57. As autoridades competentes devem avaliar se a instituição possui uma estrutura eficaz para …

As autoridades competentes devem avaliar se a instituição possui uma estrutura eficaz para identificar, compreender, medir e mitigar o risco de integridade de dados das TIC proporcional à natureza, à escala e à complexidade das atividades da instituição e ao perfil de risco de TIC da instituição. A estrutura da instituição deve ter em conta os riscos associados à preservação da integridade dos dados guardados e processados pelos sistemas de TIC. Para esta avaliação, as autoridades competentes devem ter em consideração, em particular, se o modelo tem em conta:

• a. uma política que defina os papéis e responsabilidades para a gestão da integridade dos dados nos sistemas de TIC (como arquiteto de dados, responsáveis pelos dados⁶ , responsáveis pela conservação de dados⁷ , proprietários/responsáveis pela gestão de dados⁸ ) e forneça orientações sobre os dados considerados críticos de uma perspetiva de integridade dos dados e que deve ser submetida a controlos de TIC específicos (como controlos de validação de introdução automática, controlos de transferência de dados, reconciliações, etc.) ou revisões (como uma verificação da compatibilidade com a arquitetura de dados) nas diferentes fases do ciclo de vida dos dados de TIC;
• b. uma arquitetura de dados, modelo de dados e/ou dicionário documentados e validados pelas partes interessadas relevantes ao nível do negócio e de TIC para apoiar a consistência de dados necessária nos sistemas de TIC e para garantir que a arquitetura de dados, modelo de dados e/ou dicionário permanecem alinhados com as necessidades de negócio e de gestão de riscos;
• c. uma política referente à utilização autorizada da informática na ótica do utilizador final e à respetiva fiabilidade, em particular no que se refere à identificação, registo e documentação de soluções importantes de informática na ótica do utilizador final (por exemplo, ao processar dados importantes) e aos níveis de segurança esperados para prevenção de alterações não autorizadas, tanto na própria ferramenta como nos dados aí armazenados;
• d. processos documentados de tratamento de exceções para resolver problemas de integridade de dados de TIC identificados de acordo com a respetiva criticidade e sensibilidade.

6 Um responsável pelos dados tem como responsabilidades o processamento e a gestão de dados. 7 Um responsável pela conservação dos dados tem como responsabilidades a conservação, transporte e armazenamento seguros de dados. 8 Um responsável pela gestão de dados tem como responsabilidades a gestão e adequação de elementos de dados – conteúdo e metadados.

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

3. Normas relacionadas

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/