+Pielikums. IKT riska taksonomija
|
Pielikums. IKT riska taksonomija
Piecas IKT riska kategorijas ar neizsmeļošu tādu IKT risku sarakstu, kuriem potenciāli ir augsta pakāpe un/vai liela ietekme uz operacionālo, reputācijas vai finansiālo stāvokli | IKT riska kategorijas (neizsmeļošs | IKT riski saraksts10 ) | Riska apraksts | Piemēri | | | IKT pieejamības Neatbilstoša un darbības kapacitātes nepārtrauktības pārvaldība riski | | Nepietiekami resursi (piemēram, aparatūra, programmatūra, personāls, pakalpojumu sniedzēji) var izraisīt nespēju paplašināt pakalpojumu, lai apmierinātu uzņēmējdarbības vajadzības, novērstu sistēmas pārtraukumus, pakalpojuma pasliktināšanos un/vai operacionālas kļūdas. | • • | Jaudas nepietiekamība var ietekmēt pārraides ātrumu un tīkla (interneta) pieejamību tādiem pakalpojumiem kā interneta banka. Personāla trūkums (iekšējais vai trešās personas) var izraisīt sistēmas pārtraukumus un/vai operacionālas kļūdas. | | IKT kļūmes | sistēmas | Pieejamības zaudēšana aparatūras kļūmes dēļ. Pieejamības zaudēšana programmatūras kļūmes vai defekta dēļ. | • • • | Uzglabāšanas (cieto disku), serveru vai citu IKT iekārtu kļūmes/bojājumi, ko izraisa, piemēram, nepienācīga uzturēšana. Bezgalīga cilpa lietotnes programmatūrā neļauj īstenot operāciju. Darbības pārtraukumi, ko izraisa novecojušu IKT sistēmu un risinājumu lietošana, lai gan tie vairs neatbilst pašreizējām pieejamības un stabilitātes prasībām un/vai tos vairs neatbalsta tirgotāji. | | Neatbilstoša darbības nepārtrauktības un | IKT ārkārtas | Kļūme plānotajos IKT pieejamības un/vai darbības nepārtrauktības risinājumos, un/vai ārkārtas atkopšanā (piemēram, alternatīvajā atkopšanas datu centrā), aktivizējot, lai reaģētu uz negadījumu. | • | Konfigurācijas atšķirības starp primāro un sekundāro datu centru var izraisīt alternatīvā datu centra nespēju nodrošināt plānoto pakalpojuma nepārtrauktību. |
atkopšanas plānošana 10 IKT riski ir iekļauti tajā riska kategorijā, kuru tie visvairāk ietekmē, taču tie var ietekmēt arī citas riska kategorijas. | IKT riska kategorijas (neizsmeļošs | IKT riski saraksts10 ) | Riska apraksts | Piemēri | | | Graujoši destruktīvi kiberuzbrukumi | un | Dažādu nolūku vadīti uzbrukumi (piemēram, aktīvisms vai šantāža), kas izraisa sistēmu un tīkla pārslodzi, liedzot likumīgajiem lietotājiem piekļūt tiešsaistes datorpakalpojumiem. | • | Izplatītie pakalpojuma liegšanas uzbrukumi tiek veikti, izmantojot daudzas interneta datorsistēmas, kuras kontrolē hakeris, un tās nosūta interneta pakalpojumiem (piemēram, e - bankai) lielu daudzumu šķietami leģitīmu pakalpojuma pieprasījumu. | | IKT drošības Kiberuzbrukumi riski un uzbrukumi saistībā | citi ārēji ar IKT | Uzbrukumi, kas veikti no interneta vai ārējiem tīkliem un ir dažādu nolūku vadīti (piemēram, krāpšana, spiegošana, aktīvisms/sabotāža, kiberterorisms), izmantojot dažādus līdzekļus (piemēram, sociālā inženierija, ielaušanās mēģinājumi, izmantojot neaizsargātās vietas, ļaunprātīgas programmatūras izplatīšana), kas izraisa kontroles pārņemšanu pār iekšējām IKT sistēmām. Krāpniecisku norēķinu darījumu veikšana, ko hakeri īsteno, uzlaužot vai apejot e - bankas un norēķinu pakalpojumu drošības sistēmu un/vai uzbrūkot un izmantojot drošības ziņā neaizsargātās vietas iestādes iekšējās norēķinu sistēmās. Krāpniecisku vērtspapīru darījumu veikšana, ko hakeri īsteno, uzlaužot vai apejot e - bankas pakalpojumu drošības sistēmas, tā iegūstot piekļuvi arī klientu vērtspapīru kontiem. | Dažādi • • • • • • • | uzbrukumu veidi APT (uzlabots pastāvīgs drauds) kontroles pārņemšanai pār iekšējām sistēmām vai informācijas zagšanai (piemēram, informācija, kas saistīta ar identitātes zādzību, un kredītkartes informācija). Ļaunprātīga programmatūra (piemēram, iebiedēšanas uzbrukumā), kas šifrē datus šantāžas nolūkā. Iekšējo IKT sistēmu inficēšana ar Trojas zirgu, lai varētu slēptā veidā veikt ļaunprātīgas darbības ar sistēmu. IKT sistēmas un/vai (tīkla) lietotnes neaizsargātības izmantošana (piemēram, SQL injekcija u. c.), lai iegūtu piekļuvi iekšējai IKT sistēmai. Uzbrukumi e - bankai vai norēķinu pakalpojumiem, lai veiktu neatļautus darījumus. Krāpniecisku norēķinu darījumu izveide un izsūtīšana no iestādes iekšējām norēķinu sistēmām (piemēram, krāpnieciski SWIFT ziņojumi). "Pump and dump" uzbrukumi, kad uzbrucēji iegūst piekļuvi klientu e - bankas vērtspapīru kontiem un ievieto krāpnieciskus pirkšanas vai pārdošanas rīkojumus, lai ietekmētu tirgus cenu un/vai gūtu | | IKT riska kategorijas (neizsmeļošs | IKT riski saraksts10 ) | Riska apraksts Uzbrukumi komunikāciju savienojumiem un jebkura veida sarunām vai IKT sistēmām, lai ievāktu informāciju un/vai veiktu krāpšanu. | Piemēri • | peļņu, izmantojot iepriekš izveidotas vērtspapīru pozīcijas. Sarunu noklausīšanās/neaizsargātu autentifikācijas datu sūtījumu atklātā tekstā pārtveršana. | | Neatbilstoša iekšējā drošība | IKT | Neatļautas piekļuves kritiskām IKT sistēmām iegūšana no iestādes iekšienes dažādiem nolūkiem (piemēram, krāpšana, negodīgu tirdzniecības darbību veikšana un slēpšana, datu zādzība, aktīvisms/sabotāža), izmantojot dažādus līdzekļus (piemēram, privilēģiju ļaunprātīga izmantošana un/vai eskalēšana, identitātes zādzības, sociālā inženierija, IKT sistēmu ievainojamības izmantošana, ļaunprātīgas programmatūras izplatīšana). Neatļautas IKT manipulācijas, ko pieļauj neatbilstošas IKT piekļuves pārvaldības procedūras un prakse. Drošības apdraudējumi, ko izraisa neinformētība drošības jomā, kuras dēļ darbinieki neizprot, neievēro vai neīsteno IKT drošības politiku un procedūras. | • • • • • • • • | Taustiņinformācijas (taustiņu datu) saglabātāju uzstādīšana, lai nozagtu lietotājvārdus un paroles un iegūtu neatļautu piekļuvi konfidenciāliem datiem un/vai veiktu krāpšanu. Vāju paroļu uzlaušana/uzminēšana, lai iegūtu nelikumīgas vai augstāka līmeņa piekļuves tiesības. Sistēmas administrators izmanto operētājsistēmas vai datubāzu lietotnes (veicot tiešas izmaiņas datubāzēs) krāpšanas veikšanai. Nevajadzīgu kontu neatspējošana vai neizdzēšana, piemēram, kad darbinieks maina amatu un/vai aiziet no iestādes, tostarp viesiem vai piegādātājiem, kuriem vairs nav vajadzīga piekļuve, kas nodrošina neatļautu piekļuvi IKT sistēmām. Pārāk lielu piekļuves tiesību un privilēģiju piešķiršana, kas nodrošina neatļautu piekļuvi un/vai pieļauj negodīgu darbību slēpšanu. Darbinieki, kuri tiek maldināti un palīdz veikt uzbrukumu (t. i., sociālā inženierija). Slikta prakse attiecībā uz pierakstīšanās informāciju — kopīgas paroles, "viegli uzminamu" paroļu lietošana, vienas paroles izmantošana dažādiem mērķiem utt. Nešifrētu konfidenciālu datu glabāšana klēpjdatoros un pārnēsājamos datu uzglabāšanas risinājumos (piemēram, USB zibatmiņās), ko var pazaudēt vai | | IKT riska kategorijas (neizsmeļošs | IKT riski saraksts10 ) | Riska apraksts Konfidenciālas informācijas neatļauta glabāšana vai pārsūtīšana ārpus iestādes. | Piemēri • | nozagt. Konfidenciālas informācijas nozagšana vai tīša nopludināšana vai nodošana nepiederošām personām vai plašai sabiedrībai. | | Neatbilstoša fiziskā | IKT drošība | IKT aktīvu nepareiza izmantošana vai zādzība, tiem piekļūstot fiziski un radot šo aktīvu vai datu bojājumus vai zudumus vai padarot iespējamus citus apdraudējumus. Tīši vai netīši bojājumi fiziskiem IKT aktīviem, ko rada terorisms, avārijas vai neveiksmīgas/kļūdainas manipulācijas, kuras veic iestādes darbinieki un/vai trešās personas (piegādātāji vai remontdarbinieki). Nepietiekama fiziskā aizsardzība pret dabas katastrofām, kas daļēji vai pilnībā iznīcina IKT sistēmas / datu centrus dabas katastrofā. | • • • • | Fiziska ielaušanās biroju ēkās un/vai datu centros, lai nozagtu IKT iekārtas (piemēram, datorus, klēpjdatorus, glabāšanas risinājumus) un/vai nokopētu datus, fiziski piekļūstot IKT sistēmām. Fiziskais terorisms (t. i., teroristu bumbas) vai IKT aktīvu sabotāža. Datu centra iznīcināšana ugunsgrēkā, ūdens noplūdē vai citos apstākļos. Zemestrīces, pārmērīgs karstums, viesuļvētras, spēcīgi sniegputeņi, plūdi, ugunsgrēki un zibens spērieni. | | IKT izmaiņu riski Neatbilstoši sistēmas un kontroles pasākumi | IKT izmaiņu IKT izstrādes | Negadījumi, kurus, piemēram, programmatūras, IKT sistēmu un datu izmaiņu rezultātā izraisa neatklātas kļūdas vai neaizsargātas vietas (piemēram, neparedzēta izmaiņu ietekme vai nepietiekamas testēšanas vai nepareizas izmaiņu pārvaldības prakses rezultātā slikti pārvaldītas izmaiņas). | • • • • • | Nepietiekami testētas programmatūras vai konfigurācijas izmaiņu laišana ražošanā, kas rada neparedzētu nelabvēlīgu ietekmi uz datiem (piemēram, to bojājumus vai izdzēšanu) un/vai IKT sistēmas darbību (piemēram, tās avāriju vai darbības pasliktināšanos). Nekontrolētas IKT sistēmu vai datu izmaiņas ražošanas vidē. Vāji aizsargātu IKT sistēmu un interneta lietotņu laišana ražošanā, radot iespējas hakeriem uzbrukt sniegtajiem interneta pakalpojumiem un/vai ielauzties iekšējās IKT sistēmās. Nekontrolētas izmaiņas iekšēji izstrādātas programmatūras pirmkodā. Nepietiekama testēšana, kuras cēlonis ir neatbilstoša testēšanas vide. | | IKT riska kategorijas (neizsmeļošs | IKT riski saraksts10 ) | Riska apraksts | Piemēri | | | Neatbilstoša arhitektūra | IKT | Vāja IKT arhitektūras pārvaldība, izstrādājot, veidojot un uzturot IKT sistēmas (piemēram, programmatūru, aparatūru un datus), laika gaitā var izraisīt to, ka IKT sistēmas kļūst sarežģīti, grūti un dārgi pārvaldāmas un smagas, vairs nepietiekami atbilstošas uzņēmējdarbības vajadzībām un nederīgas jaunākajām riska pārvaldības prasībām. | • • | Neatbilstoši pārvaldītas izmaiņas IKT sistēmās, programmatūrā un/vai datos ilgstošā laika posmā izraisa situāciju, kad IKT sistēmas un arhitektūras kļūst sarežģīti, neviendabīgi un grūti pārvaldāmas, radot daudzas nelabvēlīgas ietekmes uz uzņēmējdarbības un riska pārvaldību (piemēram, elastības un manevrētspējas zaudēšana, IKT negadījumi un kļūmes, lielas darbības izmaksas, novājināta IKT drošība un elastīgums, pazemināta datu kvalitāte un ziņošanas spējas). Komerciālo programmatūras pakotņu pārmērīga pielāgošana un piesaiste iekšēji izstrādātajai programmatūrai, kas rada nespēju ieviest turpmākos šīs komerciālās programmatūras izlaides un atjauninājumus un risku, ka tirgotājs vairs šo programmatūru neatbalstīs. | | Neatbilstoša dzīves ielāpu | cikla un pārvaldība | Neatbilstoša tāda visu IKT aktīvu saraksta uzturēšana, kas varētu atbalstīt un papildināt pareizu dzīves cikla un ielāpu pārvaldības praksi. Tas rada situāciju, kad IKT sistēmas kļūst nepietiekami salāpītas (un tādēļ mazāk aizsargātas) un novecojušas, vairs nespējot atbalstīt uzņēmējdarbības un riska pārvaldības vajadzības. | • | Nesalāpītas un novecojušas IKT sistēmas, kas var radīt nelabvēlīgu ietekmi uz uzņēmējdarbību un riska pārvaldību (piemēram, zaudējot elastību un manevrētspēju, pārtraucot IKT darbību, novājinot IKT drošību un elastīgumu). | | IKT datu Disfunkcionāla integritātes riski IKT | datu apstrāde | Sistēmas, sakaru un/vai lietotņu kļūdu un kļūmju dēļ vai kļūdaini veicot datu ieguves, pārsūtīšanas un ielādēšanas (ETL) procesu, datus var sabojāt vai pazaudēt. | • • • | IT sistēmas kļūda partiju apstrādē, kas rada nepareizas bilances klientu bankas kontos. Nepareizi izpildīti datu pieprasījumi. Datu zaudējums, ko izraisa datu replikācijas (dublēšanas) kļūda. | | Nepareizi izstrādāti apstiprināšanas kontroles | datu | Kļūdas, kas saistītas ar neesošu vai neefektīvu automātiskās datu ievades un apstiprināšanas kontroli (piemēram, attiecībā uz izmantotiem trešo personu datiem) un datu pārsūtīšanas, apstrādes un izvades | • • | Datu ievades nepietiekama vai nederīga formatēšana/apstiprināšana lietotnēs un/vai lietotāju saskarnēs. Datu salīdzināšanas kontroles neesamība attiecībā | | IKT riska kategorijas (neizsmeļošs | IKT riski saraksts10 ) | Riska apraksts | Piemēri | | | pasākumi sistēmās | IKT | kontroli IKT sistēmās (piemēram, ievades derīguma kontroli un datu salīdzināšanu). | • • | uz radītajiem izejas datiem Kontroles neesamība attiecībā uz izpildītajiem datu izvilkuma procesiem (piemēram, datubāzes pieprasījumiem), radot kļūdainus datus. Kļūmīgu ārējo datu izmantošana. | | Nepietiekami kontrolētas izmaiņas ražošanas sistēmās Nepareizi izstrādāta pārvaldīta arhitektūra, plūsmas, modeļi vārdnīcas IKT Neatbilstoša ārpakalpojumu trešās radītie riski vai vienības pakalpojumu elastība Neatbilstoša ārpakalpojumu pārvaldība | datu IKT un/vai datu datu datu vai datu personas citas grupas | Datu kļūdas, kas ieviesušās tādēļ, ka netiek pietiekami kontrolēta pareizība un pamatotība datu manipulācijām IKT sistēmu ražošanā. Nepareizi pārvaldīta datu arhitektūra, datu modeļi, datu plūsmas vai datu vārdnīcas var radīt vairākas to pašu datu versijas IKT sistēmās, un tie vairs nebūs saskanīgi, jo tiks atšķirīgi piemēroti datu modeļi vai datu definīcijas un/vai atšķirsies pamatā esošais datu ģenerēšanas un izmainīšanas process. Kritisku ārpakalpojumā nodotu IKT pakalpojumu, telesakaru pakalpojumu un iekārtu nepieejamība. Pakalpojumu sniedzējam uzticētu kritisku/jutīgu datu zudumi vai bojājumi. Būtiska pakalpojumu pasliktināšanās vai kļūmes, ko rada ārpakalpojumu sniedzēja neefektīva sagatavotība vai kontroles procesi. Neefektīva ārpakalpojumu pārvaldība var izraisīt nepieciešamo prasmju un spēju trūkumu pilnībā apzināt, novērtēt, mazināt un uzraudzīt IKT riskus, un tā var ierobežot iestādes operacionālās spējas. | • • • • • • • | Izstrādātāji vai datubāzu administratori, kuriem ir tieša piekļuve un kuri nekontrolēti izmaina datus ražošanas IKT sistēmās, piemēram, notiekot IKT negadījumam. Atšķirīgu klientu datubāzu esamība atsevišķam produktam vai iestādes vienībai, kas satur atšķirīgas datu definīcijas un laukus, rada nesalīdzinātus un grūti salīdzināmus integrētos klientu datus visas finanšu iestādes vai grupas līmenī. Pamatpakalpojumu nepieejamība, ko izraisa kļūmes (ārpakalpojumu) piegādātāju IKT sistēmās vai lietotnēs. Sakaru savienojumu pārtraukumi. Energoapgādes traucējumi. Nekvalitatīvas negadījumu apstrādes procedūras, nepietiekami līgumiskie kontroles mehānismi un garantijas, kas paredzētas pakalpojumu sniegšanas nolīgumā un palielina atbildīgo personu atkarību no trešām personām un tirgotājiem. Neatbilstoša izmaiņu pārvaldības kontrole attiecībā uz pakalpojumu sniedzēja IKT vidi var izraisīt būtisku pakalpojumu pasliktināšanos vai kļūmes. | | IKT riska kategorijas (neizsmeļošs | IKT riski saraksts10 ) | Riska apraksts | Piemēri | | | Neatbilstoša trešās vai vienības | personas citas grupas drošība | Hakeru uzbrukumi trešo personu pakalpojumu sniedzēju IKT sistēmām, kas tieši ietekmē ārpakalpojumus vai kritiskos/konfidenciālos datus, kurus glabā pakalpojumu sniedzējs. Pakalpojumu sniedzēja darbinieki iegūst neatļautu piekļuvi kritiskajiem/jutīgajiem datiem, kurus glabā pakalpojumu sniedzējs. | • • | Noziedznieku vai teroristu hakeru uzbrukumi pakalpojumu sniedzējiem kā ieejas punktam iestādes IKT sistēmās vai lai piekļūtu/iznīcinātu kritiskos vai jutīgos datus, kurus glabā pakalpojumu sniedzējs. Ļaunprātīgi pakalpojumu sniedzēja darbinieki mēģina nozagt un pārdot jutīgus datus. |
1. Pārskats
1.1 Atsauces
1.2 Identificētās prasības
1.3 Saistītie standarti
2. Identificētās prasības
3. Saistītie standarti
- EBA - Published by the European Banking Authority at https://www.eba.europa.eu/
|