+3.4 Samenvatting van de bevindingen en toekenning van scores
---+61. Na de voorgaande beoordeling vormen bevoegde autoriteiten zich een oordeel over het ICT-risico …
---+62. Indien bevoegde autoriteiten het ICT-risico als wezenlijk beschouwen en de bevoegde autoriteit …
---+Bijlage – ICT-risicotaxonomie

3.4 Samenvatting van de bevindingen en toekenning van scores

1. Overzicht

61. Na de voorgaande beoordeling vormen bevoegde autoriteiten zich een oordeel over het ICT-risico …

Na de voorgaande beoordeling vormen bevoegde autoriteiten zich een oordeel over het ICT-risico van de instelling. Dit oordeel wordt verwoord in een samenvatting van bevindingen waarmee bevoegde autoriteiten rekening houden bij de toekenning van de score van het operationele risico in tabel 6 van de SREP-richtsnoeren van EBA. Bevoegde autoriteiten baseren hun standpunt over wezenlijke ICT-risico's op basis van de volgende overwegingen die in de beoordeling van het operationele risico worden meegenomen:

a. Risico-overwegingen
i. het ICT-risicoprofiel en de blootstelling aan ICT-risico's van de instelling;
ii. de geïdentificeerde kritieke ICT-systemen en -diensten; en
iii. de wezenlijkheid van ICT-risico's als het gaat om kritieke ICT-systemen.
b. Overwegingen over beheer en riscobeheersing
i. Of het beleid en de strategie van de instelling op het gebied van het beheer van ICT-risico's en haar algehele strategie en risicobereidheid met elkaar in overeenstemming zijn.
ii. of het organisatiekader voor het ICT-risicobeheer robuust is, met duidelijke verantwoordelijkheden en een duidelijke scheiding van taken tussen risico-eigenaars en de beheer- en -risicobeheersingsfuncties.
iii. of de systemen voor het meten, bewaken en rapporteren van het ICT-risico passend zijn, en
iv. of er deugdelijke kaders zijn voor de beheersing van wezenlijke ICT-risico's.

62. Indien bevoegde autoriteiten het ICT-risico als wezenlijk beschouwen en de bevoegde autoriteit …

Indien bevoegde autoriteiten het ICT-risico als wezenlijk beschouwen en de bevoegde autoriteit besluit dit risico als subcategorie van het operationele risico te beoordelen en een score te geven, verschaft onderstaande tabel (tabel 1) de volgende overwegingen over de score van ICT-risico's. Tabel 1: Overwegingen van de toezichthouder voor het toekennen van een score voor het ICT-risico

Risicoscore Standpunt Overwegingen voor inherent risico Overwegingen voor adequaat toezichthouder beheer & risicobeheersing

1 Er is geen • waarneembaar risico van een significante prudentiële impact op de instelling, gezien het niveau van inherent risico • en het beheer en de risicobeheersing.	De informatiebronnen waarnaar op grond van punt 37 moet worden gekeken, hebben geen belangrijke blootstellingen aan ICT-risico's aan het licht gebracht. De aard van het ICT-risicoprofiel van de instelling heeft, in samenhang met de toetsing van de kritieke ICT-systemen en de wezenlijke ICT-risico's voor de ICT-systemen en -diensten, geen wezenlijke ICT-risico's aan het licht gebracht. • Het beleid en de strategie
2 Er is een laag risico • van een significante prudentiële impact op de instelling, gezien het niveau van het inherente risico en het beheer • en de risicobeheersing.	De informatiebronnen waarnaar van de instelling op het op grond van punt 37 moet gebied van het ICT-risico is worden gekeken, hebben geen afgestemd op haar belangrijke blootstellingen aan algehele strategie en ICT-risico's aan het licht risicobereidheid. gebracht. • Het organisatiekader voor De aard van het ICT-risicoprofiel het ICT-risico is robuust, van de instelling heeft, in met duidelijke samenhang met de toetsing van verantwoordelijkheden en de kritieke ICT-systemen en de een duidelijke scheiding wezenlijke ICT-risico's voor de van taken tussen risico-ICT-systemen en -diensten, een eigenaars en de beheer-beperkte blootstelling aan ICT- en risico's (bijv. niet meer dan 2 van risicobeheersingsfuncties. de 5 vooraf vastgestelde ICT- • De systemen voor risicocategorieën) aan het licht hetmeten, bewaken en gebracht. rapporteren van het ICT-
3 Er is een middelhoog • risico van een significante prudentiële impact	De informatiebronnen waarnaar risico zijn passend. op grond van punt 37 moet • Er is een deugdelijk kader worden gekeken, hebben voor de beheersing van aanwijzingen voor mogelijke het ICT-risico.
op de instelling, gezien het niveau van het inherente risico en het beheer • en de risicobeheersing.	belangrijke blootstellingen aan ICT-risico's aan het licht gebracht. De aard van het ICT-risicoprofiel van de instelling heeft, in samenhang met de toetsing van de kritieke ICT-systemen en de wezenlijke ICT-risico's voor de ICT-systemen en -diensten, een verhoogde blootstelling aan ICT-risico's (bijv. 3 van de 5 vooraf vastgestelde ICT-risicocategorieën) aan het licht gebracht.
4 Er is een hoog risico • van een significante prudentiële impact op de instelling, gezien het niveau van het inherente risico en het beheer • en de risicobeheersing.	De informatiebronnen waarnaar op grond van punt 37 moet worden gekeken, hebben meerdere aanwijzingen voor belangrijke blootstellingen aan ICT-risico's verschaft. De aard van het ICT-risicoprofiel van de instelling heeft, in samenhang met de toetsing van de kritieke ICT-systemen en de wezenlijke ICT-risico's voor de ICT-systemen en -diensten, een grote blootstelling aan ICT-risico's (bijv. 4 of 5 van de 5 vooraf vastgestelde ICT-risicocategorieën) aan het licht gebracht.

Bijlage – ICT-risicotaxonomie

5 ICT-risicocategorieën met een niet-volledige lijst van ICT-risico's met mogelijk grote impact en/of operationele of financiële gevolgen of gevolgen voor de reputatie

ICT-risicocategorieën ICT-beschikbaarheids- en continuïteitsrisico's	ICT-risico's (niet-volledig¹⁰ ) Onvoldoende capaciteitsbeheer Falen van de ICT-systemen Ontoereikende planning voor ICT-continuïteit en - calamiteitenherstel	Risicobeschrijving Door een gebrek aan middelen (bijv. hardware, software, personeel, dienstverleners) kan het onmogelijk worden om de dienstverlening af te stemmen op bedrijfsbehoeften en systeemonderbrekingen, verslechtering van de dienstverlening en/of operationele fouten te verhelpen. Verminderde beschikbaarheid door falende hardware. Verminderde beschikbaarheid door falende software en bugs. Falen van geplande ICT-beschikbaarheids- en/of - continuïteitsoplossingen en/of calamiteitenherstel (bijv. uitwijkdatacentra) wanneer deze als reactie op een incident worden geactiveerd.	Voorbeelden • • • • • •	Een capaciteitstekort kan de transmissiesnelheid en de beschikbaarheid van het netwerk (internet) voor diensten als internetbankieren negatief beïnvloeden. Een gebrek aan personeel (intern of derden) kan leiden tot systeemonderbrekingen en/of operationele fouten. Falen/slecht functioneren van opslag (harde schijven), server of andere ICT-apparatuur, bijvoorbeeld veroorzaakt door gebrek aan onderhoud. Door een oneindige lus in applicatiesoftware wordt transactie niet uitgevoerd. Uitval als gevolg van het blijven gebruiken van verouderde ICT-systemen en -oplossingen die niet langer aan de huidige eisen voor beschikbaarheid en veerkracht voldoen en/of niet langer door de verkopers ervan worden ondersteund. Configuratieverschillen tussen het primaire en secundaire datacentrum kunnen ertoe leiden dat het uitwijkdatacentrum de geplande continuïteit van de dienstverlening niet kan waarborgen.
ICT-risicocategorieën	ICT-risico's (niet-volledig¹⁰ ) Ontwrichtende en destructieve cyberaanvallen	Risicobeschrijving Aanvallen om verschillende redenen (activisme, chantage), die leiden tot overbelasting van systemen en het netwerk, waardoor rechtmatige gebruikers geen toegang tot onlinecomputerdiensten kunnen krijgen.	Voorbeelden •	Distributed Denial of Service (DDOS)-aanvallen worden uitgevoerd door een groot aantal computersystemen op internet die door een hacker worden gecontroleerd, waarbij een grote hoeveelheid ogenschijnlijk legitieme dienstverleningsverzoeken naar internetdiensten (bijv. elektronisch bankieren) worden verzonden.
ICT-beveiligingsrisico's	Cyberaanvallen en andere externe op ICT gebaseerde aanvallen	Aanvallen die vanaf internet of externe netwerken voor verschillende doeleinden (bijv. fraude, spionage, activisme/sabotage, cyberterrorisme) worden uitgevoerd met behulp van diverse technieken (bijv. social engineering, inbraakpogingen door gebruik te maken van kwetsbare plekken, toepassing van kwaadaardige software) waardoor controle over interne ICT-systemen wordt verkregen. Verrichten van frauduleuze betalingstransacties door hackers die de beveiliging van diensten op het gebied van elektronisch bankieren en betalen doorbreken of omzeilen en/of kwetsbare plekken in de beveiliging van de interne betalingssystemen van de instelling aanvallen en benutten. Verrichten van frauduleuze effectentransacties door hackers die de beveiliging van de diensten op het gebied van elektronisch bankieren	Verschillende • • • • • • •	typen aanvallen: Geavanceerde en aanhoudende dreiging (Advanced Persistent Threat, APT) dat interne systemen worden overgenomen of informatie wordt gestolen (bijv. aan identiteitsdiefstal gerelateerde informatie, creditcardinformatie). Kwaadaardige software (bijv. ransomware) die gegevens met het oog op chantage versleutelt. Infectie van interne ICT-systemen met Trojaanse paarden om op verborgen wijze kwaadaardige systeemacties te verrichten. Benutten van kwetsbaarheden in ICT-systemen en/of (web)applicaties (bijv. SQL-injectie) om toegang tot het interne ICT-systeem te krijgen. Aanvallen tegen diensten op het gebied van elektronisch bankieren en betalen, met als doel ongeoorloofde transacties te verrichten. Creëren en verzenden van frauduleuze betalingstransacties vanuit de interne betalingssystemen van de instelling (bijv. frauduleuze SWIFT-berichten). Pump-and-dump-aanvallen waarbij toegang wordt verkregen tot elektronische effectenrekeningen van klanten en frauduleuze inkoop- of verkooporders
ICT-risicocategorieën	ICT-risico's (niet-volledig¹⁰ ) Ontoereikende interne ICT-beveiliging	Risicobeschrijving doorbreken of omzeilen waardoor zij ook toegang tot de effectenrekeningen van de klant krijgen. Aanvallen op communicatieverbindingen en allerlei soorten conversaties of ICT-systemen met als doel informatie te verzamelen en/of fraude te plegen. Verkrijgen van ongeoorloofde toegang tot kritieke ICT-systemen vanuit de instelling voor verschillende doeleinden (bijv. fraude, uitvoeren en verbergen van rogue-trading-activiteiten, gegevensdiefstal, activisme/sabotage) met behulp van diverse technieken (bijv. misbruiken en/of escaleren van privileges, identiteitsdiefstal, social engineering, benutten van kwetsbaarheden in ICT-systemen, toepassing van kwaadaardige software). Ongeoorloofde ICT-handelingen vanwege ontoereikende procedures en praktijken op het gebied van ICT-toegangsbeheer. Bedreigingen voor de veiligheid door gebrek aan veiligheidsbewustzijn, waarbij werknemers ICT-veiligheidsbeleid en -procedures niet begrijpen of negeren of zich daar niet aan houden.	Voorbeelden • • • • • • • •	worden geplaatst om de marktprijs te beïnvloeden en/of winst te maken op basis van eerder vastgestelde effectenposities. Afluisteren/onderscheppen van de onbeschermde overdracht van ongecodeerde authenticatiegegevens. Installeren van key stroke loggers (key loggers) om gebruikersnamen en wachtwoorden te stelen om ongeoorloofde toegang to vertrouwelijke gegevens te krijgen en/of fraude te plegen. Kraken/raden van zwakke wachtwoorden om onrechtmatige of verhoogde toegangsrechten te krijgen. Systeembeheerder gebruikt besturingssystemen of databankhulpprogramma's (voor het rechtstreeks aanbrengen van wijzigingen in de databank) om fraude te plegen Niet blokkeren of verwijderen van onnodige accounts, bijv. van personeel dat een andere functie heeft gekregen en/of de instelling heeft verlaten, inclusief gasten of leveranciers voor wie toegang niet langer nodig is, waardoor ongeoorloofde toegang tot ICT-systemen wordt verkregen. Toekennen van buitensporige toegangsrechten en privileges, zodat het mogelijk wordt ongeoorloofde toegang te verkrijgen en/of malafide activiteiten te verbergen. Werknemers die om de tuin worden geleid en op die manier hulp bieden bij een aanval (d.w.z. social engineering). Slechte praktijken met betrekking tot
ICT-risicocategorieën	ICT-risico's (niet-volledig¹⁰ ) Ontoereikende fysieke ICT-beveiliging	Risicobeschrijving De ongeoorloofde opslag of overdracht van vertrouwelijke informatie buiten de instelling. Verkeerd gebruik of diefstal van ICT-activa via fysieke toegang met schade, verlies van activa of gegevens en eventuele andere dreigingen tot gevolg. Opzettelijke of onopzettelijke schade aan fysieke ICT-activa veroorzaakt door terrorisme, ongevallen of ongelukkige/verkeerde handelingen van personeel van de instelling en/of derden (leveranciers, reparateur). Onvoldoende fysieke bescherming tegen natuurrampen met als gevolg gedeeltelijke of volledige vernietiging van ICT-systemen/datacentra door natuurrampen.	Voorbeelden • • • • • •	identificatiegegevens: delen van wachtwoorden, gebruik van 'eenvoudig' te raden wachtwoorden, gebruik van hetzelfde wachtwoord voor veel verschillende doeleinden, enz. Opslaan van niet-versleutelde vertrouwelijke gegevens op laptops en draagbare opslagoplossingen (bijv. USB-sticks) die vatbaar zijn voor verlies of diefstal. Personen die vertrouwelijke informatie stelen of deze bewust lekken of smokkelen naar onbevoegde personen of het publiek. Fysiek inbreken in kantoorgebouwen en/of datacentra om ICT-apparatuur te stelen (bijv. computers, laptops, oplossingen voor opslag) en/of gegevens te kopiëren door fysieke toegang tot ICT-systemen. Fysiek terrorisme (d.w.z. bomaanslagen) of sabotage van ICT-activa. Vernietiging van datacentra door brand, lekkage of andere factoren. Aardbevingen, extreme hitte, stormen, zware sneeuwstormen, overstromingen, branden, blikseminslagen.
ICT-wijzigingsrisico's	Ontoereikende controle op wijzigingen in ICT-systemen en op ICT-ontwikkelingen	Incidenten veroorzaakt door onopgemerkte fouten of kwetsbaarheden als gevolg van wijzigingen (bijv. onvoorziene effecten van een wijziging of een slecht beheerde wijziging door het ontbreken van tests of onjuiste wijzigingsbeheerpraktijken) in bijv. software, ICT-systemen en gegevens.	• •	In productie gaan van onvoldoende geteste software of configuratiewijzigingen met onverwachte nadelige gevolgen voor gegevens (bijv. corruptie, wissen) en/of de prestaties van ICT-systemen (bijv. uitval, verslechtering van prestaties). Ongecontroleerde wijzigingen in ICT-systemen of
ICT-risicocategorieën	ICT-risico's (niet-volledig¹⁰ ) Ontoereikende ICT-architectuur Ontoereikende levenscyclus- en patchmanagement	Risicobeschrijving Een zwak ICT-architectuurbeheer bij het ontwerpen, bouwen en onderhouden van ICT-systemen (bijv. software, hardware, gegevens) kan uiteindelijk leiden tot complexe, moeilijke en rigide ICT-systemen waarvan het beheer veel geld kost en die niet langer voldoende zijn afgestemd op de bedrijfsbehoeften en ten opzichte van de actuele vereisten op het gebied van risicobeheer tekortschieten. Niet bijhouden van een adequate inventaris van alle ICT-activa ter ondersteuning van, en in combinatie met, deugdelijke praktijken op het gebied van levenscyclus- en patchmanagement.	Voorbeelden • • • • • •	gegevens in de productieomgeving. In productie gaan van slecht beveiligde ICT-systemen en internettoepassingen, wat hackers de mogelijkheid biedt de verleende internetdiensten aan te vallen en/of de interne ICT-systemen te doorbreken. Ongecontroleerde wijzigingen in de broncode van intern ontwikkelde software. Onvoldoende testen doordat een adequate testomgeving ontbreekt. Niet adequaat beheerde wijzigingen in ICT-systemen, software en/of gegevens over een langdurige periode, die leiden tot complexe, heterogene en moeilijk te beheren ICT-systemen en -architecturen, met talrijke nadelige gevolgen voor de bedrijfsvoering en het risicobeheer (bijv. ontbreken van flexibiliteit en wendbaarheid, ICT-incidenten en -storingen, hoge operationele kosten, verzwakte ICT-beveiliging en -veerkracht, verminderde gegevenskwaliteit en verslagleggingsmogelijkheden). Buitensporige aanpassing en uitbreiding van commerciële softwarepakketten met intern ontwikkelde software, waardoor er in de toekomst geen nieuwe versies en upgrades van de commerciële software kunnen worden geïmplementeerd en de ondersteuning door de verkoper dreigt te verdwijnen. Ongepatchte en verouderde ICT-systemen met mogelijk negatieve gevolgen voor de bedrijfsvoering en voor het risicobeheer (bijv. ontbreken van flexibiliteit en wendbaarheid, ICT-uitval, verzwakte
ICT-risicocategorieën	ICT-risico's (niet-volledig¹⁰ )	Risicobeschrijving Dit leidt tot onvoldoende gepatchte (en dus kwetsbaardere) en verouderde ICT-systemen die de bedrijfs- en risicobeheerbehoeften wellicht niet ondersteunen.	Voorbeelden	ICT-beveiliging en -veerkracht).
ICT-data-integriteitsrisico's	Slechte ICT-gegevensverwerkin g of -behandeling Slecht ontworpen gegevensvalidatiec ontroles in ICT-systemen Slecht gecontroleerde wijzigingen in de ICT-productiesystemen Slecht ontworpen en/of beheerde gegevensarchitectu ur, gegevensstromen, gegevensmodellen of gegevenswoordenb	Door fouten of storingen in systemen, communicatie en/of toepassingen of verkeerd uitgevoerde extractie, overdracht en laden (ETL) van gegevens kunnen gegevens corrupt raken of verloren gaan. Fouten in verband met ontbrekende of ineffectieve controles betreffende de geautomatiseerde invoer en goedkeuring van gegevens (bijv. voor gebruikte gegevens van derden) en controles betreffende de overdracht, verwerking en uitvoer van gegevens in de ICT-systemen (bijv. controles op de validiteit van de invoer, afstemming van gegevens). Fouten in gegevens als gevolg van onvoldoende controle of de gegevensbehandeling tijdens de productie van ICT-systemen correct is en of de wijze waarop die behandeling plaatsvindt, gerechtvaardigd is. Slecht beheerde gegevensarchitecturen, gegevensmodellen, gegevensstromen of gegevenswoordenboeken kunnen leiden tot meerdere versies van dezelfde gegevens in alle ICT-systemen, die niet langer consistent zijn vanwege op verschillende wijze toegepaste gegevensmodellen of gegevensdefinities, en/of verschillen in het onderliggende proces van de	• • • • • • • • •	IT-systeemfout tijdens batchverwerking, waardoor onjuiste saldi op de bankrekeningen van klanten ontstaan. Verkeerd uitgevoerde zoekopdrachten. Gegevensverlies door datareplicatie- (backup-)fout. Onvoldoende of ongeldige opmaak/validatie van gegevensinvoer in applicaties en/of gebruikersinterfaces. Geen controles betreffende de afstemming van gegevens verricht op de geproduceerde uitvoer. Geen controles verricht op de uitgevoerde gegevensextractieprocessen (bijv. zoekopdrachten in databanken), wat leidt tot foutieve gegevens. Gebruik van onjuiste externe gegevens. Ontwikkelaars of beheerders van databanken die zich op ongecontroleerde wijze rechtstreeks toegang tot de ICT-productiesystemen verschaffen en de gegevens daarvan wijzigen, bijv. in geval van een ICT-incident. Het bestaan van verschillende klantendatabanken per product of bedrijfseenheid met verschillende gegevensdefinities en -velden, wat leidt tot niet onderling afgestemde en moeilijk te vergelijken en te integreren klantgegevens op het niveau van de gehele financiële instelling of groep.
ICT-risicocategorieën	ICT-risico's (niet-volledig¹⁰ ) oeken	Risicobeschrijving ontwikkeling van en wijzigingen in gegevens.	Voorbeelden
ICT-uitbestedingsrisico's	Ontoereikende veerkracht van diensten verleend door een derde of een andere entiteit van de groep Ontoereikende governance inzake uitbesteding Ontoereikende beveiliging van een derde of een andere entiteit van de groep	De niet-beschikbaarheid van kritieke uitbestede ICT-diensten, telecommunicatiediensten en nutsvoorzieningen. Verlies of corruptie van kritieke/gevoelige gegevens die aan de dienstverlener zijn toevertrouwd. Belangrijke verslechtering van de dienstverlening of fouten als gevolg van ondoeltreffende paraatheids- of controleprocessen van de verlener van de uitbestede diensten. Ineffectieve governance inzake uitbesteding kan resulteren in een tekort aan passende vaardigheden en mogelijkheden om de ICT-risico's volledig te identificeren, te beoordelen, te beperken en te bewaken en kan de operationele mogelijkheden van instellingen verminderen. Hacken van de ICT-systemen van de dienstverlener, met rechtstreekse gevolgen voor de uitbestede diensten of kritieke/vertrouwelijke gegevens die bij de dienstverlener zijn opgeslagen. Personeel van de dienstverlener krijgt ongeoorloofde toegang tot kritieke/gevoelige gegevens die bij de dienstverlener zijn opgeslagen.	• • • • • • •	Niet-beschikbaarheid van centrale diensten als gevolg van fouten in (uitbestede) ICT-systemen of - toepassingen van leveranciers. Verstoring van telecommunicatieverbindingen. Gebrekkige stroomvoorziening. Gebrekkige procedures voor het afhandelen van incidenten, contractuele controlemechanismen en garanties die in de dienstverleningsovereenkomst zijn ingebouwd en die ervoor zorgen dat belangrijke medewerkers afhankelijker worden van derden en verkopers. Ongeschikte controles op het wijzigingsbeheer betreffende de ICT-omgeving van de dienstverlener kunnen een belangrijke verslechtering van de dienstverlening of storingen veroorzaken. Hacken van dienstverleners door criminelen of terroristen, als toegangspunt voor de ICT-systemen van instellingen of om inzage te krijgen in kritieke of gevoelige gegevens die bij de dienstverlener zijn opgeslagen, of deze te vernietigen. Kwaadwillende insiders van de dienstverlener proberen gevoelige gegevens te stelen en te verkopen.

¹⁰ ICT-risico's worden vermeld in de risicocategorie waarop zij het grootste effect hebben, maar zij kunnen ook gevolgen hebben voor andere categorieën

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

Eisen
Bron	Eis

3. Gerelateerde standaarden

Standaarden
Bron	Eis

EBA - Published by the European Banking Authority at https://www.eba.europa.eu/