55. L- awtoritajiet kompetenti għandhom jivvalutaw jekk l - istituzzjoni għandhiex qafas effettiv …

L- awtoritajiet kompetenti għandhom jivvalutaw jekk l - istituzzjoni għandhiex qafas effettiv fis - seħħ għall - identifikazzjoni, il - ftehim, il - kejl u l - mitigazzjoni tar - riskju ta’ sigurtà tal - ICT. Għal din il - valutazzjoni, l - awtoritajiet kompetenti, b’mod partikolari, għandhom iqisu jekk il - qafas jikkunsidrax:

• a. rwoli u responsabbiltajiet iddefiniti b’mod ċar li jirrigwardaw:
• i. il- persuna(i) u/jew il - kumitati li huma responsabbli għall - ġestjoni ta’ kuljum tas - sigurtà tal -ICT u għall - elaborazzjoni tal - politiki ġenerali tas - sigurtà tal - ICT, b'attenzjoni għall - indipendenza meħtieġa tagħhom;
• ii. it- tfassil, l - implimentazzjoni, il - ġestjoni u l - monitoraġġ tal -kontrolli tas- sigurtà tal -ICT;
• iii. il- protezzjoni ta’ sistemi u servizzi kritiċi tal - ICT, pereżempju bl - adozzjoni ta’ proċess tal - valutazzjoni tal - vulnerabbiltà, ġestjoni ta’ softwer korrettiv, protezzjoni tal -punt tat- tmiem (eż. virus tal - malwer), għodod ta’ detenzjoni u prevenzjoni ta’ intrużjoni;
• iv. il- monitoraġġ, il - klassifikazzjoni u t - trattament ta’ inċidenti ta’ sigurtà esterni jew interni tal - ICT; inkluż ir - rispons għall - inċidenti u t - tkomplij a u l-irkupru tas- sistemi u s - servizzi tal -ICT;
• v. valutazzjonijiet tat - theddid regolari u proattiv biex jinżammu kontrolli ta’ sigurtà xierqa.
• b. politika ta’ sigurtà tal - ICT li tqis u, fejn xieraq, taderixxi għal standards ta’ sigurtà u prinċipji ta’ sigurtà tal- ICT li huma rikonoxxuti fuq livell internazzjonali (eż. il - ”prinċipju tal - inqas privileġġ” jiġifieri l - limitazzjoni tal - aċċess għal - livell minimu li ser jippermetti l - funzjonament normali għall - ġestjoni tad - dritt ta’ aċċess u l - prinċipju ta’ “difiża profonda” jiġifieri mekkaniżmi ta’ sigurtà fuq livelli differenti li jżidu s - sigurtà tas - sistema kollha kemm hi għat - tfassil ta’ arkitettura ta’ sigurtà);
• c. proċess biex jiġu identifikati sistemi, servizzi u rekwiżiti ta’ sigurtà proporzjonali tal -ICT li jirri flettu riskju ta’ frodi potenzjali u/jew użu ħażin possibbli u/jew abbużi ta’ data kunfidenzjali flimkien ma’ aspettattivi ta’ sigurtà dokumentati li dawn is - sistemi, is - servizzi u d - data identifikati tal -ICT għandhom jaderixxu għalihom, li għandhom ikunu allinjati mat - tolleranza tar -riskju tal-istituzzjoni u li għandhom ikunu mmonitorjati għall - implimentazzjoni korretta tagħhom;
• d. proċess dokumentat ta’ sigurtà ta’ ġestjoni u eskalazzjoni dwar l - inċidenti, li jipprovdi gwida dwar ir - rwoli u r- responsabbiltajiet differenti tal - ġestjoni u tal - eskalazzjoni dwar l - inċidenti, il - membri tal - kumitat(i) tal - kriżi u l - linja ta’ kmand f’każ ta’ emerġenzi ta’ sigurtà;
• e. illoggjar tal- attivitajiet tal - utent u amministrattiv li jippermetti l - monitoraġġ effettiv u d - detezzjo ni u r- rispons f’waqthom għal attività mhux awtorizzata; li jgħin fi jew iwettaq investigazzjonijiet tal - forensika ta’ inċidenti ta’ sigurtà. L - istituzzjoni għandu jkollha politiki ta’ lloggjar fis - seħħ li jiddefinixxu tipi ta’ reġistri xierqa li għandhom jinżammu u l - perjodu ta’ żamma tagħhom;
• f. kampanji jew inizjattivi ta’ sensibilizzazzjoni u informazzjoni biex il - livelli kollha fl - istituzzjoni jiġu infurmati dwar l - użu sigur u l - protezzjoni tas - sistemi tal -ICT tal-istituzzjoni u r- riskji ewlenin ta’ sigur tà tal - ICT (u oħrajn) li għandhom ikunu konxji tagħhom, b’mod partikolari li jirrigwardaw it - theddidiet ċibernetiċi eżistenti u li qed jevolvu (eż. virusijiet tal - kompjuter, abbużi jew attakki interni jew esterni possibbli, ċiberattakki) u r - rwol tagħhom f il- mitigazzjoni ta’ ksur tas - sigurtà;
• g. miżuri xierqa ta’ sigurtà fis - seħħ (eż. CCTV, allarm kontra s - serq, bibien ta’ sigurtà) biex jipprevjenu l- aċċess fiżiku mhux awtorizzat għal sistemi kritiċi u sensittivi tal - ICT (eż. ċentri tad - data);

1 9

• h. miżuri biex is - sistemi tal - ICT jiġu protetti minn attakki mill - Internet (jiġifieri ċiberattakki) jew minn netwerks esterni oħrajn (eż. konnessjonijiet ta’ telekomunikazzjoni tradizzjonali jew konnessjonijiet ma’ sħab affidabbli). L - awtoritajiet kompetenti għandhom jirrevedu jekk il - qafas tal -istituzzjoni jikkunsidrax:
• i. proċess u soluzzjonijiet biex iżomm inventarju sħiħ u aġġornat u ħarsa ġenerali tal - punti ta’ konnessjoni kollha tan - netwerk li jħarsu ‘l barra (eż. siti web, applikazzjonijiet tal - internet, WIFI, aċċess remot) li permezz tagħhom il - partijiet terzi jkunu jistgħu jidħlu fis - sistemi interni tal -ICT.
• ii. miżuri ta’ sigurtà mmaniġġjati u mmonitorjati mill - viċin (eż. firewalls, proxy servers, mail relays, antivirus u skanners tal - kontenut) biex jiġi żgurat traffiku tan- netwerk dieħel u ħiereġ (eż. posta elettronika) u l - konnessjonijiet tan - netwerk li jħarsu ‘l barra li permezz tagħhom il - partijiet terzi jkunu jistgħu jidħlu fis - sistemi interni tal -ICT;
• iii. proċessi u soluzzjonijiet biex jiġu żgurati siti web u applikazzjonijiet li jistgħu jiġu attakkati direttament mill - internet u/jew minn barra, li jistgħu jservu bħala punt ta’ dħul fis - sistemi interni tal - ICT. B’mod ġenerali dawn jinkludu taħlita ta’ prattiki ta’ żvilupp sigur rikonoxxuti, prattiki ta’ twebbis u skenn jar tal- vulnerabbiltà tas - sistema tal - ICT, u/jew l - implimentazzjoni ta’ soluzzjonijiet ta’ sigurtà addizzjonali, bħal pereżempju firewalls tal - applikazzjonijiet u/jew sistemi ta’ detezzjoni ta’ intrużjoni (IDS) u/jew sistemi ta’ prevenzjoni ta’ intrużjoni (IPS);
• iv. ittestjar tal - penetrazzjoni tas - sigurtà perjodiku biex tiġi vvalutata l - effettività tal - miżuri u l - proċessi ta’ sigurtà interna u ċibernetika tal - ICT implimentati. Dawn it - testijiet għandhom isiru mill - persunal u/jew minn esperti esterni bl - għarfien espert meħtieġ, fejn ir - riżultati u l - konklużjonijiet tat - testijiet dokumentati jiġu rrappurtati lill - maniġment superjuri u/jew lill - korp maniġerjali. Fejn meħtieġ u applikabbli, l - istituzzjoni minn dawn it - testijiet għandha titgħallem fejn tkompli ttejjeb il -kontrolli u l- proċessi tas - sigurtà u/jew tikseb assigurazzjoni aħjar dwar l - effettività tagħhom.
• (c) Kontrolli għall-ġestjoni ta’ riskji ta’ bidla materjali fl-ICT

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Standards relatati

2. Rekwiżiti identifikati

3. Standards relatati

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.