54. Para esta avaliação, as autoridades competentes devem ter em consideração, em particular, se a …

Para esta avaliação, as autoridades competentes devem ter em consideração, em particular, se a estrutura:

• a. identifica os processos de TIC críticos e os sistemas de TIC de apoio relevantes que devem fazer parte dos planos de resiliência e continuidade do negócio com:
• i. uma análise detalhada das dependências entre os processos de negócio críticos e os sistemas de suporte;
• ii. a determinação de objetivos de recuperação para os sistemas de TIC de suporte (por exemplo, tipicamente determinados pela empresa e/ou regulamentações em termos de RTO e RPO);
• iii. um plano de contingência apropriado para permitir a disponibilidade, a continuidade e a recuperação de sistemas e serviços de TIC críticos por forma a minimizar a perturbação das operações da instituição dentro de limites aceitáveis.
• b. demonstra a resiliência do negócio e possui políticas e normas referentes ao ambiente de controlo da continuidade e controlos operacionais que incluem:
• i. medidas para evitar que um único cenário, incidente ou catástrofe possa ter impacto nos sistemas de produção e recuperação das TIC;
• ii. procedimentos de salvaguarda e recuperação do sistema de TIC para software e dados críticos que garantam que as cópias de salvaguarda sejam guardadas num local seguro e suficientemente remoto para que um incidente ou uma catástrofe não destruam ou corrompam estes dados críticos;
• iii. soluções de monitorização para a deteção atempada de incidentes de disponibilidade ou continuidade das TIC;
• iv. um processo documentado de gestão de incidentes e escalonamento, que também forneça orientações sobre os diferentes papéis e responsabilidades ao nível da gestão de incidentes e escalonamento, os membros dos comités de crise e a cadeia de comando em caso de emergência;
• v. medidas físicas para proteger a infraestrutura de TIC crítica da instituição (como centros de dados) de riscos ambientais (como cheias e outras catástrofes naturais) e assegurar um ambiente operacional apropriado para sistemas de TIC (como ar condicionado);
• vi. processos, papéis e responsabilidades para garantir que os sistemas e serviços de TIC contratados externamente estão igualmente abrangidos pelas soluções e planos de resiliência e continuidade do negócio;
• vii. soluções de planeamento e monitorização do desempenho e da capacidade das TIC para sistemas e serviços de TIC críticos com requisitos de disponibilidade definidos, para deteção de restrições importantes a nível de desempenho e capacidade atempadamente;
• viii. soluções para proteger atividades ou serviços críticos na Internet (como serviços de banca eletrónica), quando necessário e apropriado, contra a negação de serviço e outros ciberataques provenientes da Internet, com o objetivo de impedirem ou perturbarem o acesso a estas atividades e serviços.
• c. testa soluções de disponibilidade e continuidade das TIC face a um conjunto de cenários realistas incluindo ciberataques, testes a falhas e testes de cópias de salvaguarda para software e dados críticos que:
• i. são planeados, formalizados e documentados, sendo os resultados dos testes utilizados para reforçar a eficácia das soluções de disponibilidade e continuidade das TIC;
• ii. incluem partes interessadas e funções dentro da organização, como gestão de linhas de produtos incluindo equipas de continuidade do negócio e de resposta a incidentes e crises, bem como partes interessadas externas relevantes no ecossistema;
• iii. a direção de topo e o órgão de administração estão devidamente envolvidos no processo (como parte das equipas de gestão de crises) e são informados sobre os resultados dos testes.
• (b) Controlos para a gestão de riscos de segurança das TIC significativos

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

3. Normas relacionadas

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/