57. Bevoegde autoriteiten beoordelen of de instelling een effectief kader heeft voor het …

Bevoegde autoriteiten beoordelen of de instelling een effectief kader heeft voor het identificeren, begrijpen, meten en beperken van ICT-data-integriteitsrisico's, dat past bij de aard, schaal en complexiteit van de activiteiten van de instelling en het ICT-risicoprofiel van de instelling. Het kader van de instelling moet oog hebben voor de risico's ten aanzien van het behoud van de integriteit van de door de ICT-systemen opgeslagen en verwerkte gegevens. Hiertoe houden zij met name rekening met de vraag of het kader de volgende zaken in ogenschouw neemt:

• a. een beleid waarin de taken en verantwoordelijkheden worden beschreven voor het beheer van de integriteit van de gegevens in de ICT-systemen (bijv. gegevensarchitect (data architect), gegevensfunctionarissen (data officers)⁶ , gegevensbewaarders (data custodians)⁷ , eigenaars/beheerders van de gegevens (data owners/stewards)⁸ ) en waarin richtlijnen worden verschaft over welke gegevens vanuit het oogpunt van integriteit kritiek zijn en in de verschillende fasen van de levenscyclus van de ICT-gegevens aan specifieke ICT-controles (bijv. geautomatiseerde invoervalidatiecontroles, controles op gegevensoverdracht, afstemming, enz.) of toetsingen (bijv. een controle van compatibiliteit met de gegevensarchitectuur) moeten worden onderworpen;
• b. een gedocumenteerde gegevensarchitectuur, gegevensmodel en/of data dictionary, die samen met relevante zakelijke en IT-belanghebbenden worden gevalideerd ter ondersteuning van de benodigde consistentie van de gegevens in alle ICT-systemen en om ervoor te zorgen dat de gegevensarchitectuur, het gegevensmodel en/of - woordenboek afgestemd blijven op de bedrijfs- en risicobeheerbehoeften;
• c. een beleid betreffende het toegestane gebruik en dito afhankelijkheid van End User Computing, vooral aangaande de identificatie, registratie en documentatie van belangrijke computeroplossingen voor eindgebruikers (bijv. bij de verwerking van belangrijke gegevens) en de verwachte veiligheidsniveaus om ongeoorloofde wijzigingen te voorkomen, zowel in het instrument zelf als in de daarin opgeslagen gegevens.
• d. gedocumenteerde processen voor de behandeling van uitzonderingen om geïdentificeerde problemen met betrekking tot de integriteit van ICT-gegevens overeenkomstig het kritieke en gevoelige karakter ervan op te lossen.

⁶ Een gegevensfunctionaris is verantwoordelijk voor de verwerking en het gebruik van gegevens.

⁷ Een gegevensbewaarder is verantwoordelijk voor de bewaking, het veilige vervoer en de veilige opslag van gegevens.

⁸ Een gegevensbeheerder is verantwoordelijk voor het beheer en de geschiktheid van gegevenselementen – zowel wat de inhoud als wat de metadata betreft.

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

3. Gerelateerde standaarden

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/