4.6 IRT ir saugumo rizikos valdymas

Kredito ir finansų įstaigos turėtų nustatyti ir valdyti savo IRT ir saugumo riziką, susijusią su nuotolinio kliento tapatybės nustatymo proceso naudojimu, įskaitant atvejus, kai kredito ir finansų įstaigos remiasi trečiųjų šalių informacija arba kai užsakomos paslaugos, be kita ko, iš įmonės grupės.

Kredito ir finansų įstaigos turėtų ne tik laikytis EBI gairėse dėl IRT ir saugumo rizikos valdymo¹⁰ , kai taikytina, nustatytų reikalavimų, bet ir naudotis saugiais ryšių kanalais bendraudamos su klientu nuotolinio kliento tapatybės nustatymo proceso metu. Nuotolinio kliento tapatybės nustatymo sprendimas turėtų naudoti saugius protokolus ir kriptografinius algoritmus pagal sektoriaus geriausią patirtį, kad būtų užtikrintas duomenų, kuriais keičiamasi, konfidencialumas, autentiškumas ir vientisumas, kai taikytina.

¹⁰ EBA/GL/2019/04.

Kredito ir finansų įstaigos turėtų užtikrinti saugią prieigą, kad būtų galima pradėti nuotolinio kliento tapatybės nustatymo procesą, grindžiamą kvalifikuotais elektroninių spaudų sertifikatais, kaip nurodyta Reglamento (ES) Nr. 910/2014 3 straipsnio 30 punkte, arba interneto svetainių tapatumo nustatymą, kaip nurodyta to reglamento 3 straipsnio 39 punkte. Klientas taip pat turėtų būti informuojamas apie taikytinas saugumo priemones, kurių reikėtų imtis saugiam sistemos naudojimui užtikrinti.

Kai nuotoliniam kliento tapatybės nustatymui naudojamas daugiafunkcis įrenginys, programinės įrangos kodui (jei taikomas) vykdyti kliento įrenginyje turėtų būti naudojama saugi aplinka. Turėtų būti įgyvendintos papildomos saugumo priemonės siekiant užtikrinti programinės įrangos kodo ir surinktų duomenų saugumą ir patikimumą, remiantis saugumo rizikos vertinimu, kaip nustatyta EBI IRT ir saugumo rizikos valdymo gairėse.