| Kategorie Ryzyka ryzyka ICT (wykaz niewyczerpujący | ICT 10 ) | Opis ryzyka | Przykłady | |
| naprawy następstwie klęski Cyberataki charakterze zakłócającym destrukcyjnym | w o i | reagowania na incydent. Ataki przeprowadzane w różnym celu (np. aktywizm, szantaż), które prowadzą do przeciążenia systemu i sieci, uniemożliwiając dostęp do usług internetowych uprawnionym użytkownikom. | • | zapewni enia planowanej ciągłości usługi. Rozproszone ataki typu „odmowa usługi” są przeprowadzane za pomocą wielu systemów komputerowych w internecie pod kontrolą hakera, który wysyła znaczną ilość pozornie uprawnionych wniosków o usługę internetową (np. w bankowości elektronicznej). |
| Ryzyko Cyberataki związane z inne zewnętrzne bezpieczeństwe ataki ICT m ICT | lub | Ataki przeprowadzane z internetu lub poza siecią w różnych celach (np. oszustwa, szpiegostwa, aktywizmu/sabotażu, terroryzmu cybernetycznego) z zastosowaniem różnych technik (np. inżynierii społecznej, prób wtargnięcia z wykorzystaniem słabych punktów, rozpowszechnianiem złośliwego oprogramowania) prowadzących do przejęcia kontroli nad wewnętrznymi systemami ICT. Przeprowadzanie oszukańczych transakcji płatniczych przez hakerów w następstwie złamania lub obejścia zabezpieczeń bankowości elektronicznej lub usług płatniczych lub zaatakowania i wykorzystania słabych punktów zabezpieczeń w wewnętrznych systemach płatniczych instytucji. | Różne • • • • • • | rodzaje ataków: Zaawansowane, trwałe zagrożenie przejęciem kontroli nad systemami wewnętrznymi lub kradzież informacji (np. kradzież tożsamości, informacji dotyczących karty kredytowej). Złośliwe oprogramowanie (np. typu ransomware), które szyfruje dane w celu szantażowania. Zarażenie wewnętrznych systemów ICT wirusami typu koń trojański w celu przeprowadzenia złośliwych działań w systemie w ukryty sposób. Wykorzystanie słabych punktów systemu ICT lub aplikacji (internetowej) (np. wstrzyknięcie SQL itp.) w celu uzyskania dostępu do wewnętrznego systemu ICT. Ataki na bankowość elektroniczną lub usługi płatnicze w celu dokonania nieuprawnionych transakcji. Utworzenie i przesyłanie oszukańczych transakcji płatniczych w wewnętrznych systemach płatniczych instytucji (np. fałszywych wiadomości SWIFT). |
| Kategorie Ryzyka ryzyka ICT (wykaz niewyczerpujący | ICT 10 ) | Opis ryzyka Przeprowadzenie fałszywych transakcji na papierach wartościowych przez hakerów w następstwie złamania lub obejścia zabezpieczenia usług bankowości elektronicznej, które zapewnia również dostęp do rachunków inwestycyjnych klienta. Ataki na połączenia komunikacyjne i konwersacje wszelkiego typu lub systemy ICT w celu zgromadzenia informacji lub popełni enia oszustwa. | Przykłady • • | Ataki typu „pump and dump”, gdzie atakujący zyskują dostęp do rachunków inwestycyjnych klientów w bankowości elektronicznej i wystawiają fałszywe zlecenia kupna lub sprzedaży w celu wpłynięcia na cenę rynkową lub zyski rynkowe na podstawie wcześniej ustanowionych pozycji papierów wartościowych. Podsłuchiwanie/przechwycenie niechronionych transmisji uwierzytelnionych danych w formie zwykłego tekstu. |
| Nieodpowiednie zabezpieczenie wewnętrzne | ICT | Uzyskanie nieupoważnionego dostępu do krytycznych systemów ICT w instytucji do różnych celów (np. w celu popełnienia oszustwa, przeprowadzenia i ukrycia nieuczciwych działań handlowych, kradzieży danych, aktywizmu/sabotażu) za pomocą różnych technik (np. nadużycia lub przenoszenia przywilejów, kradzieży tożsamości, inżynierii społecznej, wykorzystania słabych punktów w systemach ICT, wprowadzenia złośliwego oprogramowania). Nieuprawnione manipulacje ICT w wyniku nieodpowiednich procedur i praktyk zarządzania dostępem ICT. | • • • • • | Instalacja programów rejestrujących naciśnięcie klawiszy w celu kradzieży tożsamości i haseł użytkowników i zdobycia nieuprawnionego dostępu do poufnych danych lub popełnienia przestępstwa. Złamanie/odgadnięcie słabych haseł w celu zyskania nielegalnych lub większych praw dostępu. Administrator systemu wykorzystuje systemy operacyjne lub funkcje bazy danych (do bezpośredniej modyfikacji bazy danych) do popełnienia przestęp stwa. Brak dezaktywowania lub usunięcia niepotrzebnych kont, np. kont pracowników, którzy zmienili stanowisko lub odeszli z instytucji, w tym kont dla gości lub dostawców, którzy nie potrzebują już dostępu, zapewniających nieuprawniony dostęp do systemów ICT. Przyznanie nadmiernych praw i przywilejów w zakresie dostępu umożliwiających nieuprawniony |
| Kategorie Ryzyka ryzyka ICT (wykaz niewyczerpujący | ICT 10 ) | Opis ryzyka Zagrożenia dla bezpieczeństwa wynikające z braku świadomości o zagrożenia, jeżeli pracownicy nie rozumieją, ignorują lub nie stosują strategii i procedur bezpieczeństwa ICT. Nieuprawnione przechowywanie lub przesyłanie danych poufnych poza instytucję. | Przykłady • • • • | dostęp lub ukrycie nieuczciwych działań. Pracownicy, którzy brali udział w ataku (tj. inżynieria społeczna). Złe praktyki dotyczące danych uwierzytelniających, udostępnianie haseł, używanie haseł łatwych do odgadnięcia, używanie tego samego hasła do różnych celów itp. Przechowywanie nieszyfrowanych danych poufnych w laptopach lub przenośnych urządzeniach do przechowywania danych (np. kluczach USB), które mogą zostać utracone lub skradzione. Osoby dokonujące kradzieży lub świadomego przecieku lub przemytu informacji poufnych na rzecz nieupoważnionych osób lub do wiadomości publicznej. |
| Nieodpowiednie fizyczne zabezpieczenie ICT | | Nieodpowiednie stosowanie lub kradzież aktywów ICT w drodze fizycznego dostępu powodującego szkody, utratę aktywów lub danych lub związane z innymi ewentualnymi zagrożeniami. Świadome lub przypadkowe uszkodzenie fizycznych aktyw ów ICT w wyniku aktu terroryzmu, wypadków lub niefortunnych/błędnych czynności ze strony pracowników instytucji lub osób trzecich (dostawców, serwisantów). Niedostateczna ochrona fizyczna przed klęskami żywiołowymi prowadząca do częściowego lub całkowitego zniszczenia systemów/centrów danych ICT w wyniku klęsk żywiołowych. | • • • • | Fizyczne włamanie budynków biurowych lub centrów danych w celu kradzieży sprzętu ICT (np. komputerów, laptopów, rozwiązań do przechowywania) lub kopiowanie danych w drodze fizycznego dostępu do systemów ICT. Fizyczne akty terroryzmu (np. bomby) lub sabotażu aktywów ICT. Zniszczenie centrum danych spowodowan e przez pożar, zalanie lub inne czynniki. Trzęsienia ziemi, ekstremalne upały, wichury, śnieżyce, powodzie, pożary, pioruny. |
| Ryzyko Nieodpowiednie | | Incydenty spowodowane niewykrytymi błędami lub | • | Przekazanie do produkcji niedostatecznie |
| Kategorie Ryzyka ryzyka ICT (wykaz niewyczerpujący | ICT 10 ) | Opis ryzyka | Przykłady | |
| związane ze kontrole zmianą ICT systemów rozwoju | zmian ICT i ICT | słabymi punktami w wyniku zmiany (np. nieprzewidziane skutki zmiany lub niedostateczne zarządzanie zmianą w wyniku braku testów lub nieprawidłowych praktyk z zakresu zarządzania zmianą) np. oprogramowania, systemów i danych ICT. | • • • • | przetestowanego oprogramowania lub zmiany w konfiguracji o nieoczekiwanie przeciwnych skutkach dla danych (np. uszkodzenie, usunięcie) lub wyników systemu ICT (awaria, spadek wydajności). Niekontrolowane zmiany systemów ICT lub danych w środowisku produkcyjnym. Przekazanie do produkcji źle zabezpieczonych systemó w ICT i aplikacji internetowych stwarzających szanse dla ataku hakerów na świadczone usługi internetowe lub złamanie wewnętrznych systemów ICT. Niekontrolowane zmiany w kodzie źródłowym wewnętrznie opracowanego oprogramowania. Niedostateczne przetestowanie w wyniku braku adekwatnego środowiska testowego. |
| Nieodpowiednia architektura | ICT | Słabe zarządzanie architekturą ICT na etapie projektowania, tworzenia i konserwacji systemów ICT (np. oprogramowanie, sprzęt, dane) może z czasem prowadzić do złożonych, trudnych i kosztownych pod względem zarządzania i sztywnych systemów ICT, które nie są odpowiednio dostosowane do potrzeb biznesowych i nie spełniają rzeczywistych wymogów w zakresie zarządzania ryzykiem. | • • | Nieodpowiednio zarządzane zmiany w systemach ICT, oprogramowaniu lub danych w dłuższym okresie, prowadzące do złożonych, niejednorodnych i trudnych do zarządzania systemów i struktur ICT, wywołujących wiele negatywnych skutków biznesowych i ryzyko dla zarządzania (np. brak elastyczności i sprawności, incydenty i awarie ICT, wysokie koszty operacyjne, osłabione bezpieczeństwo ICT oraz słabsza odporność, ograniczona jakość danych i słabsze zdolności w zakresie sprawozdawczości). Nadmierne dostosowanie do indywidualnych potrzeb i nadmierna rozbudowa komercyjny ch pakietów oprogramowania z programami opracowanymi wewnętrznie, prowadzące do |
| Kategorie Ryzyka ryzyka ICT (wykaz niewyczerpujący | ICT 10 ) | Opis ryzyka | Przykłady | niezdolności do wprowadzenia dalszych aktualizacji i modernizacji oprogramowania komercyjnego oraz ryzyka braku obsługi przez dystrybutora. |
| Nieodpowiedni cykl życia nieodpowiednie zarządzanie pakietami naprawczymi | i | Brak konserwacji i odpowiedniej inwentaryzacji wszystkich aktywów ICT wspierających i powiązanych z odpowiednimi praktykami zarządczymi w obszarze cyklu życia i pakietów naprawczych. Prowadzi to do niedostatecznego poziomu naprawy (a zatem większej słabości) przestarzałych systemów ICT, które mogą być niedostosowane do potrzeb biznesowych i potrzeb związanych z zarządzaniem ryzykiem. | • | Przestarzałe i nienaprawiane systemy ICT mogą wywoływać niekorzystne skutki biznesowe i skutki w obszarze zarządzania ryzykiem (np. brak elastyczności i sprawności, przestoje ICT, gorsze bezpieczeństwo ICT i gorsza odporność). |
| Ryzyko Nieprawidłowe związane z przetwarzanie integralnością danych danych ICT posługiwanie tymi danymi | ICT lub się | Ze względu na błędy lub awarie systemu, komunikacji lub stosowania, albo też błędnie przeprowadzone procesy ekstrakcji, transferu i wprowadzenia dane mogą ulec zniszczeniu lub utracie. | • • • | Błąd systemu informatycznego podczas przetwarzania pakietu naprawczego prowadzący do nieprawidłowego salda na rachunkach bankowych klientów. Nieprawidłowo wykonane zlecenia. Utrata danych w wyniku błędu powielania danych (tworzenia kopii zapasowej). |
| Nieprawidłowo zaprojektowane kontrole zatwierdzania danych systemach | w ICT | Błędy dotyczące braku lub nieskutecznych kontroli automatycznego wprowadzania i akceptacji danych (np. w przypadku używanych danych osób trzecich), transferów danych, kontroli przetwarzania i wyprowadzania danych w systemach ICT (np. kontrole zatwierdzania wprowadzania, uzgodnienia danych). | • • • • | Niedostateczne lub nieważne formatowanie/zatwierdzanie danych wprowadzanych do aplikacji lub interfejsów użytkowników. Brak kontroli uzgadniania danych w odniesieniu do osiągniętych wyników Brak kontroli przeprowadzonych procesów ekstrakcji danych (np. wyszukiwań w bazie danych) prowadzących do błędnych danych. Używanie fałszywych danych zewnętrznych. |
| Nieprawidłowa kontrola | zmian | Błędne dane wprowadzone w wyniku braku kontroli poprawności i uzasadnionego charakteru czynności | • | Programiści lub administratorzy baz danych mający bezpośredni dostęp do danych i zmieniający dane w |
| Kategorie Ryzyka ryzyka ICT (wykaz niewyczerpujący | ICT 10 ) | Opis ryzyka | Przykłady | |
| danych systemach produkcji Źle zaprojektowane lub zarządzane przepływy danych, danych, danych architektura danych Ryzyko Nieodpowiednia związane z odporność outsourcingiem osoby trzeciej ICT innej jednostki grupy Nieodpowiednie zarządzanie outsourcingiem | w ICT. modele słowniki lub usług lub | przeprowadzanych na danych w ramach produkcji systemów ICT Źle zarządzane architektury danych, modele danych, przepływy danych lub słowniki danych mogą prowadzić do wielu wersji tych samych danych w systemach ICT, które nie są już spójne w wyniku odmiennie stosowanych modelów danych lub definicji danych oraz różnic w generowaniu i procesie zmiany danych podstawowych. Brak dostępności krytycznych usług ICT, usług telekomunikacyjnych i mediów podlegających outsourcingowi. Utrata lub zniszczenie danych krytycznych/wrażliwych powierzonych usługodawcy Poważne pogorszenie usługi lub brak usługi w następstwie niedostatecznego przygotowania lub procesów kontroli dostawcy usługi objętej outsourcingiem. Nieskuteczne zarządzanie outsourcingiem może prowadzić do braku odpowiednich umiejętności i zdolności do pełnej identyfikacji, oceny, ograniczenia i monitorowania ryzyka ICT oraz może ograniczać zdolności operacyjne instytucji. | • • • • • • | systemach produkcji ICT w niekontrolowany sposób, np. w przypadku incydentu ICT. Wyst ępowanie różnych baz danych klientów w podziale na produkt lub jednostkę biznesową z różnymi definicjami i polami danych, prowadzące do nieuzgodnionych i trudnych do porównania i integracji danych klientów na poziomie całej instytucji finansowej lub grupy. Niedostępność kluczowych usług w wyniku awarii systemów lub aplikacji ICT (objętych outsourcingiem). Zerwanie łączy telekomunikacyjnych. Przerwy w dostawie prądu. Niedostateczne procedury reagowania na incydenty, umowne mechanizmy kontroli i gwarancje wynikające z umowy z usługodawcą, które zwiększają zasadniczą zależność od osób trzecich lub dystrybutorów. Nieodpowiednie kontrole zarządzania zmianą dotyczące środowiska dostawcy usług ICT mogą prowadzić do znacznego pogorszenia usługi lub jej braku. |
| Nieodpowiednie zabezpieczenie osoby trzeciej innej jednostki | lub | Hakerstwo systemów ICT osoby trzeciej będącej usługodawcą z bezpośrednim wpływem na usługi objęte outsourcingiem lub dane krytyczne/poufne przechowywane przez usługodawcę. | • | Hakerstwo usługodawców przez przestępców lub terrorystów jako punktu wejścia do systemów ICT instytucji w celu uzyskania dostępu do danych krytyc znych/wrażliwych przechowywanych przez |
| Kategorie Ryzyka ryzyka ICT (wykaz niewyczerpujący | ICT 10 ) | Opis ryzyka | Przykłady | |
| grupy | | Pracownicy u sługodawcy posiadający nieuprawniony dostęp do danych krytycznych/wrażliwych przechowywanych przez usługodawcę | • | usługodawcę lub ich zniszczenia. Złośliwe aplikacje po stronie usługodawcy próbujące dokonać kradzieży i sprzedaży danych wrażliwych. |