54. Atlikdamos šį vertinimą kompetentingos institucijos pirmiausia turėtų atsižvelgti į tai, ar …

Atlikdamos šį vertinimą kompetentingos institucijos pirmiausia turėtų atsižvelgti į tai, ar taikant šią sistemą:

• a. nustatomi ypatingos svarbos IRT procesai ir susijusios pagalbinės IRT sistemos – jos turėtų būti įtrauktos į veiklos atsparumo ir tęstinumo planus kartu su:
• i. išsamia ypatingos svarbos veiklos procesų ir pagalbinių sistemų tarpusavio priklausomumo analize;
• ii. nustatytais pagalbinių IRT sistemų atkūrimo tikslais (pvz., paprastai juos kaip RTO ir RPO nustato įmonė ir (arba) jie nustatyti teisės aktuose);
• iii. tinkamu nenumatytų atvejų planavimu, kad, užtikrinus ypatingos svarbos IRT sistemų prieinamumą, tęstinumą ir atkūrimą, būtų galima kuo labiau sumažinti įstaigos veiklos sutrikimus ir jie neviršytų priimtinų ribų;
• b. taikoma veiklos atsparumo, tęstinumo ir kontrolės aplinkos politika, standartai ir operacinės kontrolės priemonės, kurias sudaro:
• i. priemonės, kuriomis siekiama užtikrinti, kad vienas scenarijus, incidentas arba viena nelaimė nepaveiktų ir IRT gamybos, ir atkūrimo sistemų;
• ii. IRT sistemų atsarginių kopijų darymo, taip pat ypatingos svarbos programinės įrangos ir duomenų atkūrimo procedūros, kuriomis užtikrinamas šių atsarginių kopijų saugojimas saugioje ir pakankamai nutolusioje vietoje, kad šie ypatingos svarbos duomenys per incidentą arba nelaimę nebūtų sunaikinti arba pažeisti;
• iii. sprendimų stebėsena siekiant laiku nustatyti su IRT prieinamumu arba tęstinumu susijusius incidentus;
• iv. dokumentuotas incidentų valdymo ir pranešimų apie juos teikimo procesas, per kurį taip pat teikiamos gairės apie įvairias incidentų valdymo ir pranešimų apie juos teikimą ir atsakomybę, krizių valdymo komiteto ( - ų) narius ir pavaldumo tvarką ekstremaliuoju atveju;
• v. fizinės priemonės, kuriomis siekiama apsaugoti įstaigos ypatingos svarbos IRT infrastruktūrą (pvz., duomenų centrus) nuo aplinkos pavojų (pvz., potvynių ir kitų gaivalinių nelaimių) ir užtikrinti tinkamą IRT sistemų veikimo aplinką (pvz., oro kondicionavimą);
• vi. procesai, pareigos ir atsakomybė, siekiant užtikrinti, kad tinkami veiklos atsparumo ir tęstinumo sprendimai bei planai taip pat būtų taikomi perkamoms IRT sistemoms ir paslaugoms;
• vii. su IRT susijusių ypatingos svarbos IRT sistemų ir paslaugų rezultatų ir gebėjimų planavimo ir stebėsenos sprendimai kartu su apibrėžtais prieinamumo reikalavimais, kad būtų galima laiku nustatyti didelius rezultatų ir pajėgumų apribojimus;
• viii. sprendimai, kuriais siekiama apsaugoti, jei reikia ir tinkama, ypatingos svarbos internetinę veiklą arba paslaugas (pvz., elektroninės bankininkystės paslaugas) nuo atkirtimo nuo paslaugos ir kitų internetu rengiamų kibernetinių išpuolių, kuriais siekiama sutrukdyti prieigą prie šios veiklos ir paslaugų arba ją sutrukdyti;
• c. atliekami IRT prieinamumo ir tęstinumo sprendimų testai pagal įvairius tikroviškus scenarijus, įskaitant kibernetinius išpuolius, automatinio perjungimo ir ypatingos svarbos programinės įrangos ir duomenų atsarginių kopijų testai:
• i. kurie yra planuojami, įforminami ir dokumentuojami, o remiantis jų rezultatais didinamas IRT prieinamumo ir tęstinumo užtikrinimo sprendimų veiksmingumas;
• ii. į kuriuos įtraukiami organizacijos suinteresuotieji subjektai ir funkcijų vykdytojai, pvz., verslo linijos vadovybė, įskaitant veiklos tęstinumo, reagavimo į incidentus ir krizes komandas, taip pat susiję išoriniai ekosistemos suinteresuotieji subjektai;
• iii. kuriuos atliekant tinkamai dalyvauja valdymo organas ir vyresnioji vadovybė (pvz., kaip krizių valdymo komandų nariai) ir kurių rezultatai pranešami šiam organui ir vadovybei.
• (b) Reikšmingai IRT saugumo rizikai valdyti skirtos kontrolės priemonės

1. Apžvalga

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję standartai

2. Nustatyti reikalavimai

3. Susiję standartai

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/