184. W odniesieniu do ryzyka związanego z technologiami i bezpieczeństwem ICT właściwe organy …

W odniesieniu do ryzyka związanego z technologiami i bezpieczeństwem ICT⁵⁵ właściwe organy powinny upewnić się, że ramy zarządzania zapewnią skuteczne, niezawodne i bezpieczne funkcjonowanie systemów informacyjno- komunikacyjnych wspierających działalność instytucji kredytowych, a także odpowiednie zapobieganie ryzyku związanemu z ICT w normalnych warunkach i w warunkach skrajnych oraz monitorowanie i ograniczanie tego ryzyka . Właściwe organy powinny w szczególności ocenić:

• a) czy organ zarządzający ponosi ogólną odpowiedzialność za ustalenie, zatwierdzenie i nadzorowanie realizacji strategii ICT przez instytucje finansowe w ramach ich ogólnej strategii biznesowej;
• b) czy jasno określono i przypisano najważniejsze role i obowiązki oraz stosowną hierarchię służbową w celu zapewnienia skuteczności ram zarządzania ryzykiem związanym z technologiami i bezpieczeństwem ICT, w tym zapewniono odpowiedni budżet w celu odpowiedniego wsparcia potrzeb operacyjnych ICT oraz zarządzania ryzykiem związanym z technologiami i bezpieczeństwem ICT;
• c) czy zarządzanie ryzykiem związanym z technologiami i bezpie czeństwem ICT oraz nadzór nad nim powierzono niezależnej i obiektywnej funkcji kontrolnej, odpowiednio oddzielonej od procesów operacyjnych ICT i nieodpowiadającej za audyt wewnętrzny, oraz niezależnej komórce audytu wewnętrznego;
• d) rozwiązania zapewniające określenie, ustanowienie i utrzymanie zaktualizowanego schematu funkcji biznesowych, ról i procesów pomocniczych w celu określenia znaczenia każdej i każdego z nich oraz zależności między nimi w związku z ryzykiem związanym z technologiami i bezpieczeństwem ICT;
• e) w zakresie, w jakim informacje są przechowywane w systemach ICT, czy zostaną ustanowione wymogi dotyczące bezpieczeństwa informacji;
• f) skalę i stopień złożoności oraz znaczenie zależności związanych z ICT, jeżeli przewiduje się outsourcing funkcji ope racyjnych usług ICT i jakiejkolwiek działalności systemów ICT – w tym do podmiotów z grupy – lub korzystanie z usług osób trzecich w odniesieniu do takich funkcji i działalności.

⁵⁵ Zgodnie z definicją zawartą w wytycznych EUNB w sprawie zarządzania ryzykiem związanym z technologiami i bezpieczeństwem ICT „ryzyko związane z technologiami i bezpieczeństwem ICT” oznacza: „[r]yzyko strat wynikające z naruszenia poufności, nieprzestrzegania integralności systemów i danych, nieodpowiedniości lub niedostępności systemów i danych, lub też niezdolności do zmiany technologii informacyjnej w rozsądnym czasie i przy uwzględnie niu rozsądnych kosztów w przypadku zmiany wymogów w zakresie otoczenia lub prowadzenia działalności gospodarczej (tj. elastyczność). Obejmuje to ryzyko związane z bezpieczeństwem ICT wynikające z nieodpowiednich lub niepomyślnie zrealizowanych procesów wew nętrznych lub zdarzeń zewnętrznych, w tym cyberataków lub nieodpowiedniego zabezpieczenia fizycznego”.

1. Przegląd

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane normy

2. Zidentyfikowane wymagania

3. Powiązane normy

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/