| Kategoriji tar-riskju tal-ICT | Riskji tal-ICT (mhux eżawrjenti10 ) | Deskrizzjoni tar-riskju | Eżempji | |
| Riskji ta’ Ġestjoni disponibbiltà u inadegwata kontinwità tal- kapaċità ICT | tal - | Nuqqas ta’ riżorsi (eż. ħardwer, sosftwer, persunal, fornituri ta’ servizz) jista’ jirriżulta f’inabbiltà li s - servizz jiżdied biex jissodisfa l - ħtiġijiet tan - negozju, f’interruzzjonijiet tas - sistema, f’degradazzjoni tas - servizz u/jew fi żbalji operazzjonali. | • • | Nuqqas fil - kapaċità jista’ jaffettwa r -rati tat-trażmissjoni u d - disponibbiltà tan - netwerk (internet) għal servizzi bħall - internet banking (ibbankjar bl - internet). Nuqqas ta’ persunal (intern jew ta’ parti terza) jista’ jirriżulta f’interruzzjonijiet tas - sistema u/jew fi żbalji operazzjonali. |
| Nuqqasijiet sistema | tas - tal -ICT | Telf ta’ disponibbiltà minħabba problemi fil - ħardwer. Telf ta’ disponibbiltà minħabba nuqqasijiet fis - softwer u bugs. | • • • | Nuqqas/funzjonament ħażin tal - ħżin (diski riġidi), tas- server jew ta’ tagħmir ieħor tal - ICT ikkawżat minn, pereżempju, nuqqas ta’ manutenzjoni. Ċirkwit infinit fis - softwer tal -applikazzjoni jipprevjeni l - eżekuzzjoni tat - tranżazzjon i. Interruzzjonijiet minħabba l - użu kontinwu ta’ sistemi u soluzzjonijiet antikwati li m'għadhomx jissodisfaw ir - rekwiżiti preżenti tad - disponibbiltà u tar- reżiljenza u/jew li m’għadhomx aktar appoġġjati mill - bejjiegħa tagħhom. |
| Ippjanar inadegwat kontinwità rkupru diżastri | ta’ u minn tal -ICT | Nuqqas ta’ soluzzjonijiet ta’ disponibbiltá u/jew ta’ kontinwitá u/jew ta’ rkupru minn diżastri tal -ICT ippjanati (eż. ċentru tad - data ta’ rkupru ta’ riżerva) meta jiġu attivati b’risposta għal aċċident. | • | Differenzi fil - konfigurazzjoni bejn iċ - ċentru tad -data primarju u dak sekondarju jistgħu jirriżultaw fl - inkapaċità li ċ - ċentru tad - data ta’ riżerva jipprovdi l - kontinwità ppjanata tas - servizz. |
| Kategoriji tar-riskju tal-ICT | Riskji tal-ICT (mhux eżawrjenti10 ) | Deskrizzjoni tar-riskju | Eżempji | |
| Ċiberattakki tfixkil | ta’ u distruttivi | Attakki għal finijiet differenti (eż. attiviżmu, rikattar), li jirriżultaw f’tagħbija eċċessiva tas - sistemi u n - netwerk, li jipprevjenu l - aċċess għas - servizzi online tal - kompjuter mill - utenti leġittimi tagħhom. | • | Attakki ta’ Ċaħda mis - Servizz Distribwiti jitwettqu permezz ta’ numru kbir ta’ sistemi tal - kompjuter fuq l - internet ikkontrollati minn hacker, li jibagħtu numru kbir ta’ talbiet għas - servizzi li jidhru leġittimi lis- servizzi tal - internet (eż. e - banking). |
| Riskji ta’ sigurtà Ċiberattakki tal-ICT attakki esterni fuq | u oħrajn bbażati l -ICT | Attakki li jitwettqu mill - internet jew minn netwerks ta’ barra għal finijiet differenti (eż. frodi, spjunaġġ, attiviżmu / sabotaġġ, terroriżmu ċibernetiku) bl - użu ta’ varjetà ta’ tekniki (eż. social engineering, attentati ta’ intrużjoni permezz tal - isfruttament tal - vulnerabbiltajiet, skjerament ta’ softwer malizzjuż) jirriżultaw fit - teħid tal -kontroll tas- sistemi interni tal - ICT. Eżekuzzjoni ta’ tranżazzjonijiet ta’ pagament frodulenti minn hackers permezz tal - ksur jew taċ - ċirkomvenzjoni tas- sigurtà tal - e -banking u tas- servizzi ta’ pagament u/jew bl -attakk u l- isfruttament tal - vulnerabbiltajiet tas- sigurtà fis - sistemi interni ta’ pagament tal - istituzzjoni. Eżekuzzjoni ta’ tranżazzjonijiet ta’ titoli frawdolenti minn hackers permezz tal - ksur jew taċ - ċirkomvenzjoni tas- sigurtà tas - servizzi tal - e -banking li wkoll jipprovdu aċċess għall - kontijiet tat -titoli tal- klijent. | Tipi • • • • • • • | differenti ta’ attakki: APT (Theddida Persistenti Avvanzata) biex jittieħed il- kontroll ta’ sistemi interni jew biex tinsteraq informazzjoni (eż. informazzjoni relatata mas - serq ta’ identità, informazzjoni tal -karta tal- kreditu). Softwer malizzjuż (eż. programm ta’ riskatt) li ji kkodifika d -data bl- għan ta’ rikattar. Infezzjoni ta’ sistemi interni tal - ICT b’Trojan horses biex jitwettqu azzjonijiet ta’ ħsara fis - sistemi bil - moħbi. Sfruttament tas - sistema tal - ICT u/jew vulnerabbiltajiet tal - applikazzjoni (tal - web) (eż. injezzjoni SQL ...) biex jinkiseb l - aċċess għas - sistema interna tal -ICT. Attakki kontra servizzi tal - e - banking jew ta’ pagament bl - għan li jsiru tranżazzjonijiet mhux awtorizzati. Il- ħolqien u l - ibgħit ta’ tranżazzjonijiet ta’ pagament frawdolenti minn ġewwa s - sistemi interni ta’ pagament tal - istituzzjoni (eż. messaġġi frawdolenti SWIFT). Attakki "pump and dump" fejn l - aggressuri jiksbu l - aċċess għall - kontijiet tat -titoli tal- e -banking tal-klijenti u jagħmlu ordnijiet ta’ xiri jew bejgħ frodulenti biex jinfluwenzaw il - prezz tas- suq u/jew jagħmlu qligħ fuq bażi ta’ pożizzjonijiet ta’ titoli |
| Kategoriji tar-riskju tal-ICT | Riskji tal-ICT (mhux eżawrjenti10 ) | Deskrizzjoni tar-riskju Attakki fuq konnessjonijiet ta’ komunikazzjoni u konverżazzjonijiet tat - tipi kollha ta’ sistemi tal -ICT bl-għan li tinġabar informazzjoni u/jew jitwettaq frodi. | Eżempji • | stabbiliti qabel. Smigħ sigriet/interċettazzjoni ta’ trażmissjoni mhux protetta ta’ data ta’ awtentifikazzjoni bħala test sempliċi. |
| Sigurtà inadegwata ICT | interna tal - | Kisba ta’ aċċess mhux awtorizzat għal sistemi kritiċi tal - ICT minn ġewwa l - istituzzjoni għal finijiet differenti (eż. frodi, it - twettiq u l - ħabi ta’ attivitajiet ta’ negozju illegali, serq ta’ data, attiviżmu / sabotaġġ) permezz ta’ varjetà ta’ tekniki (eż. abbuż u/jew eskalazzjoni tal - privileġġi, serq ta’ identità, social engineering, sfruttament ta’ vulnerabbiltajiet fis - sistemi tal - ICT, skjerament ta’ softwer malizzjuż). Manipulazzjonijiet tal - ICT mhux awtorizzati minħabba proċeduri u prattiki inadegwati tal - ġestjoni tal - aċċess tal-ICT. Theddidiet għas - sigurtà minħabba nuqqas ta’ sensibilizzazzjoni tas - sigurtà li minħabba fiha l - impjegati ma jifhmux, jittraskuraw jew jonqsu milli jaderixxu mal - politiki u l- proċeduri ta’ sigurtà tal -ICT. | • • • • • • • • | Installazzjoni ta’ loggers tal - ittastjar (key loggers) biex jinsterqu IDs u password s tal- utenti biex jinkiseb l - aċċess mhux awtorizzat għal data kunfidenzjali u/jew titwettaq frodi. Cracking/Tbassir ta’ passwords mhux b'saħħithom biex jinkisbu drittijiet ta’ aċċess illeġittimi jew elevati. Amministratur tas - sistema juża sistemi operattiv i jew utilitajiet tal - bażi tad - data (għal modifiki diretti għall - bażi tad - data) biex iwettaq frodi. Nuqqas ta’ diżattivazzjoni jew tħassir ta’ kontijiet li mhumiex meħtieġa bħal dawk ta’ persunal li bidel il - funzjonijiet u/jew telaq mill - istituzzjoni, inkluż mistiedna jew fornituri li m’għadx għandhom bżonn l- aċċess, li jipprovdi aċċess mhux awtorizzat lis - sistemi tal -ICT. Għoti ta’ drittijiet u privileġġi eċċessivi ta’ aċċess u/jew isir possibbli li attivitajiet illegali jinħbew. Impjegati li jitqarrqu biex jipprovdu għajnuna għal attakk (jiġifieri social engineering). Prattiċi ħżiena fir -rigward tal- kredenzjali: qsim ta’ passwords, użu ta’ passwords li “faċilment” jitbassr u, użu tal - istess password għal ħafna finijiet differenti, eċċ. Ħżin ta’ data kunfidenzjali mhux ikkodifikata fuq laptops u soluzzjonijiet ta’ ħżin ta’ data portabbli (eż. stikek tal - USB) li jistgħu jintilfu jew jinsterqu. |
| Kategoriji tar-riskju tal-ICT | Riskji tal-ICT (mhux eżawrjenti10 ) | Deskrizzjoni tar-riskju Il- ħżin jew it - trasferiment mhux awtorizzat ta’ informazzjoni kunfidenzjali barra mill -istituzzjoni. | Eżempji • | Persuni li jisirqu jew li intenzjonalment jiżvelaw jew joħorġu bil - moħbi informazzjoni kunfidenzjali lil persuni mhux awtorizzati jew lill -pubbliku. |
| Sigurtà inadegwata ICT | fiżika tal - | Użu ħażin jew serq ta’ assi tal - ICT permezz ta’ aċċess fiżiku li jikkawża ħsara, telfien ta’ assi jew data jew biex theddidiet oħra jsiru possibbli. Ħsara intenzjonata jew aċċidentali lil assi fiżiċi tal -ICT kkawżati minn terroriżmu, aċċidenti jew manipulazzjonijiet sfortunati/żbaljati m ill- persunal tal - istituzzjoni u/jew ta’ partijiet terzi (fornituri, persuna li tagħmel tiswijiet). Protezzjoni fiżika insuffiċjenti kontra diżastri naturali li tirriżulta f’qerda parzjali jew sħiħa ta’ sistemi/ċentri tad-data tal- ICT minn diżastri naturali. | • • • • | Dħul fiżiku fil - bini għall - uffiċċji u/jew ċentri tad -data biex jinsteraq tagħmir tal - ICT (eż. kompjuters, laptops, soluzzjonijiet ta’ ħżin) u/jew biex tiġi kkupjata data bl- aċċess fiżiku tas - sistemi tal -ICT. Terroriżmu fiżiku (jiġifieri bombi terroristiċi) jew sabotaġġ tal -assi tal-ICT. Qerda ta’ ċentru tad - data kkawżata minn nar, tnixxija tal - ilma jew fatturi oħ rajn. Terremoti, sħana estrema, maltempati tar - riħ, maltempati tas - silġ qawwijin, għargħar, nar, sajjetti. |
| Riskji ta’ bidla Kontrolli tal-ICT inadegwati bidliet tal-iżvilupp | fuq fis - sistema ICT u fuq l - tal -ICT | Inċidenti kkawżati minn żbalji jew vulnerabbiltajiet mhux skoperti bħala riżultat ta’ bidla (eż. effetti mhux previsti ta’ bidla jew bidla ġestita ħażin minħabba nuqqas ta’ ttestjar jew prattiċi ta’ ġestjoni ta’ bidla mhux xierqa) lil eż. softwer, sistemi u data tal -ICT. | • • • • • | Ħruġ għall - produzzjoni ta’ softwer jew bidliet fil - konfigurazzjoni li ma ġewx ittestjati biżżejjed b’effetti negattivi mhux mistennija fuq data (eż. korruzzjoni, tħassir) u/jew fuq il - prestazzjoni tas - sistema tal - ICT (eż. waqfien, degradazzjoni fil - prestazzjoni). Bidliet mhux ikkontrollati għal sistemi jew data tal - ICT fl - ambjent tal -produzzjoni. Ħruġ għall -produzzjoni t a’ sistemi tal -ICT u applikazzjonijiet tal - internet b’sigurtà baxxa, li joħloq opportunitajiet għal hackers biex jattakkaw is- servizzi tal - internet mogħtija u/jew jkissru s - sistemi interni tal -ICT. Bidliet mhux ikkontrollati fil - kodiċi tas - sors ta’ softwer żviluppat internament. Ittestjar insuffiċjenti minħabba n - nuqqas ta’ |
| Kategoriji tar-riskju tal-ICT | Riskji tal-ICT (mhux eżawrjenti10 ) | Deskrizzjoni tar-riskju | Eżempji | ambjenti tal - ittestjar adegwati. |
| Arkitettura inadegwata ICT | tal - | Ġestjoni tal - akritettura tal - ICT dgħajfa fit - tfassil, fil -bini u fil - manteniment ta’ sistemi tal - ICT (eż. softwer, ħardwer, data) maż - żmien tista’ twassal għal sistemi tal- ICT kumplessi, diffiċli, għaljin biex jiġu immaniġġjati u riġidi, li m’għadhomx biżżejjed allinjati mal - ħtiġijiet tan- negozju u, meta mqabbla mar - rekwiżiti tal - ġestjoni tar- riskju attwali, mhux qed ilaħħqu. | • • | Bidliet immaniġġjati ħażin lis - sistemi, softwer u/jew data tal- ICT fuq perjodu twil ta’ żmien, li jwassal għal sistemi u arkitetturi tal - ICT kumplessi, eteroġeni u diffiċli biex jiġu mmaniġġjati, li jirriżultaw f’ħafna impatti negattivi fuq in - nego zji u fuq il - ġestjoni tar - riskju (eż. nuqqas ta’ flessibbiltà u aġilità, inċidenti u nuqqasijiet tal - ICT, kost operazzjonali għoli, sigurtà u reżiljenza mdgħajfa tal- ICT, tnaqqis fil - kwalità dat - data u fil - kapaċitajiet ta’ rappurtar.) Il- personalizzazzjoni u l- estensjoni estensiva ta’ pakketti ta’ softwer kummerċjali b’softwer żviluppat internament, li jwassal għall - inkapaċità li jiġu implimentati verżjonijiet u aġġornamenti futuri tas- softwer kummerċjali u għar - riskju li ma jibqax aktar appoġġjat mill - bejjiegħ. |
| Ċ iklu ġestjoni softwer inadegwati | tal- ħajja u ta’ korrettiv | In- nuqqas li jinżamm inventarju adegwat tal - assi kollha tal- ICT f'appoġġ, u flimkien ma’, prattiċi taċ - ċiklu tal - ħajja u tal - ġestjoni ta’ softwer korrettiv tajbin. Dan iwassal għal sistemi tal- ICT mhux patched biżżejjed (u għalhekk aktar vulnerabbli) u antikwati li ma jappoġġjawx il - ħtiġijiet tan - negozju u tal - ġestjoni tar - riskju. | • | Sistemi tal - ICT mhux patched u antikwati li jistgħu joħolqu impatti negattivi fuq in - negozju u l - ġestjoni tar- riskju (eż. nuqqas ta’ flessibbiltà u aġilità, interruzzjonijiet tal - ICT, sigurtà u reżiljenza mdgħajfa tal - ICT). |
| Riskji ta’ Ipproċessar integrità tad- mmaniġġjar data tal-ICT data jaħdmux | u tad - tal- ICT li ma sew | Minħabba żbalji jew nuqqasijiet fis -sis tema, fil - komunikazzjoni u/jew fl - applikazzjoni, jew minħabba l - proċess ta’ estrazzjoni, trasferiment u llowdjar (ETL) tad- data li twettaq b’mod żbaljat, id - data tista’ tiġi mħassra jew tintilef. | • • • | Żball fis - sistema tal - IT fl - ipproċessar tal - lott, li joħloq bilanċi żbaljati fil - kontijiet tal -bank tal- klijent. Domandi eżegwiti ħażin. Telfien ta’ data minħabba żball fir - replikazzjoni (backup) tad -data. |
| Kontrolli validazzjoni | ta’ tad - | Żbalji relatati ma’ input tad -data u kontrolli ta’ approvazzjoni (eż. għal data użata ta’ parti terza), | • | Ifformattjar/validazzjoni insuffiċjenti jew invalidi ta’ inputs tad- data f’applikazzjonijiet u/jew f’interfaċċi |
| Kategoriji tar-riskju tal-ICT | Riskji tal-ICT (mhux eżawrjenti10 ) | Deskrizzjoni tar-riskju | Eżempji | |
| data ħażin tal-ICT | mfassla f’sistemi | trasferiment, ipproċessar u kontrolli tal -output tad-data neqsin jew mhux effettivi fis - sistemi tal - ICT (eż. kontrolli ta’ validità tal - input, rekonċiljazzjonijiet tad - data). | • • • | tal- utent. Nuqqas ta’ kontrolli ta’ rikonċiljazzjoni tad - data fuq outputs prodotti Nuqqas ta’ kontrolli fuq il - proċessi tal - estrazzjoni tad- data eżegwiti (eż. domandi fuq il - bażi tad - data) li jwasslu għal data żbaljata. Użu ta’ data esterna difettuża. |
| Bidliet kkontrollati fis produzzjoni ICT. Arkitettura data, data, data dizzjunarji data u/jew immaniġġjati ħażin Riskji ta’ Reżiljenza esternalizzazzjo inadegwata ni tal-ICT servizzi terza entità Grupp Governanza esternalizzazzjoni inadegwata | fid -data ħażin - sistemi tal - tal-tad - flussi tad - mudelli tad - jew tad-mfassla ta’ ta’ parti jew ta’ oħra tal - ta’ | Żbalji fid - data introdotti minħabba nuqqas ta’ kontrolli fuq il - korrettezza u n - natura ġġustifikata tal - manipulazzjonijiet tad - data mwettqa fil - produzzjoni ta’ sistemi tal -ICT Arkitettura tad - data, flussi tad- data, mudelli tad -data jew dizzjunarji tad - data mmaniġġjati ħażin jistgħu jirriżultaw f’diversi verżjonijiet tal - istess data matul is - sistemi tal - ICT, li m’għadhomx konsistenti minħabba mudelli tad - data jew definizzjonijiet tad -data applikati b’mod differenti u/jew differenzi fil - proċess sottostanti tal- ġenerazzjoni u tat - tibdil fid -data. In- nuqqas ta’ disponibbiltà ta’ servizzi tal - ICT, servizzi u utilitajiet tat - telekomunikazzjoni kritiċi esternalizzati. Telfien jew korruzzjoni ta’ data kritika/sensittiva fdata lill- fornitur tas - servizz Degradazzjoni jew nuqqasijiet kbar fis - servizz minħabba tħejjija jew proċessi ta’ kontroll ineffiċjenti tal - fornitur tas- servizz esternalizzat. Governanza ta’ esternalizzazzjoni ineffettiva tista’ | • • • • • • | Żviluppaturi jew amministraturi tal - bażi tad -data li jaċċessaw jew ibiddlu direttament id - data fis - sistemi tal -produzzjoni tal- ICT b’mod mhux kontrollat eż. fil - każ ta’ inċident tal -ICT. L- eżistenza ta’ bażijiet ta’ data tal - klijenti differenti għal kull prodott jew unità tan - negozju b’definizzjonijiet u oqsma tad - data differenti, li tirriżulta f’data integrata dwar il - klijent mhux rikonċiljata u diffiċli li titqabbel fil - livell tal - istituzzjoni jew tal - grupp sħiħ. Indisponibbiltà ta’ servizzi ewlenin bħala riżultat ta’ nuqqasijiet fis - sistemi jew fl - applikazzjonijiet (esternalizzati) tal -ICT tal- fornituri. Tfixkil fil - konnessjonijiet tat - telekomunikazzjoni. Nuqqas fil - provvista tal - enerġija. Proċeduri ta’ ġestjoni tal - inċidenti ħżiena, mekkaniżmi u garanziji ta’ kontroll kuntrattwali mfassla fil - ftehim tal - fornitur tas - servizz li jżidu d - dipendenza fuq l - impjegat ewlieni fuq il - partijiet |
| Kategoriji tar-riskju tal-ICT | Riskji tal-ICT (mhux eżawrjenti10 ) | Deskrizzjoni tar-riskju tirriżulta f’nuqqas ta’ ħiliet u kapaċitajiet adegwati biex jiġu identifikati, ivvalutati, mitigati u mmonitorjati r - riskji tal- ICT u tista’ tillimita l - kapaċitajiet operazzjonali tal- istituzzjonijiet. | Eżempji • | terzi u l - bejjiegħa. Kontrolli tal- ġestjoni tat - tibdil mhux xierqa li jikkonċernaw l - ambjent tal -ICT tal- fornitur tas - servizz jistgħu joħolqu degradazzjoni jew nuqqas kbir fis - servizz. |
| Sigurtà inadegwata parti entità Grupp | ta’ terza jew ta’ oħra tal - | Hacking tas- sistemi tal -ICT tal- partijiet terzi li jfornu s - servizz, b’impatt dirett fuq is - servizzi esternalizzati jew id- data kritika/kunfidenzjali maħżuna għand il - fornitur tas- servizz. Persunal tal - fornitur tas - servizz li jikseb aċċess mhux awtorizzat għal data kritika/sensittiva maħżuna għand il- fornitur tas - servizz | • • | Hacking ta’ fornituri tas - servizz minn kriminali jew terroristi, bħala punt ta’ dħul fis - sistemi tal -ICT tal-istituzzjoniji et jew biex jaċċessaw/jeqirdu data kritika jew sensittiva maħżuna għand il - fornitur tas - servizz. Informazzjoni privileġġata malizzjuża min - naħa tal - fornitur tas - servizz li jipprova jisraq u jbigħ data sensittiva. |