4.6 ICT and security risk management

Kredītiestādēm un finanšu iestādēm jāidentificē un jāpārvalda savi IKT un drošības riski, kas saistīti ar klientu attālinātās piesaistīšanas procesa izmantošanu, tostarp gadījumos, kad kredītiestādes un finanšu iestādes paļaujas uz trešām personām vai izmanto ārpakalpojumus, tostarp arī grupas struktūru pakalpojumus.

Papildus prasībām, kas noteiktas EBI pamatnostādnēs par IKT un drošības risku pārvaldību¹⁰ , attiecīgā gadījumā kredītiestādēm un finanšu iestādēm sadarbībai ar klientiem attālinātās klientu piesaistīšanas procesā jāizmanto droši saziņas kanāli. Attālinātās klientu piesaistīšanas risinājumā jāizmanto droši protokoli un šifrēšanas algoritmi atbilstoši nozares labākajai praksei, lai attiecīgi garantētu iesniegto datu konfidencialitāti, autentiskumu un integritāti.

¹⁰ EBA/GL/2019/04

Kredītiestādēm un finanšu iestādēm jānodrošina drošs piekļuves punkts attālinātas klientu piesaistīšanas procesa sākšanai, pamatojoties uz kvalificētiem elektronisko zīmogu sertifikātiem, kā minēts Regula (ES) Nr. 910/2014, 3. panta 30. punktā, vai kvalificētiem tīmekļa vietņu autentifikācijas sertifikātiem, kā minēts šīs regulas 3. panta 39. punktā. Klients jāinformē arī par piemērojamiem drošības pasākumiem, kas jāveic, lai garantētu drošu sistēmas izmantošanu.

Ja klientu attālinātas piesaistīšanas procesa izpildei izmanto universālu ierīci, attiecīgā gadījumā ir jāizmanto droša vide programmatūras koda izpildei klienta pusē. Jāievieš papildu drošības pasākumi, lai garantētu programmatūras koda un iegūto datu drošību un uzticamību, ņemot vērā drošības risku novērtējumu, kā izklāstīts EBI pamatnostādnēs par IKT un drošības risku pārvaldību.