55. As autoridades competentes devem avaliar se a instituição implementou uma estrutura eficaz para …

As autoridades competentes devem avaliar se a instituição implementou uma estrutura eficaz para identificar, compreender, medir e mitigar os riscos de segurança das TIC. Para esta avaliação, as autoridades competentes devem ter em consideração, em particular, se a estrutura tem em conta:

• a. papéis e responsabilidades claramente definidos no que se refere a:
• i. pessoas e/ou comités que são encarregados e/ou responsáveis pela gestão diária da segurança das TIC e pela elaboração das políticas de segurança globais de TIC, tendo em especial atenção a sua necessária independência;
• ii. conceção, implementação, gestão e monitorização dos controlos de segurança das TIC;
• iii. proteção de sistemas e serviços de TIC críticos através da adoção, por exemplo, de um processo de avaliação da vulnerabilidades, gestão de correções de segurança de software , proteção de pontos terminais (nomeadamente, vírus malware ), deteção de intrusão e ferramentas de prevenção;
• iv. monitorização, classificação e tratamento de incidentes de segurança das TIC externos ou internos, incluindo a resposta a incidentes e o restabelecimento e recuperação dos sistemas e serviços de TIC;
• v. avaliações regulares e pró-ativas de ameaças para manutenção de controlos de segurança apropriados.
• b. uma política de segurança de TIC que tenha em consideração e, quando apropriado, siga as normas de segurança de TIC e os princípios de segurança reconhecidos internacionalmente (como o «princípio dos privilégios mínimos», ou seja, limitando o acesso ao nível mínimo que permite o normal funcionamento para a gestão de direitos de acesso, e o princípio de «defesa em profundidade», i.e. , mecanismos de segurança por camadas visando aumentar a segurança do sistema como um todo para a criação de uma arquitetura de segurança);
• c. um processo para identificar sistemas, serviços e requisitos de segurança das TIC compatíveis que reflitam o potencial risco de fraude e/ou possíveis utilizações indevidas e/ou abusos de dados confidenciais, juntamente com expectativas de segurança documentadas que devem ser seguidos para os sistemas, serviços e dados das TIC identificados, em conformidade com a tolerância ao risco da instituição, e monitorizados quanto à sua correta implementação;
• d. um processo documentado de gestão de incidentes de segurança e escalonamento, que forneça orientações sobre os diferentes papéis e responsabilidades a nível da gestão de incidentes e escalonamento, os membros do(s) comité(s) de crise e a cadeia de comando em caso de emergências de segurança;
• e. um registo das atividades dos utilizadores e dos administradores para permitir uma monitorização eficaz e a deteção e resposta atempadas a atividades não autorizadas; para apoiar ou realizar investigações forenses de incidentes de segurança. A instituição deve ter em vigor políticas de registo que definam os tipos indicados de registo que devem ser mantidos e o respetivo período de retenção;
• f. campanhas ou iniciativas de sensibilização e informação para informar todos os níveis da instituição sobre a utilização segura e a proteção dos sistemas de TIC da instituição e os principais riscos de segurança (e outros) das TIC dos quais devem estar cientes, em particular no que se refere a ciberameaças existentes e emergentes (como vírus informáticos, possíveis abusos ou ataques internos ou externos, ciberataques) e a sua função na mitigação das falhas de segurança;
• g. medidas de segurança física adequadas (como CCTV, alarme anti-roubo, portas de segurança) para prevenção de acesso físico não autorizado a sistemas de TIC críticos e sensíveis (como centros de dados);
• h. medidas para proteger os sistemas de TIC de ataques via Internet ( i.e. , ciberataques) ou outras redes externas (como ligações tradicionais de telecomunicações ou ligações a parceiros fidedignos). As autoridades competentes devem analisar se a estrutura da instituição tem em consideração:
• i. um processo e soluções para manter um inventário completo e atualizado e uma descrição de todos os pontos de ligação de rede virados para o exterior (como websites , aplicações da Internet, redes sem fios, acesso remoto) através dos quais terceiros possam entrar nos sistemas de TIC internos;
• ii. medidas de segurança rigorosamente geridas e monitorizadas (como firewalls , servidores proxy , retransmissores de correio, detetores antivírus e de conteúdo) para proteger o tráfego de rede recebido e enviado (por exemplo, e-mail) e as ligações de rede viradas para
• o exterior através das quais terceiros possam entrar nos sistemas de TIC internos;
• iii. processos e soluções para proteger websites e aplicações que possam ser atacados diretamente a partir da Internet e/ou do exterior, podendo servir de ponto de entrada nos sistemas de TIC internos. Em geral, incluem um conjunto de práticas de desenvolvimento seguras reconhecidas, proteção do sistema de TIC e práticas de deteção de vulnerabilidades e/ou a implementação de soluções de segurança adicionais como, por exemplo, firewalls de aplicações e/ou sistemas de deteção de intrusão (IDS) e/ou de prevenção de intrusão (IPS);
• iv. testes de penetração de segurança periódicos para avaliar a eficácia da implementação de medidas e processos de cibersegurança e de segurança interna das TIC. Estes testes devem ser realizados por funcionários e/ou peritos externos com as competências necessárias, com resultados de testes documentados e conclusões reportadas à direção de topo e/ou ao órgão de administração. Quando necessário e aplicável, a instituição deve ter conhecimento destes testes para melhorar os controlos e processos de segurança e/ou para obter mais garantias da sua eficácia.
• (c) Controlos para a gestão de riscos de alteração das TIC significativos

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

3. Normas relacionadas

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.