3.2 Określenie istotnych rodzajów ryzyka ICT

Właściwe organy powinny na bieżąco oceniać istotne rodzaje ryzyka, na jakie narażona jest lub może być instytucja, za pomocą przedstawionych poniżej działań.

3.2.1 Przegląd profilu ryzyka ICT instytucji

Podczas przeglądu profilu ryzyka ICT instytucji właściwe organy powinny rozważyć wszelkie odpowiednie informacje na temat ekspozycji instytucji na ryzyko ICT, w tym informacje, o których mowa w ust. 37 i stwierdzone poważne niedociągnięcia lub słabości w organizacji ICT i kontrolach obejmujących całą instytucję na podstawie tytułu 2 niniejszych wytycznych, a w stosownym przypadku, przegląd tych informacji w proporcjonalny sposób. W ramach przeglądu właściwe organy powinny rozważyć:

• a. potencjalny wpływ znacznych zakłóceń systemów ICT instytucji na system finansowy, zarówno na szczeblu krajowym, jak i międzynarodowym;
• b. czy instytucja może być przedmiotem ryzyka bezpieczeństwa ICT lub ryzyka związanego z dostępnością i ciągłością ICT w wyniku zależności internetowych, wysokiego poziomu przyjętych innowacyjnych rozwiązań ICT lub innych biznesowych kanałów dystrybucji, które mogą uczynić z niej bardziej prawdopodobny cel cyberataków;
• c. czy instytucja może być bardziej narażona na ryzyko bezpieczeństwa ICT, ryzyko związane z dostępnością i ciągłością, ryzyko związane z integralnością danych ICT lub ryzyko związane ze zmianą ICT ze względu na kompleksowość (np. w wyniku fuzji lub przejęć) lub przestarzałość systemów ICT;
• d. czy instytucja wprowadza istotne zmiany do swoich systemów ICT lub komórki ICT (np. w wyniku fuzji, przejęć, zbycia lub przemieszczenia swoich kluczowych systemów ICT), co może mieć negatywny wpływ na stabilność lub prawidłowe funkcjonowanie systemów ICT i może prowadzić do istotnego ryzyka związanego z dostępnością i ciągłością ICT, ryzyka bezpieczeństwa ICT, ryzyka związanego ze zmianą ICT lub ryzyka związanego z integralnością danych ICT;
• e. czy instytucja korzystała z outsourcingu usług ICT lub systemów ICT w ramach grupy lub poza nią, przez co mogła być narażona na istotne ryzyko związane z outsourcingiem ICT;
• f. czy instytucja wdraża agresywne środki mające na celu ograniczenie kosztów ICT, które może prowadzić do ograniczenia koniecznych inwestycji w ICT, zasobów i wiedzy fachowej w dziedzinie informatyki i może zwiększyć ekspozycję na wszystkie rodzaje ryzyka ICT w taksonomii;
• g. czy lokalizacja ważnych operacji/centrów danych ICT (np. regiony, kraje) może narażać instytucje na klęski żywiołowe (np. powodzie, trzęsienia ziemi), niestabilność polityczną lub konflikty pracownicze i niepokoje społeczne, które mogą prowadzić do istotnego w zrostu ryzyka związanego z dostępnością i ciągłością ICT oraz ryzyka bezpieczeństwa ICT.

3.2.2 Przegląd krytycznych systemów i usług ICT

W ramach procesu określania ryzyka ICT z potencjalnym istotnym wpływem ostrożnościowym na instytucję właściwe organy powinny dokonać przeglądu dokumentacji instytucji oraz wydać opinię, w jakim zakresie systemy i usługi ICT są krytyczne dla odpowiedniego funkcjonowania, dostępności, ciągłości i bezpieczeństwa kluczowych działań instytucji.

W tym celu właściwe organy powinny dokonać przeglądu metodologii i procesów stosowanych przez instytucję w celu określenia systemów i usług ICT, które są krytyczne, mając na uwadze, że niektóre systemy i usługi ICT mogą zostać uznane za krytyczne przez instytucje z perspektywy ciągłości i dostępności, bezpieczeństwa (np. zapobiegania nadużyciom) oraz poufności (np. poufnych danych). Dokonując przeglądu, właściwe organy powinny mieć na względzie, że krytyczne systemy i usługi ICT powinny spełniać co najmniej jeden z następujących warunków:

• a. ws pierają podstawowe operacje biznesowe i kanały dystrybucji (np. bankomaty, bankowość internetowa i mobilna) instytucji;
• b. wspierają istotne procesy zarządzania i funkcje korporacyjne, w tym zarządzanie ryzykiem (np. systemy zarządzania ryzykiem i środkami pieniężnymi);
• c. podlegają specjalnym wymogom ustawowym i wykonawczym (jeżeli podlegają), które obejmują coraz większe wymogi w zakresie dostępności, odporności lub bezpieczeństwa (np. przepisy dotyczące ochrony danych lub możliwego „maksymalnego czasu wznowie nia funkcji” – maksymalnego czasu, w którym system lub proces musi zostać przywrócony po incydencie oraz akceptowalnego poziomu utraty danych – maksymalnego czasu, w którym dane mogą zostać utracone w przypadku incydentu) w przypadku niektórych ważnych usł ug systemowych (w stosownym przypadku);
• d. przetwarzają lub przechowują dane poufne lub chronione, do których nieupoważniony dostęp mógłby mieć znaczny wpływ na reputację instytucji, wyniki finansowe lub kondycję albo ciągłość działalności (np. bazy danych z wrażliwymi danymi klientów) oraz
• e. zapewniają podstawowe funkcje, które są kluczowe dla odpowiedniego funkcjonowania instytucji (np. usługi telekomunikacyjne i usługi łączności, usługi ICT i usługi bezpieczeństwa cybernetycznego).

3.2.3 Identyfikacja istotnych rodzajów ryzyka w odniesieniu do krytycznych systemów i usług ICT

Mając na uwadze przeprowadzone przeglądy profilu ryzyka ICT instytucji i krytycznych systemów i usług ICT powyżej, właściwe organy powinny wydać opinię na temat istotnych ryzyk ICT, które, z pe rspektywy nadzorczej, mogą mieć znaczny wpływ ostrożnościowy na krytyczne systemy i usługi ICT instytucji.

Podczas oceny potencjalnego wpływu ryzyka ICT na krytyczne systemy i usługi ICT instytucji, właściwe organy powinny uwzględnić:

• a. wpływ finansowy, w tym (lecz nie wyłącznie) utratę środków lub aktywów, potencjalne rekompensaty dla klientów, koszty prawne i koszty zaradcze, szkody umowne, utratę dochodów;
• b. potencjalne zakłócenia w prowadzeniu działalności, z uwzględnieniem (lecz nie wyłączn ie) krytyczności narażonych usług finansowych, liczby klientów lub oddziałów i pracowników potencjalnie narażonych;
• c. potencjalny wpływ na renomę instytucji na podstawie krytyczności narażonej obsługi bankowej lub działalności operacyjnej (np. kradzież danych klientów), profil zewnętrzny/eksponowanie narażonych systemów i usług ICT (np. systemy mobilne lub systemy bankowości internetowej, punkt sprzedaży, bankomaty lub systemy płatności);
• d. wpływ regulacyjny, w tym możliwość cenzury publicznej ze strony organu regulacyjnego, kar pieniężnych lub nawet zmiany pozwoleń.
• e. Strategiczny wpływ na instytucję, na przykład jeżeli produkt strategiczny lub plan biznesowy ulegną naruszeniu lub kradzieży.

Właściwe organy powinny zatem zakwalifikować stwierdzone ryzyka ICT, które są uznawane za istotne, do następujących kategorii ryzyka ICT, które zostały dodatkowo opisane i zilustrowane przykładami w Załączniku. Właściwe organy powinny określić w odniesieniu do rodzajów ryzyka ICT w Załączniku w ramach oceny na podstawie tytułu 3:

• a. Dostępność ICT oraz ryzyko dla ciągłości działania
• b. Ryzyko dla bezpieczeństwa ICT
• c. Ryzyko związane ze zmianą ICT
• d. Ryzyko związane z integralnością danych ICT
• e. Ryzyko związane z outsourcingiem ICT.

Celem kwalifikacji jest wsparcie właściwych organów w ustalaniu, które ryzyko jest istotne (jeżeli w ogóle), a tym samym powinno być przedmiotem dokładniejszego lub pogłębionego przeglądu na kolejnych etapach oceny.