4.6 Zarządzanie ryzykiem związanym z technologiami i bezpieczeństwem ICT

Instytucje kredytowe i finansowe powinny identyfikować ryzyko związane z technologiami i bezpieczeństwem ICT w odniesieniu do korzystania z procesu zdalnego nawiązywania relacji z klient ami i zarządzać tym ryzykiem, również wówczas gdy instytucje kredytowe i finansowe korzystają z usług osób trzecich lub gdy usługa ta jest zlecana na zasadzie outsourcingu, w tym podmiotom należącym do grupy.

Oprócz spełnienia wymogów określonych w wytycznych EUNB w sprawie zarządzania ryzykiem związanym z technologiami i bezpieczeństwem ICT¹⁰ instytucje kredytowe i finansowe powinny, w stosownych przypadkach, korzystać z bezpiecznych kanałów komunikacji w celu interakcji z klientem podczas procesu zdalnego nawiązywania relacji z klient ami . Aby zagwarantować poufność, autentyczność i integralność wymienianych danych, w stosownych przypadkach należy na potrzeby rozwiązania w zakresie zdalnego nawiązywania relacji z klient ami stosować bezpieczne protokoły i algorytmy kryptograficzne zgodnie z najlepszymi praktykami branżowymi.

¹⁰ EBA/GL/2019/04 .

Instytucje kredytowe i finansowe powinny zapewnić bezpieczny punkt dostępu umożliwiający rozpoczęcie zdalnego procesu nawiązywania relacji z klient ami z wykorzystaniem kwalifikowanych certyfikatów pieczęci elektronicznych, o których mowa w art. 3 ust. 30 rozporządzenia (UE) nr 910/2014, lub certyfikatów uwierzytelniania witryn internetowych, o których mowa w art. 3 pkt 39 tego rozporządzenia. Klienta należy również poinformować o obowiązujących środkach bezpieczeństwa, które należy zastosować w celu zapewnienia bezpiecznego korzystania z systemu.

Jeśli w celu przeprowadzania zdalnego procesu nawiązywania relacji z klient ami używa się urządzenia wielofunkcyjnego, należy w stosownych przypadkach korzystać z bezpiecznego środowiska do wykonywania kodu oprogramowania po stronie klienta. Aby zapewnić bezpieczeństwo i wiarygodność kodu oprogramowania i zgromadzonych danych, należy wdrożyć dodatkowe środki bezpieczeństwa odpowiednie do oceny ryzyka bezpieczeństwa określonej w wytycznych EUNB w sprawie zarządzania ryzykiem związanym z technologiami i bezpieczeństwem ICT.