniciatyvas, kuriomis visais įstaigos lygmenimis siekiama teikti informaciją apie saugų įstaigos IRT sistemų naudojimą bei apsaugą ir apie pagrindinę IRT (ir kitą) saugumo riziką, apie kurią reikia žinoti, pirmiausia apie esamus ir kylančius kibernetinius pavojus (pvz., kompiuterių virusus, galimą išorinį arba vidinį piktnaudžiavimą arba išpuolius, kibernetinius išpuolius) ir vaidmenį mažinant saugumo pažeidimus;
• g. tinkamas fizines saugumo priemones (pvz., apsauginę vaizdo stebėjimo sistemą, įsilaužimo signalizacijos įrangą, saugiąsias duris, siekiant užkirsti kelią neteisėtai fizinei prieigai prie ypatingos svarbos ir pažeidžiamų IRT sistemų (pvz., duomenų centrų);
• h. priemones, kuriomis siekiama apsaugoti IRT sistemas nuo išpuolių, rengiamų naudojantis internetu (pvz., kibernetinių išpuolių) arba kitais išoriniais tinklais (pvz., įprastiniais telekomunikacijų ryšiais arba ryšiais su patikimais partneriais). Kompetentingos institucijos turėtų tikrinti, ar įstaigos sistemoje atsižvelgiama į:
• i. procesą ir sprendimus, kuriais siekiama prižiūrėti išsamų ir atnaujintą duomenų aprašą ir apžvelgti visus į išorę nukreiptus tinklo ryšių taškus (pvz., svetaines, interneto taikomąsias programas, belaidį vietinį tinklą, nuotolinę prieigą), per kurias į vidaus IRT sistemas galėtų įsilaužti trečiosios šalys;
• ii. atidžiai valdomas ir stebimas saugumo priemones (pvz., užkardas, įgaliotuosius serverius, pašto perdavimą, antivirusines peržiūrinčiąsias ir turinio peržiūrėjimo programas), siekiant apsaugoti gaunamųjų ir išsiunčiamųjų duomenų srautą (pvz., el. laiškus) ir į išorę nukreiptus tinklo ryšius, per kuriuos trečiosios šalys galėtų įsilaužti į vidaus IRT sistemas;
• iii. procesus ir sprendimus, kuriais siekiama apsaugoti svetaines ir taikomąsias programas, į kurias gali būti tiesiogiai taikomasi iš interneto ir (arba) išorės ir per kurias gali būti patenkama į vidaus IRT sistemas. Juos taikant, paprastai derinama pripažinta saugaus kūrimo praktika, IRT sistemų stiprinimo ir pažeidžiamumo peržiūros praktika ir (arba) įgyvendinami papildomi saugumo sprendimai, pvz., taikomųjų programų užkardų, įsilaužimo nustatymo ir (arba) įsilaužimo prevencijos sistemos;
• iv. periodinį su įsiskverbimu susijusį saugumo testavimą, siekiant įvertinti įgyvendintų kibernetinių ir vidaus IRT saugumo priemonių ir procesų veiksmingumą. Šiuos testus turėtų atlikti reikiamos praktinės patirties turintys darbuotojai ir (arba) išorės ekspertai, o dokumentuoti testavimo rezultatai ir išvados turėtų būti pranešami vyresniajai vadovybei ir (arba) valdymo organui. Jei reikia ir taikoma, remdamasi šiais testais įstaiga turėtų išsiaiškinti, ar reikia toliau gerinti saugumo kontrolės priemones ir procesus ir (arba) gauti geresnį patikinimą dėl jų veiksmingumo.
• (c) Reikšmingai IRT pakeitimų rizikai valdyti skirtos kontrolės priemonės

Kompetentingos institucijos turėtų vertinti, ar įstaiga taiko veiksmingą IRT pakeitimų rizikos nustatymo, supratimo, vertinimo ir mažinimo sistemą, atitinkančią įstaigos veiklos pobūdį, mastą, sudėtingumą ir IRT rizikos profilį. Įstaigos sistema turėtų apimti riziką, susijusią su IRT sistemų pakeitimų rengimu, testavimu ir patvirtinimu, įskaitant programinės įrangos kūrimą arba keitimą, prieš šias sistemas perkeliant į gamybos aplinką, ir šia sistema turėtų būti užtikrinamas tinkamas IRT gyvavimo ciklo valdymas. Atlikdamos šį vertinimą kompetentingos institucijos pirmiausia turėtų atsižvelgti į tai, ar šioje sistemoje atsižvelgiama į:

• a. dokumentuojamus procesus, kuriais valdomi ir kontroliuojami IRT sistemų pakeitimai (pvz., konfigūravimo ir pataisų valdymas) bei duomenų pakeitimai (pvz., klaidų taisymas arba duomenų tikslinimas) ir užtikrinamas tinkamas IRT rizikos vadovybės dalyvavimas atliekant svarbius IRT pakeitimus, galinčius turėti reikšmingos įtakos įstaigos rizikos profiliui arba pozicijai;
• b. specifikacijas, susijusias su reikiamu pareigų atskyrimu įvairiais įgyvendinamų IRT keitimo procesų etapais (pvz., sprendimų projektavimo ir plėtojimo, naujos programinės įrangos ir (arba) pakeitimų testavimo ir patvirtinimo, perkėlimo ir įgyvendinimo gamybos aplinkoje, klaidų taisymo), atkreipiant dėmesį į įgyvendintus sprendimus ir pareigų atskyrimą, siekiant valdyti ir kontroliuoti IRT darbuotojų (pvz., kūrėjų, IRT sistemų administratorių, duomenų bazių administratorių) arba kitos šalies (pvz., verslo naudotojų, paslaugų teikėjų) atliekamus gamybos IRT sistemų ir duomenų pakeitimus;
• c. testavimo aplinkas, kuriomis tinkamai atsižvelgiama į gamybos aplinkas;
• d. esamų gamybos, testavimo ir kūrimo aplinkose veikiančių taikomųjų programų ir IRT sistemų turto aprašą, kad būtų galima tinkamai valdyti, įgyvendinti ir stebėti reikiamus susijusių IRT sistemų pakeitimus (pvz., versijų naujinimą arba naujovinimą, sistemų taisymą, konfigūracijos pakeitimus);
• e. naudojamų IRT sistemų gyvavimo ciklo stebėsenos ir valdymo procesą, siekiant užtikrinti, kad šios sistemos toliau atitiktų ir palaikytų faktinės veiklos ir rizikos valdymo reikalavimus, kad naudojamus IRT sprendimus ir sistemas vis dar prižiūrėtų jų pardavėjai ir kad būtų taikomos pagalbinės tinkamos programinės įrangos kūrimo ciklo (angl. SDLC) procedūros;
• f. programinės įrangos pirminio teksto kontrolės sistemą ir atitinkamas procedūras, kuriomis siekiama išvengti neteisėtų vietoje sukurtos programinės įrangos pirminio teksto pakeitimų;
• g. procesą, per kurį atliekama naujų arba reikšmingai pakeistų IRT sistemų ir programinės įrangos saugumo ir pažeidžiamumo patikra, prieš išleidžiant jas į gamybos aplinką ir aplinką, kurioje jos gali tapti kibernetinių išpuolių taikiniu;
• h. procesus ir sprendimus, kuriais siekiama išvengti neteisėto arba netyčinio konfidencialių duomenų atskleidimo pakeičiant, archyvuojant, šalinant arba naikinant IRT sistemas;
• i. nepriklausomus patikros ir patvirtinimo procesus, kuriais siekiama sumažinti riziką, susijusią su žmonių klaidomis atliekant IRT sistemų pakeitimus, galinčiomis turėti didelį neigiamą poveikį įstaigos veiklos prieinamumui, tęstinumui arba saugumui (pvz., atliekant didelius užkardos konfigūracijos pakeitimus) arba įstaigos saugumui (pvz., atliekant užkardų pakeitimus).
• (d) Reikšmingai IRT duomenų vientisumo rizikai valdyti skirtos kontrolės priemonės

Kompetentingos institucijos turėtų vertinti, ar įstaiga taiko veiksmingą IRT duomenų vientisumo rizikos nustatymo, supratimo, vertinimo ir mažinimo sistemą, atitinkančią įstaigos veiklos pobūdį, mastą, sudėtingumą ir IRT rizikos profilį. Įstaigos sistema turėtų būti atsižvelgiama į riziką, susijusią su IRT sistemose saugomų ir jomis apdorojamų duomenų vientisumo išsaugojimu. Atlikdamos šį vertinimą kompetentingos institucijos pirmiausia turėtų atsižvelgti į tai, ar šioje sistemoje atsižvelgiama į:

• a. politiką, kuria apibrėžiamos IRT sistemose saugomų duomenų vientisumo valdymo pareigos ir atsakomybė (pvz., duomenų architektūros projektuotojo, duomenų pareigūnų⁶ , duomenų patikėtinių⁷ , duomenų savininkų ir (arba) tvarkytojų⁸ ) ir teikiamos gairės apie tai, kurie duomenys yra itin svarbūs duomenų vientisumo atžvilgiu ir todėl jiems įvairiuose IRT duomenų gyvavimo ciklo etapuose turėtų būti taikomos specialios IRT kontrolės priemonės (pvz., automatizuotos įvesties patvirtinimo kontrolės priemonės, duomenų perdavimo kontrolės priemonės, derinimas ir pan.) ar ba patikros (pvz., suderinamumo su duomenų architektūra patikra);
• b. kartu su susijusiais veiklos ir IT suinteresuotaisiais subjektais patvirtintą dokumentuotą duomenų architektūrą, duomenų modelį ir (arba) žodyną, siekiant remti reikiamą duomenų nuoseklumą IRT sistemose ir užtikrinti, kad duomenų architektūra, duomenų modelis ir (arba) žodynas išliktų suderinti su veiklos ir rizikos valdymo poreikiais;
• c. politiką, susijusią su leidžiamu galutinių naudotojų kompiuterių naudojimu ir pasikliovimu jais, pirmiausia susijusią su svarbių galutinių naudotojų kompiuterijos sprendimų nustatymu, registravimu ir dokumentavimu (pvz., apdorojant svarbius duomenis) ir tikėtinais saugumo lygiais, siekiant užkirsti kelią neteisėtoms priemonės ir joje saugomų duomenų modifikacijoms;
• d. dokumentuotus išimčių valdymo procesus, siekiant spręsti nustatytas IRT duomenų vientisumo problemas, atsižvelgiant į šių duomenų svarbą ir neskelbiamumą.

⁶ Duomenų pareigūnas atsako už duomenų apdorojimą ir naudojimą.

⁷ Duomenų patikėtinis atsako už saugų duomenų deponavimą, transportavimą ir saugojimą.

⁸ Duomenų tvarkytojas atsako už duomenų elementų – turinio ir metaduomenų – valdymą ir tinkamumą.

Dėl prižiūrimų įstaigų, patenkančių į BBPK 239 veiksmingo rizikos duomenų apibendrinimo ir pranešimo apie riziką principų⁹ taikymo sritį, kompetentingos institucijos turėtų tikrinti įstaigos rizikos analizę, susijusią su pranešimo apie riziką ir rizikos duomenų apibendrinimo pajėgumais, palyginti su principais ir parengtais susijusiais dokumentais, atsižvelgdama į šių principų įgyvendinimo tvarkaraštį ir pereinamojo laikotarpio nuostatas.

• (e) Reikšmingai IRT paslaugų pirkimo rizikai valdyti skirtos kontrolės priemonės

⁹ Bazelio bankų priežiūros komiteto dokumentas Principles for effective risk data aggregation and risk reporting (Veiksmingo rizikos duomenų apibendrinimo ir pranešimo apie riziką principai), 2013 m. sausio mėn., paskelbta internetu adresu http://www.bis.org/publ/bcbs239.pdf.

Kompetentingos institucijos turėtų vertinti, ar įstaigos paslaugų pirkimo strategija, laikantis Europos bankininkystės priežiūros institucijų komiteto (EBPIK) paslaugų pirkimo gairių (2006) reikalavimų ir EBI SREP gairių 85 punkto d papunkčio reikalavimų, tinkamai taikoma IRT paslaugų pirkimui, įskaitant paslaugų pirkimą iš IRT paslaugas grupėje teikiančių subjektų. Vertindamos IRT paslaugų pirkimo riziką, kompetentingos institucijos turėtų atsižvelgti į tai, kad, siekiant išvengti darbo dubliavimosi arba dvigubos apskaitos, IRT paslaugų pirkimo rizika gali būti įtraukta į būdingos operacinės rizikos vertinimą pagal EBI SREP gairių 240 punkto j papunktį.

Kompetentingos institucijos konkrečiai turėtų vertinti, ar įstaiga taiko veiksmingą IRT paslaugų pirkimo rizikos nustatymo, supratimo ir vertinimo sistemą, pirmiausia – ar ji taiko kontrolės priemones ir kontrolės aplinką, kuriomis siekiama mažinti su reikšmingomis perkamomis IRT paslaugomis susijusią riziką, kurios atitinka įstaigos dydį, veiklą ir IRT rizikos profilį ir kurias sudaro:

• a. su paslaugų teikėjų (pvz., debesijos paslaugų teikėjų) pasitelkimu ir naudojimusi jų paslaugomis susijusio IRT paslaugų pirkimo poveikio įstaigos rizikos valdymui vertinimas, kuris yra dokumentuojamas ir į kurį vyresnioji vadovybė arba valdymo organas atsižvelgia priimdama(s) sprendimą dėl to, ar pirkti paslaugas. Įstaiga turėtų tikrinti paslaugų teikėjo IRT rizikos valdymo politiką, IRT kontrolės priemones ir kontrolės aplinką siekdama įsitikinti, kad jos atitinka įstaigos vidaus rizikos valdymo tikslus ir norimą prisiimti riziką. Ši patikra sutartiniu paslaugų pirkimo laikotarpiu turėtų būti periodiškai naujinama, atsižvelgiant į perkamų paslaugų ypatybes;
• b. sutartiniu paslaugų pirkimo laikotarpiu atliekama perkamų paslaugų IRT rizikos stebėsena, kuri yra įtraukta į įstaigos rizikos valdymą ir kuria remiamasi teikiant įstaigos IRT rizikos valdymo ataskaitas (pvz., veiklos tęstinumo ataskaitas, saugumo ataskaitas);
• c. gautų paslaugų lygių stebėsena ir lyginimas su sutartyje nustatytais paslaugų lygiais, kurie turėtų būti įtraukti į paslaugų pirkimo sutartį arba susitarimą dėl paslaugų lygio;
• d. tinkamas personalas, ištekliai ir kompetencijos, kad būtų galima stebėti ir valdyti perkamų paslaugų IRT riziką.