55. L- awtoritajiet kompetenti għandhom jivvalutaw jekk l - istituzzjoni għandhiex qafas effettiv …

L- awtoritajiet kompetenti għandhom jivvalutaw jekk l - istituzzjoni għandhiex qafas effettiv fis - seħħ għall - identifikazzjoni, il - ftehim, il - kejl u l - mitigazzjoni tar - riskju ta’ sigurtà tal - ICT. Għal din il - valutazzjoni, l - awtoritajiet kompetenti, b’mod partikolari, għandhom iqisu jekk il - qafas jikkunsidrax:

• a. rwoli u responsabbiltajiet iddefiniti b’mod ċar li jirrigwardaw:
• i. il- persuna(i) u/jew il - kumitati li huma responsabbli għall - ġestjoni ta’ kuljum tas - sigurtà tal -ICT u għall - elaborazzjoni tal - politiki ġenerali tas - sigurtà tal - ICT, b'attenzjoni għall - indipendenza meħtieġa tagħhom;
• ii. it- tfassil, l - implimentazzjoni, il - ġestjoni u l - monitoraġġ tal -kontrolli tas- sigurtà tal -ICT;
• iii. il- protezzjoni ta’ sistemi u servizzi kritiċi tal - ICT, pereżempju bl - adozzjoni ta’ proċess tal - valutazzjoni tal - vulnerabbiltà, ġestjoni ta’ softwer korrettiv, protezzjoni tal -punt tat- tmiem (eż. virus tal - malwer), għodod ta’ detenzjoni u prevenzjoni ta’ intrużjoni;
• iv. il- monitoraġġ, il - klassifikazzjoni u t - trattament ta’ inċidenti ta’ sigurtà esterni jew interni tal - ICT; inkluż ir - rispons għall - inċidenti u t - tkomplij a u l-irkupru tas- sistemi u s - servizzi tal -ICT;
• v. valutazzjonijiet tat - theddid regolari u proattiv biex jinżammu kontrolli ta’ sigurtà xierqa.
• b. politika ta’ sigurtà tal - ICT li tqis u, fejn xieraq, taderixxi għal standards ta’ sigurtà u prinċipji ta’ sigurtà tal- ICT li huma rikonoxxuti fuq livell internazzjonali (eż. il - ”prinċipju tal - inqas privileġġ” jiġifieri l - limitazzjoni tal - aċċess għal - livell minimu li ser jippermetti l - funzjonament normali għall - ġestjoni tad - dritt ta’ aċċess u l - prinċipju ta’ “difiża profonda” jiġifieri mekkaniżmi ta’ sigurtà fuq livelli differenti li jżidu s - sigurtà tas - sistema kollha kemm hi għat - tfassil ta’ arkitettura ta’ sigurtà);
• c. proċess biex jiġu identifikati sistemi, servizzi u rekwiżiti ta’ sigurtà proporzjonali tal -ICT li jirri flettu riskju ta’ frodi potenzjali u/jew użu ħażin possibbli u/jew abbużi ta’ data kunfidenzjali flimkien ma’ aspettattivi ta’ sigurtà dokumentati li dawn is - sistemi, is - servizzi u d - data identifikati tal -ICT għandhom jaderixxu għalihom, li għandhom ikunu allinjati mat - tolleranza tar -riskju tal-istituzzjoni u li għandhom ikunu mmonitorjati għall - implimentazzjoni korretta tagħhom;
• d. proċess dokumentat ta’ sigurtà ta’ ġestjoni u eskalazzjoni dwar l - inċidenti, li jipprovdi gwida dwar ir - rwoli u r- responsabbiltajiet differenti tal - ġestjoni u tal - eskalazzjoni dwar l - inċidenti, il - membri tal - kumitat(i) tal - kriżi u l - linja ta’ kmand f’każ ta’ emerġenzi ta’ sigurtà;
• e. illoggjar tal- attivitajiet tal - utent u amministrattiv li jippermetti l - monitoraġġ effettiv u d - detezzjo ni u r- rispons f’waqthom għal attività mhux awtorizzata; li jgħin fi jew iwettaq investigazzjonijiet tal - forensika ta’ inċidenti ta’ sigurtà. L - istituzzjoni għandu jkollha politiki ta’ lloggjar fis - seħħ li jiddefinixxu tipi ta’ reġistri xierqa li għandhom jinżammu u l - perjodu ta’ żamma tagħhom;
• f. kampanji jew inizjattivi ta’ sensibilizzazzjoni u informazzjoni biex il - livelli kollha fl - istituzzjoni jiġu infurmati dwar l - użu sigur u l - protezzjoni tas - sistemi tal -ICT tal-istituzzjoni u r- riskji ewlenin ta’ sigur tà tal - ICT (u oħrajn) li għandhom ikunu konxji tagħhom, b’mod partikolari li jirrigwardaw it - theddidiet ċibernetiċi eżistenti u li qed jevolvu (eż. virusijiet tal - kompjuter, abbużi jew attakki interni jew esterni possibbli, ċiberattakki) u r - rwol tagħhom f il- mitigazzjoni ta’ ksur tas - sigurtà;
• g. miżuri xierqa ta’ sigurtà fis - seħħ (eż. CCTV, allarm kontra s - serq, bibien ta’ sigurtà) biex jipprevjenu l- aċċess fiżiku mhux awtorizzat għal sistemi kritiċi u sensittivi tal - ICT (eż. ċentri tad - data);

1 9

• h. miżuri biex is - sistemi tal - ICT jiġu protetti minn attakki mill - Internet (jiġifieri ċiberattakki) jew minn netwerks esterni oħrajn (eż. konnessjonijiet ta’ telekomunikazzjoni tradizzjonali jew konnessjonijiet ma’ sħab affidabbli). L - awtoritajiet kompetenti għandhom jirrevedu jekk il - qafas tal -istituzzjoni jikkunsidrax:
• i. proċess u soluzzjonijiet biex iżomm inventarju sħiħ u aġġornat u ħarsa ġenerali tal - punti ta’ konnessjoni kollha tan - netwerk li jħarsu ‘l barra (eż. siti web, applikazzjonijiet tal - internet, WIFI, aċċess remot) li permezz tagħhom il - partijiet terzi jkunu jistgħu jidħlu fis - sistemi interni tal -ICT.
• ii. miżuri ta’ sigurtà mmaniġġjati u mmonitorjati mill - viċin (eż. firewalls, proxy servers, mail relays, antivirus u skanners tal - kontenut) biex jiġi żgurat traffiku tan- netwerk dieħel u ħiereġ (eż. posta elettronika) u l - konnessjonijiet tan - netwerk li jħarsu ‘l barra li permezz tagħhom il - partijiet terzi jkunu jistgħu jidħlu fis - sistemi interni tal -ICT;
• iii. proċessi u soluzzjonijiet biex jiġu żgurati siti web u applikazzjonijiet li jistgħu jiġu attakkati direttament mill - internet u/jew minn barra, li jistgħu jservu bħala punt ta’ dħul fis - sistemi interni tal - ICT. B’mod ġenerali dawn jinkludu taħlita ta’ prattiki ta’ żvilupp sigur rikonoxxuti, prattiki ta’ twebbis u skenn jar tal- vulnerabbiltà tas - sistema tal - ICT, u/jew l - implimentazzjoni ta’ soluzzjonijiet ta’ sigurtà addizzjonali, bħal pereżempju firewalls tal - applikazzjonijiet u/jew sistemi ta’ detezzjoni ta’ intrużjoni (IDS) u/jew sistemi ta’ prevenzjoni ta’ intrużjoni (IPS);
• iv. ittestjar tal - penetrazzjoni tas - sigurtà perjodiku biex tiġi vvalutata l - effettività tal - miżuri u l - proċessi ta’ sigurtà interna u ċibernetika tal - ICT implimentati. Dawn it - testijiet għandhom isiru mill - persunal u/jew minn esperti esterni bl - għarfien espert meħtieġ, fejn ir - riżultati u l - konklużjonijiet tat - testijiet dokumentati jiġu rrappurtati lill - maniġment superjuri u/jew lill - korp maniġerjali. Fejn meħtieġ u applikabbli, l - istituzzjoni minn dawn it - testijiet għandha titgħallem fejn tkompli ttejjeb il -kontrolli u l- proċessi tas - sigurtà u/jew tikseb assigurazzjoni aħjar dwar l - effettività tagħhom.
• (c) Kontrolli għall-ġestjoni ta’ riskji ta’ bidla materjali fl-ICT

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Standards relatati

2. Rekwiżiti identifikati

3. Standards relatati

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/