55. Kompetentingos institucijos turėtų vertinti, ar įstaiga taiko veiksmingą IRT saugumo rizikos …

Kompetentingos institucijos turėtų vertinti, ar įstaiga taiko veiksmingą IRT saugumo rizikos nustatymo, supratimo, vertinimo ir mažinimo sistemą. Atlikdamos šį vertinimą kompetentingos institucijos pirmiausia turėtų atsižvelgti į tai, ar šioje sistemoje atsižvelgiama į:

• a. aiškiai apibrėžtas pareigas ir atsakomybę, susijusias su:
• i. asmenimi(s) ir (arba) komitetais, atsakingais ir (arba) atskaitingais už kasdienį IRT saugumo valdymą ir bendrosios IRT saugumo politikos parengimą, daug dėmesio skiriant reikiamam jų nepriklausomumui;
• ii. IRT saugumo kontrolės priemonių rengimu, įgyvendinimu, valdymu ir stebėsena;
• iii. ypatingos svarbos IRT sistemų ir paslaugų apsauga patvirtinant, pvz., pažeidžiamumo vertinimo procesą, programinės įrangos pataisų valdymą, prieigos taškų apsaugą (pvz., nuo virusinės kenkimo programos), įsilaužimo nustatymo ir prevencijos priemones;
• iv. išorės arba vidaus IRT saugumo incidentų stebėsena, klasifikavimu ir valdymu, įskaitant reagavimą į incidentus ir IRT sistemų ir paslaugų atnaujinimą ir atkūrimą;
• v. reguliariais ir aktyviais pavojų vertinimais, siekiant išlaikyti tinkamas saugumo kontrolės priemones;
• b. taikomą IRT saugumo politiką, kuria atsižvelgiama ir prireikus laikomasi tarptautiniu lygmeniu pripažintų IRT saugumo standartų ir saugumo principų (pvz., prieigos teisių valdymui taikomo mažiausių privilegijų principo, pagal kurį prieiga apribojama tokiu būtiniausiu lygmeniu, kuriuo sudaromos sąlygos įprastiniam veikimui; saugumo struktūros projektavimui taikomo pakopinės apsaugos principo, pagal kurį kelių lygmenų saugumo mechanizmais didinamas visos sistemos saugumas);
• c. procesą, pagal kurį nustatomos IRT sistemos, paslaugos ir tinkami saugumo reikalavimai, atitinkantys galimą sukčiavimo riziką, galimą netinkamą konfidencialių duomenų naudojimą ir (arba) piktnaudžiavimą jais, kartu su dokumentuotais saugumo lūkesčiais, kurių reikia laikytis dėl šių nustatytų IRT sistemų, paslaugų ir duomenų, kuris yra suderintas su įstaigos priimtina rizika ir kurio tinkamas įgyvendinimas stebimas;
• d. dokumentuotą saugumo incidentų valdymo ir pranešimų apie juos teikimo procesą, per kurį teikiamos gairės apie įvairias incidentų valdymo ir pranešimų apie juos teikimo pareigas ir atsakomybę, krizių valdymo komiteto ( - ų) narius ir pavaldumo tvarką su saugumu susijusiais ekstremaliaisiais atvejais;
• e. naudotojų ir administracinės veiklos registravimą žurnaluose, kad būtų galima veiksmingai stebėti ir laiku nustatyti neteisėtą veiklą, imtis dėl jos atsakomųjų veiksmų, padėti atlikti arba vykdyti kriminalistinius saugumo incidentų tyrimus. Įstaiga turėtų taikyti registravimo žurnaluose politiką, kuria būtų apibrėžti tinkami tvarkytinų žurnalų tipai ir jų saugojimo laikotarpis;
• f. informuotumo didinimo ir informavimo kampanijas arba iniciatyvas, kuriomis visais įstaigos lygmenimis siekiama teikti informaciją apie saugų įstaigos IRT sistemų naudojimą bei apsaugą ir apie pagrindinę IRT (ir kitą) saugumo riziką, apie kurią reikia žinoti, pirmiausia apie esamus ir kylančius kibernetinius pavojus (pvz., kompiuterių virusus, galimą išorinį arba vidinį piktnaudžiavimą arba išpuolius, kibernetinius išpuolius) ir vaidmenį mažinant saugumo pažeidimus;
• g. tinkamas fizines saugumo priemones (pvz., apsauginę vaizdo stebėjimo sistemą, įsilaužimo signalizacijos įrangą, saugiąsias duris, siekiant užkirsti kelią neteisėtai fizinei prieigai prie ypatingos svarbos ir pažeidžiamų IRT sistemų (pvz., duomenų centrų);
• h. priemones, kuriomis siekiama apsaugoti IRT sistemas nuo išpuolių, rengiamų naudojantis internetu (pvz., kibernetinių išpuolių) arba kitais išoriniais tinklais (pvz., įprastiniais telekomunikacijų ryšiais arba ryšiais su patikimais partneriais). Kompetentingos institucijos turėtų tikrinti, ar įstaigos sistemoje atsižvelgiama į:
• i. procesą ir sprendimus, kuriais siekiama prižiūrėti išsamų ir atnaujintą duomenų aprašą ir apžvelgti visus į išorę nukreiptus tinklo ryšių taškus (pvz., svetaines, interneto taikomąsias programas, belaidį vietinį tinklą, nuotolinę prieigą), per kurias į vidaus IRT sistemas galėtų įsilaužti trečiosios šalys;
• ii. atidžiai valdomas ir stebimas saugumo priemones (pvz., užkardas, įgaliotuosius serverius, pašto perdavimą, antivirusines peržiūrinčiąsias ir turinio peržiūrėjimo programas), siekiant apsaugoti gaunamųjų ir išsiunčiamųjų duomenų srautą (pvz., el. laiškus) ir į išorę nukreiptus tinklo ryšius, per kuriuos trečiosios šalys galėtų įsilaužti į vidaus IRT sistemas;
• iii. procesus ir sprendimus, kuriais siekiama apsaugoti svetaines ir taikomąsias programas, į kurias gali būti tiesiogiai taikomasi iš interneto ir (arba) išorės ir per kurias gali būti patenkama į vidaus IRT sistemas. Juos taikant, paprastai derinama pripažinta saugaus kūrimo praktika, IRT sistemų stiprinimo ir pažeidžiamumo peržiūros praktika ir (arba) įgyvendinami papildomi saugumo sprendimai, pvz., taikomųjų programų užkardų, įsilaužimo nustatymo ir (arba) įsilaužimo prevencijos sistemos;
• iv. periodinį su įsiskverbimu susijusį saugumo testavimą, siekiant įvertinti įgyvendintų kibernetinių ir vidaus IRT saugumo priemonių ir procesų veiksmingumą. Šiuos testus turėtų atlikti reikiamos praktinės patirties turintys darbuotojai ir (arba) išorės ekspertai, o dokumentuoti testavimo rezultatai ir išvados turėtų būti pranešami vyresniajai vadovybei ir (arba) valdymo organui. Jei reikia ir taikoma, remdamasi šiais testais įstaiga turėtų išsiaiškinti, ar reikia toliau gerinti saugumo kontrolės priemones ir procesus ir (arba) gauti geresnį patikinimą dėl jų veiksmingumo.
• (c) Reikšmingai IRT pakeitimų rizikai valdyti skirtos kontrolės priemonės

1. Apžvalga

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję standartai

2. Nustatyti reikalavimai

3. Susiję standartai

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/