3.3 Kontroles pasākumu novērtējums, mazinot būtiskos IKT riskus

Lai novērtētu iestādes atlikušo IKT risku iedarbību, kompetentajam iestādēm jāpārskata tas, kā iestāde apzina, uzrauga, novērtē un mazina būtiskos riskus, ko kompetentās iestādes apzinājušas iepriekš minētajā novērtējumā.

Šim nolūkam attiecībā uz apzinātajiem būtiskajiem IKT riskiem, kompetentajām iestādēm jāpārskata spēkā esošā:

• a. IKT riska pārvaldības politika, procesi un riska pielaides robežvērtības;
• b. organizatoriskās pārvaldības un pārraudzības sistēma;
• c. iekšējās revīzijas apjoms un slēdzieni; un
• d. IKT riska kontroles pasākumi, kas īpaši attiecas uz apzināto būtisko IKT risku.

Novērtējumā jāņem vērā vispārējās riska pārvaldības un iekšējās kontroles sistēmas analīzes rezultāti, kā norādīts EBI pamatnostādņu par SREP 5. sadaļā, kā arī iestādes pārvaldība un stratēģija, kas apskatīta šo pamatnostādņu 2. sadaļā, jo būtisku nepilnību apzināšana šajās jomās var ietekmēt iestādes spēju pārvaldīt un mazināt IKT risku iedarbību. Ja attiecināms, kompetentajām iestādēm jāizmanto arī informācijas avoti, kas minēti šo pamatnostādņu 37. punktā.

Kompetentajām iestādēm jāveic turpmāk minētie novērtējuma pasākumi tādā veidā, kas ir samērīgs ar iestādes darbības raksturu, mērogu un sarežģītību, un jāveic tāda uzraudzības pārbaude, kas ir atbilstoša iestādes IKT riska profilam.

3.3.1 IKT riska pārvaldības politika, procesi un pielaides robežvērtības

Kompetentajām iestādēm jāpārskata, vai iestādei ir izstrādātas piemērotas riska pārvaldības politikas, procesi un pielaides robežvērtības attiecībā uz apzinātajiem būtiskajiem IKT riskiem. Tās var būt iekļautas operacionālā riska pārvaldības sistēmā vai atsevišķā dokumentā. Attiecībā uz šo novērtējumu kompetentajām iestādēm būtu jāapsver, vai:

• a. vadības struktūra ir formalizējusi un apstiprinājusi riska pārvaldības politiku un tajā ir pietiekami norādījumi par iestādes vēlmi uzņemties IKT risku un galvenajiem izvirzītajiem IKT riska pārvaldības mērķiem un/vai piemērotajām IKT riska pielaides robežvērtībām. Attiecīgā IKT riska pārvaldības politika jānosūta arī visām saistītajām ieinteresētajām personām;
• b. spēkā esošā politika aptver visus riska pārvaldībai svarīgos elementus attiecībā uz apzinātajiem būtiskajiem IKT riskiem;
• c. iestāde ir izstrādājusi procesu un pamatprocedūras attiecīgo būtisko IKT risku apzināšanai (piemēram, "riska un kontroles pašvērtējumi" (RCSA) un riska scenāriju analīze) un uzraudzībai; un
• d. iestādei ir izstrādāta IKT riska pārvaldības ziņošanas kārtība, kas laikus nodrošina informāciju augstākajai vadībai un vadības struktūrai un ļauj šai augstākajai vadībai un/vai vadības struktūrai novērtēt un uzraudzīt, vai iestādes IKT riska mazināšanas plāni un pasākumi atbilst apstiprinātajai vēlmei uzņemties risku un/vai pielaides robežvērtībām (ja attiecināms), un uzraudzīt būtisko IKT risku izmaiņas.

3.3.2 Organizatoriskās pārvaldības un pārraudzības sistēma

Kompetentajām iestādēm jānovērtē, kā spēkā esošie riska pārvaldības pienākumi un atbildība ir iekļauta un integrēta iekšējā organizācijā, lai varētu vadīt un pārraudzīt apzinātos būtiskos IKT riskus. Šajā jomā kompetentajām iestādēm jānovērtē, vai iestāde pierāda:

• a. ka ir skaidri pienākumi un atbildība, lai varētu apzināt, novērtēt, mazināt, paziņot un pārraudzīt attiecīgos būtiskos IKT riskus;
• b. ka riska atbildība un pienākumi ir skaidri paziņoti, sadalīti un iekļauti visās attiecīgajās organizācijas daļās (piemēram, uzņēmējdarbības līnijās un IT) un procesos, tostarp arī pienākumi un atbildība par riska informācijas vākšanu un apkopošanu un tās paziņošanu augstākajai vadībai un/vai vadības struktūrai;
• c. ka IKT riska pārvaldības pasākumi tiek īstenoti ar pietiekamiem un kvalitatīviem cilvēkresursiem un tehniskajiem resursiem. Lai varētu novērtēt spēkā esošo riska mazināšanas plānu ticamību, kompetentajām iestādēm arī jānovērtē, vai iestāde ir piešķīrusi pietiekamus finanšu līdzekļus un/vai citus nepieciešamos resursus to īstenošanai;
• d. atbilstīgs turpinājuma darbs un vadības struktūras reakcija uz svarīgiem konstatējumiem, ko nodrošina neatkarīgas kontroles funkcijas attiecībā uz IKT risku( - iem), ņemot vērā dažu aspektu iespējamo deleģēšanu komitejai, ja tāda ir; un
• e. izņēmumus no spēkā esošajiem IKT noteikumiem un politikām reģistrē, dokumentēti pārskata un paziņo neatkarīga kontroles funkcija, pievēršot uzmanību saistītajiem riskiem.

3.3.3 Iekšējās revīzijas apjoms un slēdzieni

Kompetentajām iestādēm jānovērtē, vai iekšējās revīzijas funkcija ir efektīva, veicot revīziju attiecībā uz spēkā esošo IKT riska kontroles sistēmu, pārskatot, vai:

• a. IKT riska kontroles sistēma tiek revidēta nepieciešamajā kvalitātē, pietiekami dziļi un bieži un samērīgi ar iestādes lielumu, darbību un IKT riska profilu;
• b. revīzijas plānā ir paredzēts revidēt kritiskos IKT riskus, ko apzinājusi iestāde;
• c. svarīgie IKT revīzijas slēdzieni, tostarp saskaņotās darbības, ir paziņotas vadības struktūrai; un
• d. IKT revīzijas slēdzieniem, tostarp saskaņotajām darbībām, tiek veikta pārraudzība, un progresa ziņojumus regulāri pārskata augstākā vadība un/vai revīzijas komiteja.

3.3.4 IKT riska kontroles pasākumi, kas īpaši attiecas uz apzinātajiem būtiskajiem IKT riskiem

Attiecībā uz apzinātajiem būtiskajiem IKT riskiem kompetentajām iestādēm jānovērtē, vai iestādei ir izstrādāti īpaši kontroles pasākumi šo risku novēršanai. Turpmākajās iedaļās ir iekļauts neizsmeļošs saraksts ar īpašiem kontroles pasākumiem, kas jāizskata, novērtējot būtiskos riskus, kuri apzināti saskaņā ar 3.2.3. punktu, un tas ir kartēts šādās IKT riska kategorijās:

• a. IKT pieejamības un darbības nepārtrauktības riski;
• b. IKT drošības riski;
• c. IKT izmaiņu riski;
• d. IKT datu integritātes riski;
• e. IKT ārpakalpojumu radītie riski.
• (a) Kontroles pasākumi būtisko IKT pieejamības un darbības nepārtrauktības risku pārvaldīšanai

Papildus EBI pamatnostādņu par SREP (279. – 281. punkta) prasībām, kompetentajām iestādēm jānovērtē, vai iestādei ir izstrādāta piemērota sistēma IKT pieejamības un darbības nepārtrauktības risku apzināšanai, izprašanai, izmērīšanai un mazināšanai.

Attiecībā uz šo novērtējumu kompetentajām iestādēm būtu jo īpaši jāapsver, vai sistēma:

• a. identificē kritiskos IKT procesus un attiecīgās IKT atbalsta sistēmas, kurām jābūt iekļautām uzņēmējdarbības stabilitātes un nepārtrauktības plānos ar:
• i. visaptverošu analīzi par savstarpējo saistību starp kritiskajiem uzņēmējdarbības procesiem un atbalsta sistēmām;
• ii. atkopšanas mērķu noteikšanu IKT atbalsta sistēmām (piemēram, parasti tos nosaka uzņēmums un/vai paredz RTO un RPO prasības);
• iii. veic atbilstošu darbības nepārtrauktības plānošanu, lai nodrošinātu, ka kritisko IKT sistēmu un pakalpojumu pieejamība, nepārtrauktība un atkopšana mazina iestādes darbības pārtraukumus pieņemamā līmenī.
• b. uzrāda uzņēmējdarbības stabilitāti, tajā ir nepārtrauktības kontroles vides politikas, standarti un operacionālās kontroles pasākumi, kas ietver:
• i. pasākumus, kas novērš to, ka kāds atsevišķs scenārijs, negadījums vai katastrofa var ietekmēt IKT ražošanas un atkopšanas sistēmas;
• ii. IKT sistēmas dublēšanas un atkopšanas procedūras kritiskai programmatūrai un datiem, kas nodrošina šo dublējumu uzglabāšanu drošā un pietiekami attālinātā vietā, lai negadījums vai katastrofa nespētu šos kritiskos datus iznīcināt vai sabojāt;
• iii. uzraudzības risinājumus, lai varētu laikus atklāt IKT pieejamības vai darbības nepārtrauktības negadījumus;
• iv. dokumentētu incidentu pārvaldības un eskalācijas procesu, kas sniedz arī norādījumus par dažādiem negadījumu pārvaldības un eskalācijas pienākumiem un atbildību, krīzes komitejas( -
• u) locekļiem un komandķēdi ārkārtas gadījumā;
• v. fiziskus pasākumus, lai aizsargātu iestādes kritisko IKT infrastruktūru (piemēram, datu centrus) no vides riskiem (piemēram, plūdiem un citām dabas katastrofām) un nodrošinātu piemērotu darbības vidi IKT sistēmām (piemēram, gaisa kondicionēšanu);
• vi. procesus, pienākumus un atbildību, lai nodrošinātu, ka arī uz ārpakalpojumos nodotajām IKT sistēmām un pakalpojumiem attiecas piemēroti uzņēmējdarbības stabilitātes un nepārtrauktības risinājumi un plāni;
• vii. IKT darbības un jaudas plānošanas un uzraudzības risinājumus kritiskajām IKT sistēmām un pakalpojumiem ar definētām pieejamības prasībām, lai varētu laikus atklāt būtiskus darbības un jaudas ierobežojumus;
• viii. risinājumus, lai varētu aizsargāt kritiskās interneta darbības vai pakalpojumus (piemēram, e - bankas pakalpojumus), ja nepieciešams un attiecināms, pret pakalpojumu liegšanu un citiem kiberuzbrukumiem internetā, kuru mērķis ir nepieļaut vai traucēt piekļuvi šīm darbībām un pakalpojumiem.
• c. sistēma testē IKT pieejamības un darbības nepārtrauktības risinājumus dažādos reālistiskos scenārijos, tostarp attiecībā uz kiberuzbrukumiem, kļūmjpārlēces testiem un dublēšanas testiem saistībā ar kritisko programmatūru un datiem, kas:
• i. ir plānoti, formalizēti un dokumentēti, un šo testu rezultāti tiek izmantoti, lai stiprinātu IKT pieejamības un darbības nepārtrauktības risinājumu efektivitāti;
• ii. ietver arī organizācijas ieinteresētās personas un funkcijas, piemēram, uzņēmējdarbības līniju vadību, tostarp darbības nepārtrauktības, negadījumu un krīzes reaģēšanas komandas, kā arī attiecīgas ārējās personas, kas ieinteresētas ekosistēmā;
• iii. vadības struktūra un augstākā vadība ir pienācīgi iesaistīta (piemēram, krīzes vadības komandu sastāvā) un informēta par testu rezultātiem.
• (b) Kontroles pasākumi būtisko IKT drošības risku pārvaldīšanai

Kompetentajām iestādēm jānovērtē, vai iestādei ir izveidota efektīva sistēma IKT drošības risku apzināšanai, izprašanai, izmērīšanai un mazināšanai. Attiecībā uz šo novērtējumu kompetentajām iestādēm būtu jo īpaši jāņem vērā tas, vai sistēmai ir:

• a. skaidri definēti pienākumi un atbildība attiecībā uz:
• i. personu( - ām) un/vai komitejām, kas nodarbojas ar un/vai atbild par IKT drošības ikdienas pārvaldību un IKT drošības pamatpolitikas izstrādi, pievēršot uzmanību tām nepieciešamajai neatkarībai;
• ii. IKT drošības kontroles pasākumu izstrādi, īstenošanu, vadību un uzraudzību;
• iii. kritisko IKT sistēmu un pakalpojumu aizsardzību, piemēram, pieņemot ievainojamības novērtējuma procedūras, programmatūras ielāpu pārvaldības, darbstaciju aizsardzības (piemēram, pret ļaunprātīgas programmatūras vīrusiem), ielaušanās atklāšanas un novēršanas līdzekļus;
• iv. ārēju vai iekšēju IKT drošības negadījumu uzraudzību, klasificēšanu un apstrādi, tostarp reaģēšanu uz negadījumiem un IKT sistēmu un pakalpojumu atsākšanu un atkopšanu;
• v. regulāru un proaktīvu draudu novērtēšanu, lai uzturētu piemērotus drošības kontroles pasākumus.
• b. IKT drošības politika, kas ņem vērā un attiecīgā gadījumā stingri ievēro starptautiski atzītos IKT drošības standartus un drošības principus (piemēram, "principle of least privilege ",
• t. i., ierobežojot piekļuvi ar minimālo līmeni, kas nodrošina normālu darbību attiecībā uz piekļuves tiesību pārvaldību, un “defence in depth” principu, t. i., slāņveida drošības mehānismiem, kas paaugstina sistēmas kopējo drošību, izstrādājot drošības arhitektūru);
• c. procedūras, lai varētu apzināt IKT sistēmas, pakalpojumus un samērīgas drošības prasības, kas atbilst iespējamajam krāpšanas riskam un/vai iespējamajai konfidenciālo datu nepareizai un/vai ļaunprātīgai izmantošanai, kā arī dokumentētas drošības prasības, kas stingri jāizpilda attiecībā uz šīm apzinātajām IKT sistēmām, pakalpojumiem un datiem, atbilst iestādes riska pielaides līmenim un tiek uzraudzīta to pareiza izpilde;
• d. dokumentētas drošības negadījumu pārvaldības un eskalācijas procedūras, kas sniedz arī norādījumus par dažādiem negadījumu pārvaldības un eskalācijas pienākumiem un atbildību, krīzes komitejas( - u) locekļiem un komandķēdi ārkārtas gadījumiem drošības jomā;
• e. lietotāju un administratīvās darbības reģistrācija, lai varētu efektīvi uzraudzīt un laikus atklāt neatļautu darbību un reaģēt uz to, palīdzēt drošības negadījumu kriminālistiskā izmeklēšanā vai veikt šādu izmeklēšanu. Iestādē jābūt izstrādātai reģistrācijas politikai, kas definē atbilstīgus reģistrācijas ierakstu veidus un to uzglabāšanas laiku;
• f. izpratnes veicināšanas un informācijas kampaņas vai iniciatīvas, lai informētu visus iestādes līmeņus par iestādes IKT sistēmu drošu lietošanu un aizsardzību un galvenajiem IKT drošības (un citiem) riskiem, kas ir jāapzinās, jo īpaši attiecībā uz esošajiem un topošajiem kiberdraudiem (piemēram, datorvīrusiem, iespējamo iekšējo vai ārējo ļaunprātīgo izmantošanu vai uzbrukumiem un kiberuzbrukumiem) un pienākumiem drošības pārkāpumu mazināšanā;
• g. atbilstoši fiziskās drošības pasākumi (piemēram, videonovērošanas kameras, apsardzes signalizācija un drošības durvis), lai novērstu neatļautu fizisku piekļuvi kritiskām un jutīgām IKT sistēmām (piemēram, datu centriem);
• h. pasākumi IKT sistēmu aizsardzībai pret uzbrukumiem no interneta (t. i., kiberuzbrukumiem) vai citiem ārējiem tīkliem (piemēram, tradicionālajiem telesakaru savienojumiem vai savienojumiem ar uzticamiem partneriem). Kompetentajām iestādēm jāpārskata, vai iestādes sistēma ņem vērā:
• i. procesu un risinājumus, lai uzturētu pilnīgu un regulāri atjauninātu sarakstu un pārskatu par visiem uz āru vērstajiem tīkla savienojuma punktiem (piemēram, tīmekļa vietnēm, interneta lietotnēm, bezvadu internetu un attālināto piekļuvi), caur kuriem trešās personas varētu ielauzties iekšējās IKT sistēmās;
• ii. stingri pārvaldītus un uzraudzītus drošības līdzekļus (piemēram, ugunsmūrus, starpniekserverus, e - pasta relejus, antivīrusu un satura skenerus), lai aizsargātu ienākošo un izejošo tīkla trafiku (piemēram, e - pastu), un uz āru vērstos tīkla savienojumus, caur kuriem trešās personas varētu ielauzties iekšējās IKT sistēmās;
• iii. procesus un risinājumus, lai aizsargātu tīmekļa vietnes un lietotnes, kurām ir iespējams tieši uzbrukt no interneta un/vai ārpuses, kurus var izmantot kā ieejas punktus iekšējās IKT sistēmās. Parasti tā ir kombinācija, kas sastāv no atzītas drošas attīstības prakses, IKT sistēmas nostiprināšanas un ievainojamību skenēšanas prakses un/vai papildu drošības risinājumu ieviešanas, piemēram, tādu lietotņu kā ugunsmūris un/vai ielaušanās atklāšanas sistēma ( IDS ) un/vai pretielaušanās sistēma ( IPS );
• iv. regulāras drošības iekļūšanas pārbaudes, lai novērtētu īstenoto kiberpasākumu un iekšējo IKT drošības pasākumu un procesu efektivitāti. Šīs pārbaudes jāveic personālam un/vai ārējiem ekspertiem ar nepieciešamo kompetenci, dokumentējot pārbaužu rezultātus un secinājumus un paziņojot tos augstākajai vadībai un/vai vadības struktūrai. Ja nepieciešams un attiecināms, iestādei no šīm pārbaudēm jāmācās, kā papildus uzlabot drošības kontroles pasākumus un procesus un/vai iegūt pilnīgāku pārliecību par to efektivitāti.
• (c) Kontroles pasākumi būtisko IKT izmaiņu risku pārvaldīšanai

Kompetentajām iestādēm jānovērtē, vai iestādei ir izstrādāta efektīva sistēma IKT izmaiņu riska apzināšanai, izprašanai, mērīšanai un mazināšanai samērīgi ar iestādes darbības raksturu, mērogu un sarežģītību un iestādes IKT riska profilu. Iestādes sistēmai jāaptver riski, kas saistīti ar IKT sistēmu izmaiņu izstrādi, testēšanu un apstiprināšanu, tostarp programmatūras izstrādi vai izmainīšanu, pirms to pārcelšanas uz ražošanas vidi, un ar atbilstošas IKT dzīves cikla pārvaldības nodrošināšanu. Attiecībā uz šo novērtējumu kompetentajām iestādēm būtu jo īpaši jāņem vērā tas, vai sistēmai ir:

• a. dokumentēti procesi IKT sistēmu izmaiņu pārvaldīšanai un kontrolēšanai (piemēram, konfigurācijas un ielāpu pārvaldībai) un datu pārvaldīšanai un kontrolēšanai (piemēram, kļūdu noteikšanai vai datu koriģēšanai), nodrošinot pienācīgu IKT riska pārvaldības iesaisti svarīgās IKT izmaiņās, kas var būtiski ietekmēt iestādes riska profilu vai iedarbību;
• b. specifikācijas attiecībā uz nepieciešamo pienākumu sadali dažādos īstenoto IKT izmaiņu procesu posmos (piemēram, risinājuma izstrādē un izveidē, jaunas programmatūras un/vai izmaiņu testēšanā un apstiprināšanā, migrācijā un īstenošanā ražošanas vidē un kļūdu noteikšanā), akcentējot īstenotos risinājumus un pienākumu sadali, lai pārvaldītu un kontrolētu izmaiņas ražošanas IKT sistēmās un datos, ko veic IKT personāls (piemēram, izstrādātāji, IKT sistēmu administratori un datubāzu administratori) vai jebkuras citas personas (piemēram, lietotāji darba vajadzībām un pakalpojumu sniedzēji);
• c. testēšanas vide, kas pietiekami atbilst ražošanas videi;
• d. esošo lietotņu un IKT sistēmu aktīvu saraksts ražošanas vidē, kā arī testēšanas un izstrādes vidē, lai nepieciešamās izmaiņas (piemēram, versiju atjauninājumus vai uzlabojumus, sistēmu ielāpošanu un konfigurācijas izmaiņas) varētu pareizi pārvaldīt, īstenot un uzraudzīt attiecībā uz iesaistītajām IKT sistēmām;
• e. procedūras izmantoto IKT sistēmu dzīves cikla uzraudzībai un pārvaldībai, lai varētu nodrošināt, ka tās arī turpmāk atbilst spēkā esošajām uzņēmējdarbības un riska pārvaldības prasībām un atbalsta tās, un nodrošināt, ka tirgotāji arī turpmāk atbalsta izmantotos IKT risinājumus un sistēmas un to visu papildina atbilstošas programmatūras izstrādes dzīves cikla (SDLC ) procedūras;
• f. programmatūras pirmkoda kontroles sistēma un atbilstošas procedūras neatļautu izmaiņu novēršanai programmatūras pirmkodā, kas izstrādātas pašā organizācijā;
• g. procedūras jauno vai būtiski izmainīto IKT sistēmu un programmatūras drošības un neaizsargātības pārbaužu veikšanai pirms to laišanas ražošanā un pakļaušanas iespējamiem kiberuzbrukumiem;
• h. procedūras un risinājumi konfidenciālo datu neatļautas vai netīšas izpaušanas novēršanai, nomainot, arhivējot, izmetot vai iznīcinot IKT sistēmas;
• i. neatkarīgi pārskata un apstiprināšanas procesi, lai varētu samazināt cilvēka kļūdu riskus, veicot tādas izmaiņas IKT sistēmās, kas var būtiski kaitēt iestādes pieejamībai, darbības nepārtrauktībai vai drošībai (piemēram, būtiskas izmaiņas ugunsmūra konfigurācijā), vai iestādes drošībai (piemēram, izmaiņas ugunsmūros).
• (d) Kontroles pasākumi būtisko IKT datu integritātes risku pārvaldībai

Kompetentajām iestādēm jānovērtē, vai iestādei ir izstrādāta efektīva sistēma IKT datu integritātes riska apzināšanai, izprašanai, izmērīšanai un mazināšanai samērīgi ar iestādes darbības raksturu, mērogu un sarežģītību un iestādes IKT riska profilu. Iestādes sistēmai jāņem vērā riski, kas saistīti ar to datu integritātes saglabāšanu, kurus uzglabā un apstrādā IKT sistēmas. Attiecībā uz šo novērtējumu kompetentajām iestādēm būtu jo īpaši jāņem vērā tas, vai sistēmai ir:

• a. politika, kas definē pienākumus un atbildību datu integritātes pārvaldīšanai IKT sistēmās (piemēram, datu arhitektam, datu aizsardzības amatpersonām⁶ , datu glabātājiem⁷ , datu īpašniekiem/pārziņiem⁸ ) un sniedz norādījumus par to, kuri dati ir kritiski datu integritātes aspektā un kuriem būtu jāveic īpaši IKT kontroles pasākumi (piemēram, automatizēti ievades apstiprināšanas kontroles pasākumi, datu pārsūtīšanas kontroles pasākumi, datu salīdzināšanas pasākumi u. c.) vai pārskati (piemēram, pārbaude par saderību ar datu arhitektūru) dažādos IKT datu dzīves cikla posmos;
• b. dokumentēta datu arhitektūra, datu modelis un/vai vārdnīca, kas saskaņota ar attiecīgām iesaistītām personām uzņēmējdarbības un IT jomā, lai atbalstītu nepieciešamo datu konsekvenci visās IKT sistēmās un nodrošinātu to, ka datu arhitektūra, datu modelis un/vai vārdnīca arī turpmāk atbilst darbības un riska pārvaldības vajadzībām;
• c. politika attiecībā uz gala lietotāja skaitļošanas (End User Computing) atļauto lietošanu un paļaušanos uz to, jo īpaši attiecībā uz svarīgu gala lietotāja skaitļošanas risinājumu apzināšanu, reģistrēšanu un dokumentēšanu (piemēram, apstrādājot svarīgus datus), un plānotajiem drošības līmeņiem, lai varētu novērst neatļautas izmaiņas gan pašā rīkā, gan tajā uzglabātajos datos;
• d. dokumentēti izņēmumu apstrādes procesi, lai varētu risināt apzinātās IKT datu integritātes problēmas atbilstoši to kritiskumam un jutīgumam.

6 Datu aizsardzības amatpersona atbild par datu apstrādi un lietošanu. 7 Datu glabātājs atbild par datu drošu apsardzību, transportēšanu un uzglabāšanu. 8 Datu pārzinis atbild par datu elementu pārvaldību un piemērotību — attiecībā uz saturu un metadatiem.

Attiecībā uz uzraudzītajām iestādēm, kas ietilpst Bāzeles Banku uzraudzības komitejas 239 efektīvas riska datu apkopošanas un riska ziņošanas principu⁹ piemērošanas jomā, kompetentajām iestādēm jāpārskata iestādes riska analīze, ko nodrošina tās riska ziņošanas un datu apkopošanas spējas, salīdzinājumā ar principiem un par tiem sagatavoto dokumentāciju un ņemot vērā šo principu īstenošanas grafiku un pārejas mehānismus.

• (e) Kontroles pasākumi būtisko IKT ārpakalpojumu radīto risku pārvaldīšanai

Kompetentajām iestādēm jānovērtē, vai iestādes ārpakalpojumu stratēģija, kas atbilst CEBS pamatnostādņu par ārpakalpojumiem (2006. gads) prasībām un arī EBI pamatnostādņu par SREP 85. punkta d) apakšpunkta prasībai, tiek pareizi piemērota IKT ārpakalpojumiem, tostarp grupas iekšējiem ārpakalpojumiem, kas nodrošina IKT pakalpojumus grupas ietvaros. Novērtējot IKT ārpakalpojumu radītos riskus, kompetentajām iestādēm jāņem vērā tas, ka IKT ārpakalpojumu radītos riskus var daļēji apskatīt arī novērtējumā par raksturīgajiem operacionālajiem riskiem saskaņā ar EBI pamatnostādņu par SREP 240. punkta j) apakšpunktu, lai novērstu jebkādu darba dublēšanos vai divkāršu uzskaiti.

Kompetentajām iestādēm īpaši jānovērtē tas, vai iestādei ir izstrādāta efektīva sistēma IKT ārpakalpojumu radīto risku apzināšanai, izprašanai un izmērīšanai un jo īpaši kontroles pasākumi un kontroles vide, lai varētu mazināt riskus, kas saistīti ar būtiskiem IKT ārpakalpojumiem, kuri ir samērīgi ar iestādes lielumu, darbību un IKT riska profilu un ietver:

• a. novērtējumu par IKT ārpakalpojumu ietekmi uz iestādes riska pārvaldību saistībā ar pakalpojumu sniedzēju (piemēram, mākoņpakalpojumu sniedzēju) iesaisti un viņu pakalpojumiem iepirkuma procesa laikā, kas ir dokumentēts un ko augstākā vadība vai vadības struktūra ņem vērā, pieņemot lēmumu par kāda pakalpojuma nodošanu ārpakalpojumā. Iestādei jāpārskata IKT riska pārvaldības politika, IKT kontroles pasākumi un pakalpojumu sniedzēja kontroles vide, lai nodrošinātu, ka tā atbilst iestādes iekšējā riska pārvaldības mērķiem un vēlmei uzņemties risku. Šis pārskats ārpakalpojumu līguma perioda laikā regulāri jāatjaunina, ņemot vērā sniegto ārpakalpojumu raksturu;
• b. ārpakalpojumā nodotā pakalpojuma IKT risku uzraudzību ārpakalpojumu līguma perioda laikā iestādes riska pārvaldības ietvaros, uz kā pamata sagatavo iestādes IKT riska pārvaldības ziņojumus (piemēram, ziņojumus par uzņēmējdarbības nepārtrauktību un drošību);
• c. saņemto pakalpojumu uzraudzību un līmeņa salīdzinājumu ar līgumā noteikto pakalpojumu līmeni, kam jāietilpst ārpakalpojumu līgumā vai pakalpojuma līmeņa nolīgumā (SLA) ; un
• d. pietiekamu darbinieku skaitu, resursus un kompetences, lai varētu uzraudzīt un pārvaldīt ārpakalpojumu radītos IKT riskus.

9 Bāzeles komiteja banku uzraudzībai — Principi efektīvai riska datu apkopošanai un riska ziņošanai, 2013. gada janvāris, pieejami tiešsaistē: http://www.bis.org/publ/bcbs239.pdf.