54. Na potrzeby tej oceny właściwe organy powinny przede wszystkim uwzględnić, czy ramy: a. …

Na potrzeby tej oceny właściwe organy powinny przede wszystkim uwzględnić, czy ramy:

• a. określają krytyczne procesy ICT i odpowiednie systemy wsparcia ICT, które powinny być częścią planów odporności biznesowej i ciągłości wraz:
• i. ze szczegółową analizą zależności między krytycznymi procesami biznesowymi i systemami wsparcia;
• ii. z określeniem celów związanych z odzyskiwaniem w celu wspierania systemów ICT (np. typowo określonych przez przedsiębiorstwo lub uregulowania w obszarze maksymalnego czasu wznowienia funkcji i akceptowalnego poziomu utraty danych);
• iii. z odpowiednim planowaniem awaryjnym, aby umożliwić dostępność, ciągłość i odzyskiwanie krytycznych systemów i usług ICT w celu minimalizacji zakłóceń w operacjach instytucji w akceptowalnych granicach;
• b. obejmują strategie i normy odporności biznesowej oraz kontroli ciągłości, a także kontrole operacyjne, które uwzględniają:
• i. działania mające na celu uniknięcie sytuacji, w której pojedynczy scenariusz, incydent lub klęska mogą mieć wpływ zarówno na systemy produkcji, jak i odzyskiwania ICT;
• ii. procedury tworzenia kopii zapasowych i odzyskiwania systemu ICT w odniesieniu do krytycznych programów i danych, które zapewniają przechowywanie kopii zapasowych w bezpiecznej i dostatecznie oddalonej lokalizacji, aby incydent lub klęska nie mogły zniszczyć lub naruszyć tych krytycznych danych;
• iii. rozwiązania z zakresu monitorowania do terminowego wykrywania incydentów dotyczących dostępności lub ciągłości ICT;
• iv. udokumentowany proces zarządzania incydentami i przekazywania spraw na wyższy poziom kompetencji, który obejmuje również wytyczne dotyczące różnych ról i obowiązków związanych z zarządzaniem incydentami i przekazywaniem spraw na wyższy poziom kompetencji, członków komitetu(- ów) kryzysowego( - ych) i łańcuch zamówień w sytuacji awaryjnej;
• v. działania fizyczne mające na celu ochronę krytycznej infrastruktury ICT instytucji (np. centrów danych) od ryzyka związanego ze środowiskiem (np. ryzyka powodzi lub innych klęsk żywiołowych) oraz zapewnienie odpowiedniego środowiska operacyjnego dla systemów ICT (np. klimatyzacji);
• vi. procesy, role i obowiązki, aby zapewnić, że również systemy i usługi ICT z outsourcingu są objęte odpowiednimi planami i rozwiązaniami z zakresu odporności biznesowej i ciągłości;
• vii. rozwiązania z zakresu planowania i monitorowania wyników i możliwości krytycznych systemów i usług ICT z określonymi wymogami w obszarze dostępności w celu wykrywania ważnych ograniczeń związanych z wynikami i możliwościami w odpowiednim czasie;
• viii. rozwiązania w celu ochrony krytycznych działań lub usług internetowych (np. usług bankowości elektronicznej), w razie potrzeby i w stosownym przypadku, przed zablokowaniem usługi lub innymi cyberatakami z internetu, których celem jest uniemożliwienie lub utrudnienie dostępu do tych działań i usług;
• c. rozwiązania z zakresu testowania dostępności i ciągłości ICT w kontekście szeregu realistycznych scenariuszy obejmujących cyberataki, testy awarii i testy kopii zapasowych w odniesieniu do krytycznych programów i danych, które:
• i. są zaplanowane, sformalizowane i udokumentowane, a wyniki testów wykorzystywane do poprawy skuteczności rozwiązań z zakresu dostępności i ciągłości ICT;
• ii. obejmują zainteresowane strony i funkcje w organizacjach, takie jak zarządzanie linią biznesową włącznie z ciągłością działalności, zespoły reagowania na incydenty i kryzysu, a także odpowiednie zainteresowane podmioty zewnętrzne w ekosystemie;
• iii. organ zarządzający i kierownictwo wyższego szczebla są odpowiednio zaangażowani (np. jako członkowie zespołów zarządzania kryzysowego) i otrzymują informacje o wynikach testów.
• (b) Kontrole na potrzeby zarządzania istotnym ryzykiem związanym z bezpieczeństwem ICT

1. Przegląd

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane normy

2. Zidentyfikowane wymagania

3. Powiązane normy

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/