55. Kompetentajām iestādēm jānovērtē, vai iestādei ir izveidota efektīva sistēma IKT drošības risku …

Kompetentajām iestādēm jānovērtē, vai iestādei ir izveidota efektīva sistēma IKT drošības risku apzināšanai, izprašanai, izmērīšanai un mazināšanai. Attiecībā uz šo novērtējumu kompetentajām iestādēm būtu jo īpaši jāņem vērā tas, vai sistēmai ir:

• a. skaidri definēti pienākumi un atbildība attiecībā uz:
• i. personu( - ām) un/vai komitejām, kas nodarbojas ar un/vai atbild par IKT drošības ikdienas pārvaldību un IKT drošības pamatpolitikas izstrādi, pievēršot uzmanību tām nepieciešamajai neatkarībai;
• ii. IKT drošības kontroles pasākumu izstrādi, īstenošanu, vadību un uzraudzību;
• iii. kritisko IKT sistēmu un pakalpojumu aizsardzību, piemēram, pieņemot ievainojamības novērtējuma procedūras, programmatūras ielāpu pārvaldības, darbstaciju aizsardzības (piemēram, pret ļaunprātīgas programmatūras vīrusiem), ielaušanās atklāšanas un novēršanas līdzekļus;
• iv. ārēju vai iekšēju IKT drošības negadījumu uzraudzību, klasificēšanu un apstrādi, tostarp reaģēšanu uz negadījumiem un IKT sistēmu un pakalpojumu atsākšanu un atkopšanu;
• v. regulāru un proaktīvu draudu novērtēšanu, lai uzturētu piemērotus drošības kontroles pasākumus.
• b. IKT drošības politika, kas ņem vērā un attiecīgā gadījumā stingri ievēro starptautiski atzītos IKT drošības standartus un drošības principus (piemēram, "principle of least privilege ",
• t. i., ierobežojot piekļuvi ar minimālo līmeni, kas nodrošina normālu darbību attiecībā uz piekļuves tiesību pārvaldību, un “defence in depth” principu, t. i., slāņveida drošības mehānismiem, kas paaugstina sistēmas kopējo drošību, izstrādājot drošības arhitektūru);
• c. procedūras, lai varētu apzināt IKT sistēmas, pakalpojumus un samērīgas drošības prasības, kas atbilst iespējamajam krāpšanas riskam un/vai iespējamajai konfidenciālo datu nepareizai un/vai ļaunprātīgai izmantošanai, kā arī dokumentētas drošības prasības, kas stingri jāizpilda attiecībā uz šīm apzinātajām IKT sistēmām, pakalpojumiem un datiem, atbilst iestādes riska pielaides līmenim un tiek uzraudzīta to pareiza izpilde;
• d. dokumentētas drošības negadījumu pārvaldības un eskalācijas procedūras, kas sniedz arī norādījumus par dažādiem negadījumu pārvaldības un eskalācijas pienākumiem un atbildību, krīzes komitejas( - u) locekļiem un komandķēdi ārkārtas gadījumiem drošības jomā;
• e. lietotāju un administratīvās darbības reģistrācija, lai varētu efektīvi uzraudzīt un laikus atklāt neatļautu darbību un reaģēt uz to, palīdzēt drošības negadījumu kriminālistiskā izmeklēšanā vai veikt šādu izmeklēšanu. Iestādē jābūt izstrādātai reģistrācijas politikai, kas definē atbilstīgus reģistrācijas ierakstu veidus un to uzglabāšanas laiku;
• f. izpratnes veicināšanas un informācijas kampaņas vai iniciatīvas, lai informētu visus iestādes līmeņus par iestādes IKT sistēmu drošu lietošanu un aizsardzību un galvenajiem IKT drošības (un citiem) riskiem, kas ir jāapzinās, jo īpaši attiecībā uz esošajiem un topošajiem kiberdraudiem (piemēram, datorvīrusiem, iespējamo iekšējo vai ārējo ļaunprātīgo izmantošanu vai uzbrukumiem un kiberuzbrukumiem) un pienākumiem drošības pārkāpumu mazināšanā;
• g. atbilstoši fiziskās drošības pasākumi (piemēram, videonovērošanas kameras, apsardzes signalizācija un drošības durvis), lai novērstu neatļautu fizisku piekļuvi kritiskām un jutīgām IKT sistēmām (piemēram, datu centriem);
• h. pasākumi IKT sistēmu aizsardzībai pret uzbrukumiem no interneta (t. i., kiberuzbrukumiem) vai citiem ārējiem tīkliem (piemēram, tradicionālajiem telesakaru savienojumiem vai savienojumiem ar uzticamiem partneriem). Kompetentajām iestādēm jāpārskata, vai iestādes sistēma ņem vērā:
• i. procesu un risinājumus, lai uzturētu pilnīgu un regulāri atjauninātu sarakstu un pārskatu par visiem uz āru vērstajiem tīkla savienojuma punktiem (piemēram, tīmekļa vietnēm, interneta lietotnēm, bezvadu internetu un attālināto piekļuvi), caur kuriem trešās personas varētu ielauzties iekšējās IKT sistēmās;
• ii. stingri pārvaldītus un uzraudzītus drošības līdzekļus (piemēram, ugunsmūrus, starpniekserverus, e - pasta relejus, antivīrusu un satura skenerus), lai aizsargātu ienākošo un izejošo tīkla trafiku (piemēram, e - pastu), un uz āru vērstos tīkla savienojumus, caur kuriem trešās personas varētu ielauzties iekšējās IKT sistēmās;
• iii. procesus un risinājumus, lai aizsargātu tīmekļa vietnes un lietotnes, kurām ir iespējams tieši uzbrukt no interneta un/vai ārpuses, kurus var izmantot kā ieejas punktus iekšējās IKT sistēmās. Parasti tā ir kombinācija, kas sastāv no atzītas drošas attīstības prakses, IKT sistēmas nostiprināšanas un ievainojamību skenēšanas prakses un/vai papildu drošības risinājumu ieviešanas, piemēram, tādu lietotņu kā ugunsmūris un/vai ielaušanās atklāšanas sistēma ( IDS ) un/vai pretielaušanās sistēma ( IPS );
• iv. regulāras drošības iekļūšanas pārbaudes, lai novērtētu īstenoto kiberpasākumu un iekšējo IKT drošības pasākumu un procesu efektivitāti. Šīs pārbaudes jāveic personālam un/vai ārējiem ekspertiem ar nepieciešamo kompetenci, dokumentējot pārbaužu rezultātus un secinājumus un paziņojot tos augstākajai vadībai un/vai vadības struktūrai. Ja nepieciešams un attiecināms, iestādei no šīm pārbaudēm jāmācās, kā papildus uzlabot drošības kontroles pasākumus un procesus un/vai iegūt pilnīgāku pārliecību par to efektivitāti.
• (c) Kontroles pasākumi būtisko IKT izmaiņu risku pārvaldīšanai

1. Pārskats

1.1 Atsauces

1.2 Identificētās prasības

1.3 Saistītie standarti

2. Identificētās prasības

3. Saistītie standarti

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/