39. Podczas przeglądu profilu ryzyka ICT instytucji właściwe organy powinny rozważyć wszelkie …

Podczas przeglądu profilu ryzyka ICT instytucji właściwe organy powinny rozważyć wszelkie odpowiednie informacje na temat ekspozycji instytucji na ryzyko ICT, w tym informacje, o których mowa w ust. 37 i stwierdzone poważne niedociągnięcia lub słabości w organizacji ICT i kontrolach obejmujących całą instytucję na podstawie tytułu 2 niniejszych wytycznych, a w stosownym przypadku, przegląd tych informacji w proporcjonalny sposób. W ramach przeglądu właściwe organy powinny rozważyć:

• a. potencjalny wpływ znacznych zakłóceń systemów ICT instytucji na system finansowy, zarówno na szczeblu krajowym, jak i międzynarodowym;
• b. czy instytucja może być przedmiotem ryzyka bezpieczeństwa ICT lub ryzyka związanego z dostępnością i ciągłością ICT w wyniku zależności internetowych, wysokiego poziomu przyjętych innowacyjnych rozwiązań ICT lub innych biznesowych kanałów dystrybucji, które mogą uczynić z niej bardziej prawdopodobny cel cyberataków;
• c. czy instytucja może być bardziej narażona na ryzyko bezpieczeństwa ICT, ryzyko związane z dostępnością i ciągłością, ryzyko związane z integralnością danych ICT lub ryzyko związane ze zmianą ICT ze względu na kompleksowość (np. w wyniku fuzji lub przejęć) lub przestarzałość systemów ICT;
• d. czy instytucja wprowadza istotne zmiany do swoich systemów ICT lub komórki ICT (np. w wyniku fuzji, przejęć, zbycia lub przemieszczenia swoich kluczowych systemów ICT), co może mieć negatywny wpływ na stabilność lub prawidłowe funkcjonowanie systemów ICT i może prowadzić do istotnego ryzyka związanego z dostępnością i ciągłością ICT, ryzyka bezpieczeństwa ICT, ryzyka związanego ze zmianą ICT lub ryzyka związanego z integralnością danych ICT;
• e. czy instytucja korzystała z outsourcingu usług ICT lub systemów ICT w ramach grupy lub poza nią, przez co mogła być narażona na istotne ryzyko związane z outsourcingiem ICT;
• f. czy instytucja wdraża agresywne środki mające na celu ograniczenie kosztów ICT, które może prowadzić do ograniczenia koniecznych inwestycji w ICT, zasobów i wiedzy fachowej w dziedzinie informatyki i może zwiększyć ekspozycję na wszystkie rodzaje ryzyka ICT w taksonomii;
• g. czy lokalizacja ważnych operacji/centrów danych ICT (np. regiony, kraje) może narażać instytucje na klęski żywiołowe (np. powodzie, trzęsienia ziemi), niestabilność polityczną lub konflikty pracownicze i niepokoje społeczne, które mogą prowadzić do istotnego w zrostu ryzyka związanego z dostępnością i ciągłością ICT oraz ryzyka bezpieczeństwa ICT.

3.2.2 Przegląd krytycznych systemów i usług ICT

1. Przegląd

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane normy

2. Zidentyfikowane wymagania

3. Powiązane normy

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/