3.3 Avaliação dos controlos para reduzir os riscos de TIC significativos

Para avaliaram a exposição a riscos de TIC residuais da instituição, as autoridades competentes devem rever a forma como a instituição identifica, monitoriza, avalia e mitiga os riscos significativos identificados pelas autoridades competentes na avaliação supramencionada.

Para o efeito, para os riscos de TIC significativos identificados, as autoridades competentes devem rever os elementos aplicáveis:

• a. política de gestão de risco, processos e limiares de tolerância ao risco de TIC;
• b. gestão organizacional e estrutura de supervisão;
• c. cobertura e conclusões da auditoria interna; e
• d. controlos de risco de TIC específicos para o risco de TIC significativo identificado.

A avaliação deve ter em conta o resultado da análise da estrutura global de gestão de risco e controlo interno tal como referido no Título 5 das Orientações da EBA relativas ao SREP, assim como o governo e a estratégia da instituição abordados no Título 2 das presentes orientações, uma vez que as deficiências significativas identificadas nestas áreas podem ter influência na capacidade da instituição gerir e mitigar as respetivas exposições a riscos de TIC. Quando relevante, as autoridades competentes devem também utilizar as fontes de informação referidas no n.º 37 das presentes orientações.

As autoridades competentes devem executar os seguintes procedimentos de avaliação de uma forma que seja proporcional à natureza, à escala e à complexidade das atividades da instituição e através da aplicação de uma revisão de supervisão apropriada ao perfil de risco de TIC da instituição. 3.3.1 Política de gestão de risco, processos e limiares de tolerância ao risco de TIC

As autoridades competentes devem rever se a instituição possui políticas de gestão de risco, processos e limiares de tolerância adequados em vigor para os riscos de TIC significativos identificados. Estes podem fazer parte de uma estrutura de gestão de risco operacional ou constituírem um documento separado. Para esta avaliação, as autoridades competentes devem ter em consideração se:

• a. a política de gestão de risco está formalizada e foi aprovada pelo órgão de administração e contém orientações suficientes sobre a apetência pelo risco de TIC da instituição e sobre os principais objetivos de gestão de risco de TIC pretendidos e/ou os limiares de tolerância ao risco de TIC aplicados. A política de gestão de risco de TIC pertinente deve ser igualmente comunicada a todas as partes interessadas relevantes;
• b. a política aplicável abrange todos os elementos importantes para a gestão de risco referente aos riscos de TIC significativos identificados;
• c. a instituição implementou um processo e os procedimentos subjacentes para a identificação (por exemplo, «autoavaliações de controlo do risco » (RCSA), análise de cenários de risco) e a monitorização dos riscos de TIC significativos envolvidos; e
• d. a instituição tem em vigor reportes de gestão de risco de TIC que fornecem informações atempadas à direção de topo e ao órgão de administração e que permitem que a direção de topo e/ou órgão de administração avalie e monitorize se os planos e medidas de mitigação de risco de TIC da instituição são consistentes com a apetência pelo risco e/ou os limiares de tolerância aprovados (quando relevante) e monitorize também as alterações de riscos de TIC significativos.

3.3.2 Gestão organizacional e estrutura de supervisão

As autoridades competentes devem avaliar a forma como os papéis e responsabilidades a nível da gestão de riscos aplicáveis estão incluídas e integradas na organização interna para gerir e controlar os riscos de TIC significativos identificados. A este respeito, as autoridades competentes devem avaliar se a instituição demonstra:

• a. possuir papéis e responsabilidades claras para a identificação, avaliação, monitorização, mitigação, reporte e supervisão dos riscos de TIC significativos envolvidos;
• b. que as responsabilidades e papéis relativos aos riscos são comunicados, atribuídos e integrados de forma explícita em todos os setores (por exemplo, segmentos de atividade, TI) e processos relevantes da organização, incluindo os papéis e responsabilidades para reunir e agregar a informação sobre os riscos e reportá-la à direção de topo e/ou órgão de administração;
• c. que as atividades de gestão de risco de TIC são efetuadas com recursos humanos e técnicos suficientes e adequados do ponto de vista qualitativo e quantitativo. Para a avaliação da credibilidade dos planos de redução de riscos aplicáveis, as autoridades competentes devem avaliar também se a instituição atribuiu orçamentos financeiros suficientes e/ou outros recursos necessários para a sua implementação;
• d. dar um seguimento e resposta apropriados por parte do órgão de administração relativamente às conclusões importantes das funções de controlo independente referentes ao risco de TIC, tendo em conta a possível delegação de alguns aspetos a um comité, caso exista; e
• e. que as exceções às regulamentações e políticas de TIC aplicáveis são registadas e submetidas a uma revisão documentada e reportadas pela função de controlo independente com ênfase nos riscos associados.

3.3.3 Cobertura e conclusões da auditoria interna

As autoridades competentes devem ter em consideração se a função de auditoria interna é eficaz no que se refere à auditoria da estrutura de controlo de risco de TIC aplicável, revendo se:

• a. a estrutura de controlo de risco de TIC é auditada com a qualidade, exaustividade e frequência exigidas e é proporcional à dimensão, às atividades e ao perfil de risco de TIC da instituição;
• b. o plano de auditoria inclui auditorias dos riscos de TIC críticos identificados pela instituição;
• c. as conclusões importantes da auditoria de TIC, incluindo as ações acordadas, são comunicadas ao órgão de administração; e
• d. as conclusões de auditorias de TIC, incluindo as ações acordadas, são acompanhadas e os relatórios do progresso são revistos periodicamente pela direção de topo e/ou o comité de auditoria.

3.3.4 Controlos de risco de TIC específicos para o risco de TIC significativo identificado

Relativamente aos riscos de TIC significativos identificados, as autoridades competentes devem avaliar se a instituição tem em vigor controlos específicos para endereçar esses riscos. As secções que se seguem apresentam uma lista não exaustiva dos controlos específicos que devem ser tidos em consideração aquando da avaliação dos riscos significativos identificados nos termos do 3.2.3 que foram mapeados às seguintes categorias de risco de TIC:

• a. riscos de disponibilidade e continuidade das TIC;
• b. riscos de segurança das TIC;
• c. riscos de alteração das TIC;
• d. riscos de integridade de dados das TIC;
• e. riscos de contratação externa das TIC.
• (a) Controlos para a gestão de riscos significativos de disponibilidade e continuidade das TIC

Para além dos requisitos estabelecidos nas Orientações da EBA relativas ao SREP (números 279 - 281), as autoridades competentes devem avaliar se a instituição implementou a estrutura adequada para identificar, compreender, medir e mitigar os riscos de disponibilidade e continuidade das TIC.

Para esta avaliação, as autoridades competentes devem ter em consideração, em particular, se a estrutura:

• a. identifica os processos de TIC críticos e os sistemas de TIC de apoio relevantes que devem fazer parte dos planos de resiliência e continuidade do negócio com:
• i. uma análise detalhada das dependências entre os processos de negócio críticos e os sistemas de suporte;
• ii. a determinação de objetivos de recuperação para os sistemas de TIC de suporte (por exemplo, tipicamente determinados pela empresa e/ou regulamentações em termos de RTO e RPO);
• iii. um plano de contingência apropriado para permitir a disponibilidade, a continuidade e a recuperação de sistemas e serviços de TIC críticos por forma a minimizar a perturbação das operações da instituição dentro de limites aceitáveis.
• b. demonstra a resiliência do negócio e possui políticas e normas referentes ao ambiente de controlo da continuidade e controlos operacionais que incluem:
• i. medidas para evitar que um único cenário, incidente ou catástrofe possa ter impacto nos sistemas de produção e recuperação das TIC;
• ii. procedimentos de salvaguarda e recuperação do sistema de TIC para software e dados críticos que garantam que as cópias de salvaguarda sejam guardadas num local seguro e suficientemente remoto para que um incidente ou uma catástrofe não destruam ou corrompam estes dados críticos;
• iii. soluções de monitorização para a deteção atempada de incidentes de disponibilidade ou continuidade das TIC;
• iv. um processo documentado de gestão de incidentes e escalonamento, que também forneça orientações sobre os diferentes papéis e responsabilidades ao nível da gestão de incidentes e escalonamento, os membros dos comités de crise e a cadeia de comando em caso de emergência;
• v. medidas físicas para proteger a infraestrutura de TIC crítica da instituição (como centros de dados) de riscos ambientais (como cheias e outras catástrofes naturais) e assegurar um ambiente operacional apropriado para sistemas de TIC (como ar condicionado);
• vi. processos, papéis e responsabilidades para garantir que os sistemas e serviços de TIC contratados externamente estão igualmente abrangidos pelas soluções e planos de resiliência e continuidade do negócio;
• vii. soluções de planeamento e monitorização do desempenho e da capacidade das TIC para sistemas e serviços de TIC críticos com requisitos de disponibilidade definidos, para deteção de restrições importantes a nível de desempenho e capacidade atempadamente;
• viii. soluções para proteger atividades ou serviços críticos na Internet (como serviços de banca eletrónica), quando necessário e apropriado, contra a negação de serviço e outros ciberataques provenientes da Internet, com o objetivo de impedirem ou perturbarem o acesso a estas atividades e serviços.
• c. testa soluções de disponibilidade e continuidade das TIC face a um conjunto de cenários realistas incluindo ciberataques, testes a falhas e testes de cópias de salvaguarda para software e dados críticos que:
• i. são planeados, formalizados e documentados, sendo os resultados dos testes utilizados para reforçar a eficácia das soluções de disponibilidade e continuidade das TIC;
• ii. incluem partes interessadas e funções dentro da organização, como gestão de linhas de produtos incluindo equipas de continuidade do negócio e de resposta a incidentes e crises, bem como partes interessadas externas relevantes no ecossistema;
• iii. a direção de topo e o órgão de administração estão devidamente envolvidos no processo (como parte das equipas de gestão de crises) e são informados sobre os resultados dos testes.
• (b) Controlos para a gestão de riscos de segurança das TIC significativos

As autoridades competentes devem avaliar se a instituição implementou uma estrutura eficaz para identificar, compreender, medir e mitigar os riscos de segurança das TIC. Para esta avaliação, as autoridades competentes devem ter em consideração, em particular, se a estrutura tem em conta:

• a. papéis e responsabilidades claramente definidos no que se refere a:
• i. pessoas e/ou comités que são encarregados e/ou responsáveis pela gestão diária da segurança das TIC e pela elaboração das políticas de segurança globais de TIC, tendo em especial atenção a sua necessária independência;
• ii. conceção, implementação, gestão e monitorização dos controlos de segurança das TIC;
• iii. proteção de sistemas e serviços de TIC críticos através da adoção, por exemplo, de um processo de avaliação da vulnerabilidades, gestão de correções de segurança de software , proteção de pontos terminais (nomeadamente, vírus malware ), deteção de intrusão e ferramentas de prevenção;
• iv. monitorização, classificação e tratamento de incidentes de segurança das TIC externos ou internos, incluindo a resposta a incidentes e o restabelecimento e recuperação dos sistemas e serviços de TIC;
• v. avaliações regulares e pró-ativas de ameaças para manutenção de controlos de segurança apropriados.
• b. uma política de segurança de TIC que tenha em consideração e, quando apropriado, siga as normas de segurança de TIC e os princípios de segurança reconhecidos internacionalmente (como o «princípio dos privilégios mínimos», ou seja, limitando o acesso ao nível mínimo que permite o normal funcionamento para a gestão de direitos de acesso, e o princípio de «defesa em profundidade», i.e. , mecanismos de segurança por camadas visando aumentar a segurança do sistema como um todo para a criação de uma arquitetura de segurança);
• c. um processo para identificar sistemas, serviços e requisitos de segurança das TIC compatíveis que reflitam o potencial risco de fraude e/ou possíveis utilizações indevidas e/ou abusos de dados confidenciais, juntamente com expectativas de segurança documentadas que devem ser seguidos para os sistemas, serviços e dados das TIC identificados, em conformidade com a tolerância ao risco da instituição, e monitorizados quanto à sua correta implementação;
• d. um processo documentado de gestão de incidentes de segurança e escalonamento, que forneça orientações sobre os diferentes papéis e responsabilidades a nível da gestão de incidentes e escalonamento, os membros do(s) comité(s) de crise e a cadeia de comando em caso de emergências de segurança;
• e. um registo das atividades dos utilizadores e dos administradores para permitir uma monitorização eficaz e a deteção e resposta atempadas a atividades não autorizadas; para apoiar ou realizar investigações forenses de incidentes de segurança. A instituição deve ter em vigor políticas de registo que definam os tipos indicados de registo que devem ser mantidos e o respetivo período de retenção;
• f. campanhas ou iniciativas de sensibilização e informação para informar todos os níveis da instituição sobre a utilização segura e a proteção dos sistemas de TIC da instituição e os principais riscos de segurança (e outros) das TIC dos quais devem estar cientes, em particular no que se refere a ciberameaças existentes e emergentes (como vírus informáticos, possíveis abusos ou ataques internos ou externos, ciberataques) e a sua função na mitigação das falhas de segurança;
• g. medidas de segurança física adequadas (como CCTV, alarme anti-roubo, portas de segurança) para prevenção de acesso físico não autorizado a sistemas de TIC críticos e sensíveis (como centros de dados);
• h. medidas para proteger os sistemas de TIC de ataques via Internet ( i.e. , ciberataques) ou outras redes externas (como ligações tradicionais de telecomunicações ou ligações a parceiros fidedignos). As autoridades competentes devem analisar se a estrutura da instituição tem em consideração:
• i. um processo e soluções para manter um inventário completo e atualizado e uma descrição de todos os pontos de ligação de rede virados para o exterior (como websites , aplicações da Internet, redes sem fios, acesso remoto) através dos quais terceiros possam entrar nos sistemas de TIC internos;
• ii. medidas de segurança rigorosamente geridas e monitorizadas (como firewalls , servidores proxy , retransmissores de correio, detetores antivírus e de conteúdo) para proteger o tráfego de rede recebido e enviado (por exemplo, e-mail) e as ligações de rede viradas para
• o exterior através das quais terceiros possam entrar nos sistemas de TIC internos;
• iii. processos e soluções para proteger websites e aplicações que possam ser atacados diretamente a partir da Internet e/ou do exterior, podendo servir de ponto de entrada nos sistemas de TIC internos. Em geral, incluem um conjunto de práticas de desenvolvimento seguras reconhecidas, proteção do sistema de TIC e práticas de deteção de vulnerabilidades e/ou a implementação de soluções de segurança adicionais como, por exemplo, firewalls de aplicações e/ou sistemas de deteção de intrusão (IDS) e/ou de prevenção de intrusão (IPS);
• iv. testes de penetração de segurança periódicos para avaliar a eficácia da implementação de medidas e processos de cibersegurança e de segurança interna das TIC. Estes testes devem ser realizados por funcionários e/ou peritos externos com as competências necessárias, com resultados de testes documentados e conclusões reportadas à direção de topo e/ou ao órgão de administração. Quando necessário e aplicável, a instituição deve ter conhecimento destes testes para melhorar os controlos e processos de segurança e/ou para obter mais garantias da sua eficácia.
• (c) Controlos para a gestão de riscos de alteração das TIC significativos

As autoridades competentes devem avaliar se a instituição possui uma estrutura eficaz para identificar, compreender, medir e mitigar o risco de alteração das TIC proporcional à natureza, à escala e à complexidade das atividades da instituição e ao perfil de risco de TIC da instituição. A estrutura da instituição deve abranger os riscos associados ao desenvolvimento, teste e aprovação de alterações aos sistemas de TIC, incluindo o desenvolvimento ou alteração de software , antes da sua migração para o ambiente de produção, garantindo uma gestão adequada do ciclo de vida das TIC. Para esta avaliação, as autoridades competentes devem ter em consideração, em particular, se a estrutura tem em conta:

• a. processos documentados para a gestão e controlo de alterações aos sistemas de TIC (como configuração e gestão de correções de segurança) e dados (como correção de erros ou de dados), garantindo o envolvimento apropriado da gestão de riscos de TIC para importantes alterações das TIC que possam ter um impacto significativo no perfil de risco ou exposição da instituição;
• b. especificações referentes à necessária segregação de funções durante as diferentes fases dos processos de alteração das TIC implementados (como conceção e desenvolvimento de soluções, testes e aprovação de novo software e/ou de alterações, migração e implementação no ambiente de produção, e correção de erros), com ênfase nas soluções implementadas e na segregação de funções para gerir e controlar as alterações aos sistemas de TIC de produção e dados pela equipa de TIC (como programadores, administradores de sistemas de TIC, administradores de bases de dados) ou outras partes (como utilizadores de negócio, prestadores de serviços);
• c. ambientes de teste que reflitam adequadamente os ambientes de produção;
• d. um inventário de ativos das aplicações e sistemas de TIC existentes no ambiente de produção, assim como no ambiente de testes e desenvolvimento, para que as alterações necessárias (como atualizações de versões, aplicação de correções de segurança a sistemas, alterações de configuração) possam ser geridas, implementadas e monitorizadas apropriadamente para os sistemas de TIC envolvidos;
• e. um processo para monitorizar e gerir o ciclo de vida dos sistemas de TIC utilizados, para garantir que continuam a satisfazer e a apoiar os requisitos atuais de gestão de negócio e de riscos e para assegurar que as soluções e os sistemas de TIC utilizados ainda são suportados pelos respetivos fornecedores e que este processo é acompanhado por procedimentos adequados do ciclo de vida de desenvolvimento de software (SDLC);
• f. um sistema de controlo de código fonte de software e procedimentos apropriados para evitar alterações não autorizadas no código fonte de software desenvolvido internamente;
• g. um processo para realizar a deteção de segurança e de vulnerabilidades de sistemas e software de TIC novos ou com alterações significativas, antes de serem enviados para produção e expostos a possíveis ciberataques;
• h. um processo e soluções para prevenir a divulgação não autorizada ou não intencional de dados confidenciais ao substituir, arquivar, eliminar ou destruir sistemas de TIC;
• i. processos independentes de revisão e validação para reduzir os riscos de erros humanos ao serem efetuadas alterações aos sistemas de TIC que possam ter um importante efeito negativo na disponibilidade, continuidade ou segurança da instituição (por exemplo, alterações importantes na configuração da firewall ) ou na segurança da instituição (como alterações às firewalls ).
• (d) Controlos para a gestão de riscos de integridade de dados das TIC significativos

As autoridades competentes devem avaliar se a instituição possui uma estrutura eficaz para identificar, compreender, medir e mitigar o risco de integridade de dados das TIC proporcional à natureza, à escala e à complexidade das atividades da instituição e ao perfil de risco de TIC da instituição. A estrutura da instituição deve ter em conta os riscos associados à preservação da integridade dos dados guardados e processados pelos sistemas de TIC. Para esta avaliação, as autoridades competentes devem ter em consideração, em particular, se o modelo tem em conta:

• a. uma política que defina os papéis e responsabilidades para a gestão da integridade dos dados nos sistemas de TIC (como arquiteto de dados, responsáveis pelos dados⁶ , responsáveis pela conservação de dados⁷ , proprietários/responsáveis pela gestão de dados⁸ ) e forneça orientações sobre os dados considerados críticos de uma perspetiva de integridade dos dados e que deve ser submetida a controlos de TIC específicos (como controlos de validação de introdução automática, controlos de transferência de dados, reconciliações, etc.) ou revisões (como uma verificação da compatibilidade com a arquitetura de dados) nas diferentes fases do ciclo de vida dos dados de TIC;
• b. uma arquitetura de dados, modelo de dados e/ou dicionário documentados e validados pelas partes interessadas relevantes ao nível do negócio e de TIC para apoiar a consistência de dados necessária nos sistemas de TIC e para garantir que a arquitetura de dados, modelo de dados e/ou dicionário permanecem alinhados com as necessidades de negócio e de gestão de riscos;
• c. uma política referente à utilização autorizada da informática na ótica do utilizador final e à respetiva fiabilidade, em particular no que se refere à identificação, registo e documentação de soluções importantes de informática na ótica do utilizador final (por exemplo, ao processar dados importantes) e aos níveis de segurança esperados para prevenção de alterações não autorizadas, tanto na própria ferramenta como nos dados aí armazenados;
• d. processos documentados de tratamento de exceções para resolver problemas de integridade de dados de TIC identificados de acordo com a respetiva criticidade e sensibilidade.

6 Um responsável pelos dados tem como responsabilidades o processamento e a gestão de dados. 7 Um responsável pela conservação dos dados tem como responsabilidades a conservação, transporte e armazenamento seguros de dados. 8 Um responsável pela gestão de dados tem como responsabilidades a gestão e adequação de elementos de dados – conteúdo e metadados.

Para as instituições supervisionadas que estão abrangidas pelo âmbito dos princípios do Regulamento n.º 239 do BCBS para a agregação eficaz de dados sobre riscos e o reporte de informações sobre riscos⁹ , as autoridades competentes devem rever a análise de risco da instituição relativamente às suas capacidades de reporte de informações sobre riscos e de agregação de dados, em comparação com os princípios e a documentação preparada sobre o assunto, tendo em consideração o calendário de implementação e as medidas transitórias nesses princípios.

• (e) Controlos para a gestão de riscos de contratação externa de TIC significativos

As autoridades competentes devem avaliar se a estratégia de contratação externa da instituição, em conformidade com as Orientações do CEBS relativas à contratação externa (2006) e com o requisito no n.º 85, alínea d) das Orientações da EBA relativas ao SREP, é aplicada corretamente à contratação externa de TIC, incluindo contratação externa intragrupo para o fornecimento de serviços de TIC dentro do grupo. Ao avaliarem os riscos de contratação externa de TIC, as autoridades competentes devem ter em consideração que os riscos de contratação externa de TIC podem também ser tratados como parte da avaliação dos riscos operacionais inerentes, nos termos do n.º 240, alínea j) das Orientações da EBA relativas ao SREP, para evitar qualquer duplicação de trabalho ou contagem dupla.

As autoridades competentes devem avaliar, especificamente, se a instituição tem uma estrutura eficaz em vigor para identificar, compreender e medir o risco de contratação externa de TIC e, em particular, controlos e um ambiente de controlo implementados para mitigar riscos significativos relacionados com serviços de TIC contratados externamente, proporcionais à dimensão, às atividades e ao perfil de risco de TIC da instituição e que incluam:

• a. uma avaliação do impacto da contratação externa de TIC sobre a gestão de riscos da instituição relativamente ao recurso a prestadores de serviço (por exemplo, fornecedores de serviço em nuvem) e aos respetivos serviços durante o processo de aquisição documentado e tido em conta pela direção de topo ou o órgão de administração para a decisão de contratar ou não externamente os serviços. A instituição deve rever as políticas de gestão de riscos de TIC, os controlos de TIC e o ambiente de controlo do prestador de serviço para garantir que cumprem os objetivos de gestão de riscos internos e a apetência pelo risco da instituição. Esta revisão deve ser atualizada periodicamente durante o período contratual de contratação externa, tendo em conta as características dos serviços contratados externamente;
• b. uma monitorização dos riscos de TIC dos serviços contratados externamente durante o período contratual como parte da gestão de riscos da instituição, que contribui para os reportes de gestão de risco de TIC da instituição (como reportes sobre a continuidade da atividade, reportes de segurança);
• c. uma monitorização e comparação dos níveis de serviço recebidos comparativamente aos níveis de serviço acordados contratualmente que devem fazer parte do contrato de contratação externa ou do acordo de nível de serviço (SLA); e

9 Comité de Basileia de Supervisão Bancária, Princípios para a agregação eficaz de dados sobre o risco e a prestação eficaz de informação sobre o risco, janeiro de 2013, disponível online : http://www.bis.org/publ/bcbs239.pdf.

• d. pessoal, recursos e competências adequadas para monitorizar e gerir os riscos de TIC dos serviços contratados externamente.