+Priedas. IRT rizikos klasifikacija

Priedas. IRT rizikos klasifikacija

Penkios IRT rizikos kategorijos ir neišsamus IRT rizikos, galinčios turėti didelio masto ir (arba) operacinį, reputacinį ar finansinį poveikį, sąrašas

IRT rizikos IRT rizika (sąrašas kategorijos neišsamus)¹⁰ IRT Netinkamas prieinamumo ir pajėgumų tęstinumo rizika valdymas	Rizikos aprašas Trūkstant išteklių (pvz., techninės, programinės įrangos, darbuotojų, paslaugų teikėjų) gali būti neįmanoma pritaikyti paslaugos, kad būtų galima atsižvelgti į veiklos poreikius, sistemų sutrikimus, paslaugos kokybės suprastėjimą ir (arba) operacines klaidas.	Pavyzdžiai • •	Pajėgumų trūkumas gali turėti įtakos perdavimo greičiui ir tinklo (interneto) prieinamumui naudojantis tokioms paslaugoms kaip internetinė bankininkystė. (Vidaus arba trečiosios šalies) darbuotojų trūkumas gali lemti sistemų sutrikimus ir (arba) operacines klaidas.
IRT sistemų gedimai	Neprieinamumas dėl techninės įrangos gedimų. Neprieinamumas dėl programinės įrangos gedimų ir klaidų.	• • •	Atminties įtaisų (standžiųjų diskų), serverio arba kitos IRT įrangos gedimas ir (arba) netinkamas veikimas, pvz., dėl nepakankamos techninės priežiūros. Dėl taikomosios programos programinės įrangos begalinio ciklo negalima įvykdyti operacijos. Atjungimas tebenaudojant pasenusias IRT sistemas ir sprendimus, kurie nebeatitinka aktualių prieinamumo ir atsparumo reikalavimų ir (arba) kurių nebeprižiūri jų pardavėjai.
Netinkamas IRT tęstinumo ir atkūrimo po nelaimių planavimas Trikdomieji ir naikinamieji kibernetiniai	Neveikiantys po incidento suaktyvinti IRT planuoto prieinamumo ir (arba) tęstinumo užtikrinimo sprendimai ir (arba) atkūrimas po nelaimių (pvz., atsarginis atkūrimo duomenų centras). Įvairiais (pvz., aktyvizmo, šantažo) tikslais rengiami išpuoliai, dėl kurių perkraunamos sistemos ir tinklas, todėl teisėti naudotojai negali naudotis internetinėmis	• •	Dėl skirtingos pirminio ir antrinio duomenų centrų konfigūracijos atsarginiu duomenų centru gali būti neįmanoma užtikrinti planuoto paslaugos tęstinumo. Paskirstytosios paslaugos trikdymo atakos (angl. Distributed Denial of Service , DDoS ) vykdomos

10 IRT rizika nurodyta toje rizikos kategorijoje, kuriai ji daro didžiausią poveikį, bet ji gali daryti poveikį ir kitoms rizikos kategorijoms.

IRT rizikos IRT rizika (sąrašas kategorijos neišsamus)¹⁰ išpuoliai	Rizikos aprašas kompiuterinėmis paslaugomis.	Pavyzdžiai	naudojant daugybę internete esančių kompiuterinių sistemų, kurias valdo programišiai ir kuriomis į internetines (pvz., elektroninės bankininkystės) paslaugas išsiunčiama daugybė tariamai teisėtų paslaugų užklausų.
IRT saugumo Kibernetiniai ir rizika kiti išoriniai su IRT susiję išpuoliai	Įvairiais (pvz., sukčiavimo, šnipinėjimo, aktyvizmo ir (arba) sabotažo, kibernetinio terorizmo) tikslais įvairiais metodais (pvz., socialinės inžinerijos, bandant įsilaužti išnaudojant silpnąsias vietas, naudojant kenkimo programinę įrangą) iš interneto arba išorinių tinklų rengiami išpuoliai, per kuriuos perimamas vidaus IRT sistemų valymas. Programišių vykdomos apgaulingos mokėjimo operacijos įsilaužus į elektroninės bankininkystės ir mokėjimo paslaugas arba apėjus jų saugumo priemones ir (arba) taikantis į įstaigos vidaus mokėjimo sistemų saugumo pažeidžiamumą arba šiuo pažeidžiamumu pasinaudojant. Programišių vykdomos apgaulingos vertybinių popierių operacijos įsilaužus į elektroninės bankininkystės paslaugas arba apėjus jų saugumo priemones, taip pat įgyjant prieigą prie kliento vertybinių popierių sąskaitų.	Įvairių • • • • • • •	rūšių išpuoliai: išplėstinė nuolatinė grėsmė (angl. Advanced Persistent Threat , APT), kad gali būti perimtas vidaus sistemų valdymas arba pavagiama informacija (pvz., su tapatybės vagyste susijusi informacija, kredito kortelių informacija); kenkimo programinė įranga (pvz., išpirkos reikalaujanti programinė įranga), kuria duomenys užšifruojami šantažo tikslais; vidaus IRT sistemų užkrėtimas Trojos arkliais, siekiant slaptai vykdyti kenksmingus sistemos veiksmus; IRT sistemos ir (arba) saityno, taikomosios programos pažeidžiamumo išnaudojimas (pvz., SQL injekcija ir pan.) siekiant įgyti prieigą prie vidaus IRT sistemos. Išpuoliai prieš elektroninės bankininkystės arba mokėjimo paslaugas siekiant vykdyti neteisėtas operacijas. Apgaulingų mokėjimo operacijų sukūrimas ir išsiuntimas iš įstaigos vidaus mokėjimo sistemų (pvz., apgaulingi SWIFT pranešimai). Kainų išpūtimo ir pardavimo išpuoliai, kuriuos vykdydami išpuolių rengėjai įgyja prieigą prie klientų elektroninės bankininkystės vertybinių popierių sąskaitų ir teikia apgaulingus pirkimo arba pardavimo užsakymus, siekdami paveikti rinkos
IRT rizikos IRT rizika (sąrašas kategorijos neišsamus)¹⁰	Rizikos aprašas Taikymasis į bet kokių IRT sistemų komunikacijos ryšius ir pokalbius siekiant rinkti informaciją ir (arba) vykdyti sukčiavimą.	Pavyzdžiai •	kainą ir (arba) pasipelnyti remiantis pirmiau nustatytomis vertybinių popierių pozicijomis. Neteisėtos informacijos ir (arba) neapsaugotų grynuoju tekstu perduodamų tapatumo nustatymo duomenų perėmimas.
Nepakankamas vidinis IRT saugumas	Neteisėtos prieigos prie ypatingos svarbos IRT sistemų įgijimas iš įstaigos įvairiais tikslais (pvz., sukčiavimo, kenkėjiškos prekybinės veiklos ir slėpimo, duomenų vagystės, aktyvizmo ir (arba) sabotažo) įvairiais metodais (pvz., piktnaudžiaujant privilegijomis ir (arba) jas išplečiant, pavogus tapatybės duomenis, naudojantis socialine inžinerija, išnaudojant IRT sistemų pažeidžiamumą, naudojant kenkimo programinę įrangą). Neteisėta IRT manipuliacija dėl netinkamų IRT prieigos valdymo procedūrų ir praktikos. Saugumo pavojai dėl to, kad darbuotojai nepakankamai informuoti apie saugumą, todėl nesupranta IRT saugumo politikos ir procedūrų, jų nepaiso arba nesilaiko.	• • • • • • •	Klavišų paspaudimų registravimo programinės įrangos įdiegimas siekiant pavogti naudotojo identifikatorius ir slaptažodžius, kad būtų galima įgyti neteisėtą prieigą prie konfidencialių duomenų ir (arba) vykdyti sukčiavimą. Nesaugių slaptažodžių nulaužimas / atspėjimas siekiant įgyti neteisėtas arba aukštesnio lygmens prieigos teises. Sistemos administratoriaus vykdomas sukčiavimas naudojantis operacinėmis sistemomis arba duomenų bazių infrastruktūra (siekiant tiesiogiai modifikuoti duomenų bazes). Nereikalingų paskyrų, pvz., darbuotojų, kurių pareigos pasikeitė ir (arba) kurie išėjo iš įstaigos, įskaitant svečius arba tiekėjus, kuriems nebereikia prieigos, paskyrų neišjungimas arba nepanaikinimas ir kartu neteisėtos prieigos suteikimas prie IRT sistemų. Pernelyg plačių prieigos teisių ir privilegijų suteikimas ir kartu neteisėtos prieigos suteikimas ir (arba) sąlygų nuslėpti kenkėjišką veiklą sudarymas. Klysdami darbuotojai padeda vykdyti išpuolį (t. y. socialinė inžinerija). Netinkama su prieigos duomenimis susijusi praktika: slaptažodžių dalijimasis, lengvai atspėjamų
IRT rizikos IRT rizika (sąrašas kategorijos neišsamus)¹⁰	Rizikos aprašas Neteisėtas konfidencialios informacijos saugojimas ne įstaigoje arba perdavimas iš įstaigos.	Pavyzdžiai • •	slaptažodžių naudojimas, to paties slaptažodžio naudojimas daugeliu įvairių tikslų ir pan. Neužšifruotų konfidencialių duomenų laikymas nešiojamuose kompiuteriuose ir nešiojamosiose duomenų laikmenose (pvz., USB raktuose), kurios gali būti pametamos arba pavagiamos. Konfidencialios informacijos vogimas arba tyčinis nutekinimas ar perdavimas neįgaliotiesiems asmenims arba paviešinimas.
Nepakankamas fizinis IRT saugumas	Netinkamai naudojant IRT turtą arba jį pavagiant pasinaudojus fizine prieiga padaroma žala, prarandamas turtas ar duomenys arba sudaromos sąlygos kitiems pavojams. Tyčinė arba atsitiktinė žala fiziniam IRT turtui dėl terorizmo, nelaimingų atsitikimų arba netinkamo / klaidingo įstaigos ir (arba) trečiųjų šalių (tiekėjų, remontininkų) atlikto manipuliavimo. Nepakankama fizinė apsauga nuo gaivalinių nelaimių, per kurias iš dalies arba visiškai sunaikinamos IRT sistemos ir (arba) duomenų centrai.	• • • •	Fizinis įsilaužimas į biurų pastatus ir (arba) duomenų centrus siekiant pavogti IRT įrangą (pvz., stalinius, nešiojamus kompiuterius, laikmenas) ir (arba) nukopijuoti duomenis pasinaudojus fizine prieiga prie IRT sistemų. Fizinis terorizmas (t. y. teroristų vykdomi sprogdinimai) arba IRT turto sabotažas. Duomenų centro sunaikinimas per gaisrą, dėl vandens nuotėkio ir kitų veiksnių. Žemės drebėjimai, didelis karštis, audros, stiprios pūgos, potvyniai, gaisras, žaibas.
IRT pakeitimų Netinkamos IRT rizika sistemų pakeitimų ir IRT plėtros kontrolės priemonės	Incidentai dėl neaptiktų klaidų arba pažeidžiamumo atlikus, pvz., programinės įrangos, IRT sistemų ir duomenų, pakeitimą (pvz., nenumatytas pakeitimo poveikis arba prastai valdomas pakeitimas, nes neatliekamas pakankamas testavimas arba taikoma netinkama pakeitimų valdymo praktika).	• • •	Nepakankamai išbandytos programinės įrangos išleidimas į gamybos aplinką arba konfigūracijos pakeitimai, kurie netikėtai neigiamai veikia duomenis (pvz., juos pažeidžia, pašalina) ir (arba) IRT sistemų veikimą (pvz., ji sugenda, ima prasčiau veikti). Nevaldomi IRT sistemų arba duomenų pakeitimai gamybos aplinkoje. Išleidus prastai apsaugotas IRT sistemas arba taikomąsias interneto programas į gamybos aplinką, programišiai įgyja galimybių vykdyti išpuolius prieš
IRT rizikos IRT rizika (sąrašas kategorijos neišsamus)¹⁰	Rizikos aprašas	Pavyzdžiai • •	teikiamas internetines paslaugas ir (arba) įsilaužti į vidaus IRT sistemas. Nevaldomi viduje sukurtos programinės įrangos pirminio teksto pakeitimai. Nepakankamas testavimas dėl nesukurtos tinkamos testavimo aplinkos.
Netinkama IRT architektūra	Dėl prasto IRT architektūros valdymo projektuojant, diegiant ir prižiūrint IRT sistemas (pvz., programinę, techninę įrangą ar duomenis) laikui bėgant gali susidaryti sudėtingos, sunkios taikyti ir brangiai valdomos IRT sistemos, kurios gali nebebūti pakankamai suderintos su veiklos poreikiais ir neatitikti aktualių rizikos valdymo reikalavimų.	• •	Ilgesnį laiką netinkamai valdant IRT sistemų, programinės įrangos ir (arba) duomenų pakeitimus, gali susidaryti sudėtingos, skirtingos ir sunkiai valdomos IRT sistemos ir architektūra, galinčios lemti įvairų neigiamą poveikį veiklai ir rizikos valdymui (pvz., nepakankamą lankstumą ir aktyvumą, IRT incidentus ir gedimus, dideles veiklos sąnaudas, mažesnį IRT saugumą ir atsparumą, prastesnę duomenų kokybę ir mažesnius pranešimo gebėjimus). Pernelyg išsamiai pritaikant ir išplečiant komercinės programinės įrangos paketus viduje sukurta programine įranga, ateityje nebesugebama įgyvendinti komercinės programinės įrangos laidų ir naujinių ir kyla rizika, kad pardavėjas jos nebeprižiūrės.
Netinkamas gyvavimo ciklo ir pataisų valdymas	Netinkamai tvarkomas viso IRT turto aprašas, kuriuo turėtų būti remiamas arba su kuriuo turėtų būti derinamas tinkamas gyvavimo ciklo ir pataisų valdymas. Dėl to IRT sistemos nepakankamai taisomos (todėl yra pažeidžiamesnės), pasensta ir gali nebeatitikti veiklos bei rizikos valdymo poreikių.	•	Nepataisytos ir pasenusios IRT sistemos, galinčios daryti neigiamą poveikį veiklos ir rizikos valdymui (pvz., nepakankamas lankstumas ir aktyvumas, IRT atjungimas, mažesnis IRT saugumas ir atsparumas).
IRT duomenų Prastas IRT vientisumo duomenų rizika apdorojimas arba tvarkymas	Dėl sistemos, ryšio ir (arba) taikomosios programos klaidų, gedimų arba netinkamo duomenų išgavimo, perdavimo ir įkėlimo proceso gali būti pažeisti arba prarasti duomenys.	• •	Su paketiniu apdorojimu susijusi IT sistemos klaida, dėl kurios kliento bankų sąskaitose rodomi netikslūs likučiai. Netinkamai vykdomos užklausos.
IRT rizikos IRT rizika (sąrašas kategorijos neišsamus)¹⁰	Rizikos aprašas	Pavyzdžiai •	Duomenų praradimas įvykus duomenų dubliavimo (atsarginės kopijos darymo) klaidai.
Netinkamai suprojektuotos IRT sistemose taikomos duomenų patvirtinimo kontrolės priemonės	Klaidos, susijusios su trūkstamomis arba neveiksmingomis automatizuotos duomenų įvesties ir priėmimo kontrolės priemonėmis (pvz., taikomomis trečiųjų šalių duomenims), duomenų perdavimu, IRT sistemose taikomomis apdorojimo ir išvesties kontrolės priemonėmis (pvz., įvesties galiojimo kontrolės priemonėmis, duomenų derinimu).	• • • •	Nepakankamas arba netinkamas duomenų įvesties formatavimas ir (arba) patvirtinimas taikomosiose programose ir (arba) naudotojų sąsajose. Netaikomos išvesties duomenų derinimo kontrolės priemonės. Netaikomos įvykdytų duomenų išgavimo procesų (pvz., duomenų bazių užklausų) kontrolės priemonės, todėl susidaro klaidingų duomenų. Netinkamų išorinių duomenų naudojimas.
Prastai kontroliuojami duomenų pakeitimai gamybos IRT sistemose Prastas duomenų architektūros, duomenų srautų, duomenų modelių arba duomenų žodynų projektavimas ir (arba) valdymas IRT paslaugų Nepakankamas pirkimo rizika trečiosios šalies arba kito grupės subjekto paslaugų atsparumas Netinkamas paslaugų pirkimo	Duomenų klaidos, atsirandančios dėl to, kad nepakankamai kontroliuojamas gamybos IRT sistemose atliekamo duomenų manipuliavimo tinkamumas ir pagrįstumas. Prastai valdant duomenų architektūrą, duomenų modelius, duomenų srautus arba duomenų žodynus, IRT sistemose gali atsirasti kelios tų pačių duomenų versijos, kurioms trūksta nuoseklumo dėl skirtingai taikomų duomenų modelių arba duomenų apibrėžčių, ir (arba) gali atsirasti pagrindinės duomenų kartos ir pakeitimų proceso skirtumų. Ypatingos svarbos perkamų IRT paslaugų, telekomunikacijos ir komunalinių paslaugų neprieinamumas. Paslaugų teikėjui patikėtų ypatingos svarbos ir (arba) neskelbtinų duomenų praradimas arba pažeidimas. Labai suprastėjusi paslaugų kokybė arba paslaugų sutrikimai dėl to, kad tiekėjas, iš kurio perkamos	• • • • • •	Kūrėjai ir duomenų bazių administratoriai naudojasi tiesiogine prieiga ir nekontroliuojamai keičia duomenis gamybos IRT sistemose, pvz., įvykus IRT incidentui. Naudojant skirtingas kiekvieno produkto arba veiklos skyriaus klientų duomenų bazes, kurioms taikomos skirtingos duomenų apibrėžtys ir sritys, visos finansų įstaigos arba grupės lygmeniu atsiranda nesuderintų, sunkiai palyginamų ir sunkiai integruojamų klientų duomenų. Pagrindinių paslaugų neprieinamumas dėl iš tiekėjų perkamų IRT sistemų arba taikomųjų programų gedimų. Telekomunikacijų linijų veikimo sutrikimas. Nepakankamas elektros energijos tiekimas. Dėl prastų incidentų valdymo procedūrų, sutartinių kontrolės mechanizmų ir į paslaugų teikėjo sutartį
IRT rizikos IRT rizika (sąrašas kategorijos neišsamus)¹⁰ valdymas	Rizikos aprašas paslaugos, yra netinkamai pasirengęs arba taiko neveiksmingus kontrolės procesus. Netinkamai valdant paslaugų pirkimą, gali trūkti tinkamų IRT rizikos nustatymo, įvertinimo, sumažinimo, stebėsenos gebėjimų bei pajėgumų ir gali sumažėti įstaigos operaciniai gebėjimai.	Pavyzdžiai •	įtrauktų garantijų didėja svarbių darbuotojų priklausomybė nuo trečiųjų šalių ir pardavėjų. Dėl netinkamų su paslaugų teikėjo IRT aplinka susijusių pakeitimų valdymo kontrolės priemonių gali labai suprastėti paslaugų kokybė arba atsirasti didelių sutrikimų.
Netinkamas trečiosios šalies arba kito grupės subjekto saugumas	Įsilaužimas į trečiosios šalies paslaugos teikėjų IRT sistemas, darantis tiesioginį poveikį perkamoms paslaugoms arba ypatingos svarbos ir (arba) konfidencialiems pas paslaugos teikėją saugomiems duomenims. Neteisėta paslaugų teikėjo darbuotojų prieiga prie ypatingos svarbos ir (arba) neskelbtinų pas paslaugų teikėją saugomų duomenų.	• •	Nusikaltėlių arba teroristų įsilaužimas pas paslaugų teikėjus siekiant prieiti prie įstaigos IRT sistemų arba pas paslaugų teikėją saugomų ypatingos svarbos arba neskelbtinų duomenų ir (arba) šiuos duomenis sunaikinti. Piktavališki paslaugų teikėjo asmenys stengiasi pavogti ir parduoti neskelbtinus duomenis.

1. Apžvalga

Pavadinimas	Reguliavimas

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję standartai

2. Nustatyti reikalavimai

Reikalavimai
Šaltinis	Reikalavimas

3. Susiję standartai

Standartai
Šaltinis	Reikalavimas

EBA - Published by the European Banking Authority at https://www.eba.europa.eu/