184. W odniesieniu do ryzyka związanego z technologiami i bezpieczeństwem ICT właściwe organy …

W odniesieniu do ryzyka związanego z technologiami i bezpieczeństwem ICT⁵⁵ właściwe organy powinny upewnić się, że ramy zarządzania zapewnią skuteczne, niezawodne i bezpieczne funkcjonowanie systemów informacyjno- komunikacyjnych wspierających działalność instytucji kredytowych, a także odpowiednie zapobieganie ryzyku związanemu z ICT w normalnych warunkach i w warunkach skrajnych oraz monitorowanie i ograniczanie tego ryzyka . Właściwe organy powinny w szczególności ocenić:

• a) czy organ zarządzający ponosi ogólną odpowiedzialność za ustalenie, zatwierdzenie i nadzorowanie realizacji strategii ICT przez instytucje finansowe w ramach ich ogólnej strategii biznesowej;
• b) czy jasno określono i przypisano najważniejsze role i obowiązki oraz stosowną hierarchię służbową w celu zapewnienia skuteczności ram zarządzania ryzykiem związanym z technologiami i bezpieczeństwem ICT, w tym zapewniono odpowiedni budżet w celu odpowiedniego wsparcia potrzeb operacyjnych ICT oraz zarządzania ryzykiem związanym z technologiami i bezpieczeństwem ICT;
• c) czy zarządzanie ryzykiem związanym z technologiami i bezpie czeństwem ICT oraz nadzór nad nim powierzono niezależnej i obiektywnej funkcji kontrolnej, odpowiednio oddzielonej od procesów operacyjnych ICT i nieodpowiadającej za audyt wewnętrzny, oraz niezależnej komórce audytu wewnętrznego;
• d) rozwiązania zapewniające określenie, ustanowienie i utrzymanie zaktualizowanego schematu funkcji biznesowych, ról i procesów pomocniczych w celu określenia znaczenia każdej i każdego z nich oraz zależności między nimi w związku z ryzykiem związanym z technologiami i bezpieczeństwem ICT;
• e) w zakresie, w jakim informacje są przechowywane w systemach ICT, czy zostaną ustanowione wymogi dotyczące bezpieczeństwa informacji;
• f) skalę i stopień złożoności oraz znaczenie zależności związanych z ICT, jeżeli przewiduje się outsourcing funkcji ope racyjnych usług ICT i jakiejkolwiek działalności systemów ICT – w tym do podmiotów z grupy – lub korzystanie z usług osób trzecich w odniesieniu do takich funkcji i działalności.

⁵⁵ Zgodnie z definicją zawartą w wytycznych EUNB w sprawie zarządzania ryzykiem związanym z technologiami i bezpieczeństwem ICT „ryzyko związane z technologiami i bezpieczeństwem ICT” oznacza: „[r]yzyko strat wynikające z naruszenia poufności, nieprzestrzegania integralności systemów i danych, nieodpowiedniości lub niedostępności systemów i danych, lub też niezdolności do zmiany technologii informacyjnej w rozsądnym czasie i przy uwzględnie niu rozsądnych kosztów w przypadku zmiany wymogów w zakresie otoczenia lub prowadzenia działalności gospodarczej (tj. elastyczność). Obejmuje to ryzyko związane z bezpieczeństwem ICT wynikające z nieodpowiednich lub niepomyślnie zrealizowanych procesów wew nętrznych lub zdarzeń zewnętrznych, w tym cyberataków lub nieodpowiedniego zabezpieczenia fizycznego”.

1. Przegląd

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane normy

2. Zidentyfikowane wymagania

3. Powiązane normy

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.