55. Właściwe organy powinny ocenić, czy instytucja stworzyła skuteczne ramy identyfikowania …

Właściwe organy powinny ocenić, czy instytucja stworzyła skuteczne ramy identyfikowania, zrozumienia, pomiaru i ograniczania ryzyka związanego z bezpieczeństwem ICT. W ocenie tej właściwe organy powinny przede wszystkim uwzględnić, czy ramy obejmują:

• a. jasn o określone role i obowiązki w odniesieniu do:
• i. osoby(osób) lub komitetów, które są odpowiedzialne za codzienne zarządzanie bezpieczeństwem ICT i za opracowywanie dalekosiężnych strategii bezpieczeństwa ICT oraz są z tego rozliczane, ze uwzględnieniem ich koniecznej niezależności;
• ii. projektu, wdrażania, monitorowania kontroli bezpieczeństwa ICT oraz zarządzania nimi;
• iii. ochrony krytycznych systemów i usług ICT przez przyjęcie przykładu procesu oceny podatności, zarządzania pakietem naprawczym programów, ochrony punktu końcowego (np. złośliwe oprogramowanie), narzędzi wykrywania wtargnięć i zapobiegania im;
• iv. monitorowania, klasyfikacji i obsługi zewnętrznych bądź wewnętrznych incydentów związanych z bezpieczeństwem ICT, włącznie z reagowaniem na incydenty oraz wzn owieniem i odzyskiwaniem systemów i usług ICT;
• v. regularne i proaktywne oceny zagrożeń w celu utrzymania odpowiednich kontroli bezpieczeństwa;
• b. strategię bezpieczeństwa ICT, która uwzględnia i, w stosownym przypadku, uruchamia międzynarodowo uznane normy bezpieczeństwa ICT oraz zasady bezpieczeństwa (np. zasadę najmniejszego uprzywilejowania, tj. ograniczenie dostępu do minimalnego poziomu, który umożliwia normalne funkcjonowanie na potrzeby zarządzania prawem dostępu, oraz zasadę ochrony w głąb, tj. warstwowych mechanizmów bezpieczeństwa, które zwiększają bezpieczeństwo całego systemu na potrzeby zaprojektowania architektury bezpieczeństwa);
• c. proces identyfikacji systemów, usług i dostosowanych wymogów z obszaru bezpieczeństwa odzwierciedlających potencjalne ryzyko oszustw lub ewentualnych możliwych przypadków niewłaściwego stosowania lub nadużyć danych poufnych wraz z udokumentowanymi oczekiwaniami w zakresie bezpieczeństwa, które należy przyjąć w odniesieniu do tych zidentyfikowanych systemów, usług i danych ICT, dostosowanymi do tolerancji ryzyka instytucji i monitorowanymi w celu prawidłowego wdrożenia;
• d. udokumentowany proces zarządzania incydentami w zakresie i przekazywania spraw na wyższy poziom kompetencji, który obejmuje wytyczne dotyczące różnych ról i obowiązków związanych z zarządzaniem incydentami i przekazywaniem spraw na wyższy poziom kompetencji, członków komitetu(- ów) kryzysowego( - ych) i łańcuch zamówień w sytuacjach awaryjnych dotyczących bezpieczeństwa;
• e. rejestrowania użytkowników i działalności administracyjnej w celu umożliwienia skutecznego monitorowania oraz terminowego wykrywania nieupoważnionej działalności i reagowania na nią, wspomagania lub przeprowadzania dochodzeń karnych w związku z incydentami dotyczącymi bezpieczeństwa. Instytucja powinna wprowadzić strategie rejestrowania określające odpowiednie typy logów, które należy utrzymać oraz ich okres zatrzymania;
• f. kampanie uświadamiające i informacyjne lub inicjatywy służące informowaniu wszystkich szczebli w instytucji o bezpiecznym korzystaniu i ochronie systemów ICT instytucji oraz głównych rodzajów ryzyka związanych z bezpieczeństwem ICT, które powinni znać, zwłaszcza jeżeli chodzi o istniejące i zmieniające się zagrożenia cybernetyczne (np. wirusy komputerowe, możliwe nadużycia wewnętrzne lub zewnętrzne, ataki, cyberataki) oraz ich rola w ograniczaniu przypadków łamania zasad bezpieczeństwa;
• g. odpowiednie fizyczne środki bezpieczeństwa (np. telewizja przemysłowa, alarmy przeciwwłamaniowe, drzwi ochronne) w celu zapobiegania przypadkom nieupoważnionego dostępu do krytycznych i wrażliwych systemów ICT;
• h. działania mające na celu ochronę systemów ICT przed atakami z internetu (tj. cyberatakami) lub innymi zewnętrznymi sieciami (np. tradycyjne połączenia telekomunikacyjne lub połączenia z zaufany mi partnerami). Właściwe organy powinny sprawdzić, czy ramy instytucji uwzględniają:
• i. proces i rozwiązania mające na celu utrzymanie kompletnego i aktualnego inwentarza i przeglądu wszystkich zewnętrznych punktów połączenia z siecią (np. witryn internetowych, aplikacji internetowych, WIFI, dostępu zdalnego), za pomocą których strony trzecie mogłyby włamać się do wewnętrznych systemów ICT.
• ii. ściśle zarządzane i monitorowane środki bezpieczeństwa (np. zapory sieciowe, serwery proxy, przekaźniki poczty, antywirusy i skanery treści) w celu zabezpieczenia przepływu przychodzącego i wychodzącego w sieci (np. e - maili) oraz połączeń sieciowych zewnętrznych, za pomocą których osoby trzecie mogą włamać się do wewnętrznych systemów ICT;
• iii. procesy i rozwiązania mające na celu zabezpieczenie witryn i aplikacji, które mogą być przedmiotem bezpośrednich ataków z internetu/z zewnątrz u służyć jako punkty wejścia do systemów wewnętrznych ICT. W ujęciu ogólnym obejmuje to połączenie uznanych praktyk bezpiecznego rozwoju, praktyk usprawnienia systemu ICT i monitorowania podatności, a także wdrożenie dodatkowych rozwiązań w dziedzinie bezpieczeństwa, takich jak na przykład stosowanie zapór systemowych lub systemów wykrywania włamania lub zapobiegania włamaniu (IPS);
• iv. okresowe testy zabezpieczenia przed przenikaniem w celu oceny skuteczności wdrożonych środków i procesów z zakresu cybernetycznego i wewnętrznego bezpieczeństwa ICT. Testy te powinni przeprowadzać pracownicy i eksperci zewnętrzni z niezbędnym doświadczeniem, wraz z udokumentowanymi wynikami testów oraz wnioskami przekazanymi kierownictwu wyższego szczebla lub organowi zarządzającemu . W razie potrzeby i w stosownym przypadku instytucja powinna wywnioskować z wspomnianych testów, gdzie należy poprawić kontrole i procesy bezpieczeństwa oraz uzyskać lepszą gwarancję ich skuteczności.
• (c) Kontrole na potrzeby zarządzania istotnym ryzykiem związanym ze zmianą ICT

1. Przegląd

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane normy

2. Zidentyfikowane wymagania

3. Powiązane normy

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/