55. As autoridades competentes devem avaliar se a instituição implementou uma estrutura eficaz para …

As autoridades competentes devem avaliar se a instituição implementou uma estrutura eficaz para identificar, compreender, medir e mitigar os riscos de segurança das TIC. Para esta avaliação, as autoridades competentes devem ter em consideração, em particular, se a estrutura tem em conta:

• a. papéis e responsabilidades claramente definidos no que se refere a:
• i. pessoas e/ou comités que são encarregados e/ou responsáveis pela gestão diária da segurança das TIC e pela elaboração das políticas de segurança globais de TIC, tendo em especial atenção a sua necessária independência;
• ii. conceção, implementação, gestão e monitorização dos controlos de segurança das TIC;
• iii. proteção de sistemas e serviços de TIC críticos através da adoção, por exemplo, de um processo de avaliação da vulnerabilidades, gestão de correções de segurança de software , proteção de pontos terminais (nomeadamente, vírus malware ), deteção de intrusão e ferramentas de prevenção;
• iv. monitorização, classificação e tratamento de incidentes de segurança das TIC externos ou internos, incluindo a resposta a incidentes e o restabelecimento e recuperação dos sistemas e serviços de TIC;
• v. avaliações regulares e pró-ativas de ameaças para manutenção de controlos de segurança apropriados.
• b. uma política de segurança de TIC que tenha em consideração e, quando apropriado, siga as normas de segurança de TIC e os princípios de segurança reconhecidos internacionalmente (como o «princípio dos privilégios mínimos», ou seja, limitando o acesso ao nível mínimo que permite o normal funcionamento para a gestão de direitos de acesso, e o princípio de «defesa em profundidade», i.e. , mecanismos de segurança por camadas visando aumentar a segurança do sistema como um todo para a criação de uma arquitetura de segurança);
• c. um processo para identificar sistemas, serviços e requisitos de segurança das TIC compatíveis que reflitam o potencial risco de fraude e/ou possíveis utilizações indevidas e/ou abusos de dados confidenciais, juntamente com expectativas de segurança documentadas que devem ser seguidos para os sistemas, serviços e dados das TIC identificados, em conformidade com a tolerância ao risco da instituição, e monitorizados quanto à sua correta implementação;
• d. um processo documentado de gestão de incidentes de segurança e escalonamento, que forneça orientações sobre os diferentes papéis e responsabilidades a nível da gestão de incidentes e escalonamento, os membros do(s) comité(s) de crise e a cadeia de comando em caso de emergências de segurança;
• e. um registo das atividades dos utilizadores e dos administradores para permitir uma monitorização eficaz e a deteção e resposta atempadas a atividades não autorizadas; para apoiar ou realizar investigações forenses de incidentes de segurança. A instituição deve ter em vigor políticas de registo que definam os tipos indicados de registo que devem ser mantidos e o respetivo período de retenção;
• f. campanhas ou iniciativas de sensibilização e informação para informar todos os níveis da instituição sobre a utilização segura e a proteção dos sistemas de TIC da instituição e os principais riscos de segurança (e outros) das TIC dos quais devem estar cientes, em particular no que se refere a ciberameaças existentes e emergentes (como vírus informáticos, possíveis abusos ou ataques internos ou externos, ciberataques) e a sua função na mitigação das falhas de segurança;
• g. medidas de segurança física adequadas (como CCTV, alarme anti-roubo, portas de segurança) para prevenção de acesso físico não autorizado a sistemas de TIC críticos e sensíveis (como centros de dados);
• h. medidas para proteger os sistemas de TIC de ataques via Internet ( i.e. , ciberataques) ou outras redes externas (como ligações tradicionais de telecomunicações ou ligações a parceiros fidedignos). As autoridades competentes devem analisar se a estrutura da instituição tem em consideração:
• i. um processo e soluções para manter um inventário completo e atualizado e uma descrição de todos os pontos de ligação de rede virados para o exterior (como websites , aplicações da Internet, redes sem fios, acesso remoto) através dos quais terceiros possam entrar nos sistemas de TIC internos;
• ii. medidas de segurança rigorosamente geridas e monitorizadas (como firewalls , servidores proxy , retransmissores de correio, detetores antivírus e de conteúdo) para proteger o tráfego de rede recebido e enviado (por exemplo, e-mail) e as ligações de rede viradas para
• o exterior através das quais terceiros possam entrar nos sistemas de TIC internos;
• iii. processos e soluções para proteger websites e aplicações que possam ser atacados diretamente a partir da Internet e/ou do exterior, podendo servir de ponto de entrada nos sistemas de TIC internos. Em geral, incluem um conjunto de práticas de desenvolvimento seguras reconhecidas, proteção do sistema de TIC e práticas de deteção de vulnerabilidades e/ou a implementação de soluções de segurança adicionais como, por exemplo, firewalls de aplicações e/ou sistemas de deteção de intrusão (IDS) e/ou de prevenção de intrusão (IPS);
• iv. testes de penetração de segurança periódicos para avaliar a eficácia da implementação de medidas e processos de cibersegurança e de segurança interna das TIC. Estes testes devem ser realizados por funcionários e/ou peritos externos com as competências necessárias, com resultados de testes documentados e conclusões reportadas à direção de topo e/ou ao órgão de administração. Quando necessário e aplicável, a instituição deve ter conhecimento destes testes para melhorar os controlos e processos de segurança e/ou para obter mais garantias da sua eficácia.
• (c) Controlos para a gestão de riscos de alteração das TIC significativos

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

3. Normas relacionadas

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/