55. Bevoegde autoriteiten beoordelen of de instelling een effectief kader heeft voor het …

Bevoegde autoriteiten beoordelen of de instelling een effectief kader heeft voor het identificeren, begrijpen, meten en beperken van ICT-beveiligingsrisico's. Hiertoe houden zij met name rekening met de vraag of het kader de volgende zaken in ogenschouw neemt:

• a. duidelijk omschreven taken en verantwoordelijkheden met betrekking tot:
• i. de perso(o)n(en) en/of commissies die verantwoording en rekenschap moeten afleggen voor het dagelijkse ICT-veiligheidsbeheer en de uitwerking van het overkoepelende ICT-veiligheidsbeleid, met aandacht voor hun benodigde onafhankelijkheid;
• ii. het ontwerpen, uitvoeren, beheren en monitoren van ICT-veiligheidscontroles;
• iii. de bescherming van kritieke ICT-systemen en -diensten via bijvoorbeeld een proces voor de beoordeling van kwetsbaarheden, softwarepatchmanagement, eindpuntbescherming (bijv. malwarevirus) en instrumenten voor inbraakdetectie en -preventie;
• iv. het monitoren, classificeren en afhandelen van externe of interne ICT-veiligheidsincidenten, inclusief incidentenrespons en het hervatten en herstellen van de ICT-systemen en diensten;
• v. regelmatige en proactieve dreigingsevaluaties om de veiligheidscontroles op een adequaat niveau te houden.
• b. een ICT-veiligheidsbeleid dat rekening houdt met en, waar nodig, voldoet aan internationaal erkende ICT-veiligheidsnormen en -beginselen (bijv. het 'beginsel van het minste privilege', d.w.z. beperken van de toegang tot het laagste niveau waarbij normaal functioneren voor het beheer van toegangsrechten mogelijk is, en het beginsel van 'diepteverdediging', d.w.z. gelaagde veiligheidsmechanismen, zorgen voor een grotere beveiliging van het systeem als geheel met het oog op het ontwerpen van een veiligheidsarchitectuur);
• c. een proces om ICT-systemen en -diensten en daarop afgestemde veiligheidseisen te identificeren die in verband kunnen worden gebracht met mogelijke frauderisico's en/of mogelijk verkeerd gebruik en/of misbruik van vertrouwelijke gegevens, samen met gedocumenteerde veiligheidsverwachtingen waaraan voor deze geïdentificeerde ICT-systemen, -diensten en - gegevens moet worden voldaan, in lijn met de risicotolerantie van de instelling en met toezicht op de correcte uitvoering ervan;
• d. een gedocumenteerd veiligheidsincidentenbeheer- en escalatieproces dat richtsnoeren verschaft voor de verschillende taken en verantwoordelijkheden op het gebied van incidentenbeheer en escalatie, de leden van de crisiscommissie(s) en de hiërarchische structuur in noodgevallen op het vlak van veiligheid;
• e. het loggen van gebruikers- en administratieve activiteiten om doeltreffende monitoring van en de tijdige opsporing van en respons op ongeoorloofde activiteit mogelijk te maken; en om deel te nemen aan forensisch onderzoek naar veiligheidsincidenten of dit uit te voeren. De instelling moet loggingbeleid hebben waarin wordt beschreven welke typen logs bewaard moeten worden en voor hoe lang;
• f. bewustwordings- en voorlichtingscampagnes of -initiatieven om alle geledingen in de instelling te informeren over het veilige gebruik en de bescherming van de ICT-systemen van de instelling en de voornaamste ICT-beveiligingsrisico's (en andere risico's) die zij moeten kennen, met name wat betreft de bestaande en groeiende cyberdreigingen (bijv. computervirussen, mogelijk intern(e) of extern(e) misbruik of aanvallen, cyberaanvallen) en de rol die zij spelen in het verminderen van de inbreuken op de veiligheid;
• g. adequate fysieke veiligheidsmaatregelen (bijv. camerabewaking, inbraakalarm, veiligheidsdeuren) om ongeoorloofde fysieke toegang tot kritieke en gevoelige ICT-systemen (bijv. datacentra) te voorkomen;
• h. maatregelen om de ICT-systemen tegen aanvallen vanaf internet (d.w.z. cyberaanvallen) of andere externe netwerken (bijv. traditionele telecomverbindingen of verbindingen met vertrouwde partners) te beschermen. Bevoegde autoriteiten toetsen of het kader van de instelling de volgende zaken in ogenschouw neemt:
• i. een proces en oplossingen om een complete actuele inventaris en overzicht bij te houden van alle naar buiten gerichte netwerkaansluitpunten (zoals websites, internettoepassingen, wifi, toegang op afstand) waardoor derden in de interne ICT-systemen kunnen inbreken;
• ii. zorgvuldig beheerde en gecontroleerde veiligheidsmaatregelen (bijv. firewalls, proxyservers, mailrelays, antivirus- en contentscanners) om het inkomende en uitgaande netwerkverkeer (bijv. e-mail) en de naar buiten gerichte netwerkaansluitingen waardoor derden in de interne ICT-systemen kunnen inbreken, te beveiligen;
• iii. processen en oplossingen om websites en toepassingen te beveiligen die rechtstreeks vanaf internet en/of van buitenaf kunnen worden aangevallen en die als toegangspunt voor de interne ICT-systemen kunnen dienen. Over het algemeen gaat het hierbij om een combinatie van erkende veilige ontwikkelingspraktijken, maatregelen om de ICT-systemen te harden en op kwetsbaarheden te scannen en/of de implementatie van aanvullende veiligheidsoplossingen zoals firewalls en/of inbraakdetectie- en/of inbraakpreventiesystemen;
• iv. periodieke penetratietests om te beoordelen hoe effectief de uitgevoerde cyber- en interne ICT-veiligheidsmaatregelen en -processen zijn. Deze tests worden door personeel en/of externe deskundigen met de benodigde expertise verricht; de testresultaten en conclusies worden gedocumenteerd en aan de directie en/of het leidinggevend orgaan worden gemeld. Wanneer nodig en van toepassing, dient de instelling op basis van deze tests inzicht te krijgen in waar de veiligheidscontroles en -processen verder moeten worden verbeterd en/of hoe de effectiviteit ervan beter kan worden gewaarborgd.
• (c) Beheersingsmaatregelen voor het beheer van wezenlijke ICT-wijzigingsrisico's

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

3. Gerelateerde standaarden

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/