54. Para esta avaliação, as autoridades competentes devem ter em consideração, em particular, se a …

Para esta avaliação, as autoridades competentes devem ter em consideração, em particular, se a estrutura:

• a. identifica os processos de TIC críticos e os sistemas de TIC de apoio relevantes que devem fazer parte dos planos de resiliência e continuidade do negócio com:
• i. uma análise detalhada das dependências entre os processos de negócio críticos e os sistemas de suporte;
• ii. a determinação de objetivos de recuperação para os sistemas de TIC de suporte (por exemplo, tipicamente determinados pela empresa e/ou regulamentações em termos de RTO e RPO);
• iii. um plano de contingência apropriado para permitir a disponibilidade, a continuidade e a recuperação de sistemas e serviços de TIC críticos por forma a minimizar a perturbação das operações da instituição dentro de limites aceitáveis.
• b. demonstra a resiliência do negócio e possui políticas e normas referentes ao ambiente de controlo da continuidade e controlos operacionais que incluem:
• i. medidas para evitar que um único cenário, incidente ou catástrofe possa ter impacto nos sistemas de produção e recuperação das TIC;
• ii. procedimentos de salvaguarda e recuperação do sistema de TIC para software e dados críticos que garantam que as cópias de salvaguarda sejam guardadas num local seguro e suficientemente remoto para que um incidente ou uma catástrofe não destruam ou corrompam estes dados críticos;
• iii. soluções de monitorização para a deteção atempada de incidentes de disponibilidade ou continuidade das TIC;
• iv. um processo documentado de gestão de incidentes e escalonamento, que também forneça orientações sobre os diferentes papéis e responsabilidades ao nível da gestão de incidentes e escalonamento, os membros dos comités de crise e a cadeia de comando em caso de emergência;
• v. medidas físicas para proteger a infraestrutura de TIC crítica da instituição (como centros de dados) de riscos ambientais (como cheias e outras catástrofes naturais) e assegurar um ambiente operacional apropriado para sistemas de TIC (como ar condicionado);
• vi. processos, papéis e responsabilidades para garantir que os sistemas e serviços de TIC contratados externamente estão igualmente abrangidos pelas soluções e planos de resiliência e continuidade do negócio;
• vii. soluções de planeamento e monitorização do desempenho e da capacidade das TIC para sistemas e serviços de TIC críticos com requisitos de disponibilidade definidos, para deteção de restrições importantes a nível de desempenho e capacidade atempadamente;
• viii. soluções para proteger atividades ou serviços críticos na Internet (como serviços de banca eletrónica), quando necessário e apropriado, contra a negação de serviço e outros ciberataques provenientes da Internet, com o objetivo de impedirem ou perturbarem o acesso a estas atividades e serviços.
• c. testa soluções de disponibilidade e continuidade das TIC face a um conjunto de cenários realistas incluindo ciberataques, testes a falhas e testes de cópias de salvaguarda para software e dados críticos que:
• i. são planeados, formalizados e documentados, sendo os resultados dos testes utilizados para reforçar a eficácia das soluções de disponibilidade e continuidade das TIC;
• ii. incluem partes interessadas e funções dentro da organização, como gestão de linhas de produtos incluindo equipas de continuidade do negócio e de resposta a incidentes e crises, bem como partes interessadas externas relevantes no ecossistema;
• iii. a direção de topo e o órgão de administração estão devidamente envolvidos no processo (como parte das equipas de gestão de crises) e são informados sobre os resultados dos testes.
• (b) Controlos para a gestão de riscos de segurança das TIC significativos

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

3. Normas relacionadas

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.