| Categorias de risco das TIC | Riscos de TIC (lista não exaustiva10 ) | Descrição do risco | Exemplos | |
| disruptivos destrutivos | e | chantagem), que resultem numa sobrecarga de sistemas e de rede, impedindo o acesso a serviços online pelos seus utilizadores legítimos. | | realizados através de vários sistemas informáticos na Internet controlados por piratas informáticos, que enviam uma grande quantidade de pedidos de serviço aparentemente legítimos para serviços online (como banca eletrónica). |
| Riscos de Ciberataques segurança das outros TIC com externas | e ataques base em TIC | Ataques efetuados a partir da Internet ou de redes externas para diferentes fins (como fraude, espionagem, ativismo/sabotagem, ciberterrorismo) com recurso a várias técnicas (como engenharia social, tentativas de intrusão através da exploração de vulnerabilidades, desenvolvimento de software malicioso) para assumir o controlo de sistemas de TIC internos. Execução de transações de pagamento fraudulentas por piratas informáticos através da quebra ou violação da segurança de serviços de banca eletrónica e pagamento e/ou através do ataque e exploração das vulnerabilidades de segurança nos sistemas de pagamento internos da instituição. Execução de transações de títulos fraudulentas por piratas informáticos através da quebra ou violação da segurança de serviços de banca eletrónica que também dão acesso às contas de títulos do cliente. | Diferentes • • • • • • • | tipos de ataques: APT (Ameaça avançada persistente) para assumir o controlo de sistemas internos ou roubar informações (como informações relacionadas com roubo de identidade, informações de cartões de crédito). Software malicioso (como ransomware ) que cifra dados com o objetivo de fazer chantagem. Infeção de sistemas de TIC internos com cavalos de Troia para cometer ações maliciosas no sistema de forma oculta. Exploração de vulnerabilidades do sistema de TIC e/ou aplicações ( web ) (como injeção de SQL, etc.) para obter acesso ao sistema de TIC interno. Ataques a serviços de banca eletrónica ou de pagamento, com o objetivo de efetuar transações não autorizadas. A criação e o envio de transações de pagamento fraudulentas a partir dos sistemas de pagamento interno da instituição (como mensagens SWIFT fraudulentas). Ataques «pump and dump» em que os atacantes obtêm acesso a contas de títulos de clientes através da banca eletrónica e colocam ordens de compra ou venda fraudulentas para influenciar o preço de mercado e/ou obter lucros com base nas posições |
| Categorias de risco das TIC | Riscos de TIC (lista não exaustiva10 ) | Descrição do risco Ataques a ligações de comunicação e conversas de todos os tipos ou sistemas de TIC com o objetivo de recolher informações e/ou cometer fraudes. | Exemplos • | dos títulos estabelecidas anteriormente. Escuta clandestina/interceção de transmissão não protegida de dados de autenticação em texto simples. |
| Segurança inadequada TIC | interna das | Obtenção de acesso não autorizado a sistemas de TIC críticos a partir da instituição para diferentes fins (como fraude, realização e ocultação de atividades comerciais fraudulentas, roubo de dados, ativismo/sabotagem) através de várias técnicas (como abuso e/ou obtenção de privilégios, usurpação de identidade, engenharia social, exploração de vulnerabilidades em sistemas de TIC, criação de software malicioso). Manipulações não autorizadas das TIC devido a procedimentos e práticas de gestão de acesso a TIC inadequadas. Ameaças de segurança devido à falta de sensibilização para a questão da segurança em situações em que os funcionários não compreendem, negligenciam ou não cumprem as políticas e procedimentos de segurança das TIC. | • • • • • • • | Instalação de aplicações de monitorização da atividade do teclado ( key loggers ) para roubar os nomes de utilizador e respetivas palavras-passe do utilizador para obter acesso não autorizado a dados confidenciais e/ou cometer fraude. Decifragem/deteção de palavras-passe fracas para obter direitos de acesso ilegítimos ou privilegiados. O administrador do sistema utiliza sistemas operativos ou utilitários de bases de dados (para alterações diretas a bases de dados) para cometer fraudes. Falha na desativação ou eliminação de contas desnecessárias, como contas de funcionários que mudaram de funções e/ou saíram da instituição, incluindo convidados ou fornecedores que já não precisam de acesso, que dão acesso não autorizado a sistemas de TIC. Concessão de direitos e privilégios de acesso excessivos, permitindo acessos não autorizados e/ou a ocultação de atividades fraudulentas. Funcionários que são enganados para prestar assistência a um atacante ( i.e. , engenharia social). Más práticas no que se refere a credenciais: partilha de palavras-passe, utilização de palavras-passe «fáceis» de adivinhar, utilização da mesma palavra- |
| Categorias de risco das TIC | Riscos de TIC (lista não exaustiva10 ) | Descrição do risco O armazenamento ou a transferência não autorizados de informações confidenciais para fora da instituição. | Exemplos • • | passe para diferentes fins, etc. Armazenamento de dados confidenciais não cifrados em computadores portáteis e soluções de armazenamento de dados portáteis (como pens USB) que se podem perder ou ser roubados. Pessoas que roubam ou divulgam deliberadamente ou clandestinamente informações confidenciais a pessoas não autorizadas ou ao público. |
| Segurança inadequada TIC | física das | Utilização indevida ou roubo de ativos de TIC através de acesso físico, causando danos, perda de ativos ou dados ou para permitir outras ameaças. Danos deliberados ou acidentais a ativos de TIC físicos causados por terrorismo, acidentes ou manipulações não intencionais/erradas por funcionários da instituição e/ou por terceiros (fornecedores, pessoal que faz reparações). Proteção física insuficiente contra catástrofes naturais que originem a destruição parcial ou completa de sistemas de TIC/centros de dados devido a catástrofes naturais. | • • • • | Entrada forçada em escritórios e/ou centros de dados para roubar equipamentos de TIC (como computadores, portáteis, soluções de armazenamento) e/ou para copiar dados através do acesso físico a sistemas de TIC. Terrorismo físico ( i.e. , atendados terroristas à bomba) ou sabotagem de ativos de TIC. Destruição de centros de dados causada por incêndio, fugas de água ou outros fatores. Sismos, calor extremo, tempestades de ventos, tempestades de neve, inundações, incêndios, relâmpagos. |
| Riscos de Controlos alteração das inapropriados TIC alterações sistema desenvolvimento das | às ao de TIC e TIC | Incidentes causados por erros não detetados ou vulnerabilidades resultantes de alterações (como efeitos não previstos de uma alteração ou uma alteração gerida incorretamente devido a falta de testes ou práticas impróprias de gestão de alterações) a, por exemplo, software , sistemas e dados das TIC. | • • • | Lançamento para utilização em produção de software submetido a testes insuficientes ou alterações de configurações com efeitos negativos inesperados nos dados (como corrupção, eliminação) e/ou desempenho do sistema de TIC (como interrupção, redução do desempenho). Alterações não controladas e sistemas ou dados das TIC no ambiente de produção. Lançamento para utilização em produção de |
| Categorias de risco das TIC | Riscos de TIC (lista não exaustiva10 ) | Descrição do risco | Exemplos • • | sistemas de TIC e aplicações de Internet pouco seguros, criando oportunidades para os piratas informáticos atacarem os serviços de Internet fornecidos e/ou entrarem nos sistemas de TIC internos. Alterações não controladas no código fonte de software desenvolvido internamente. Testes insuficientes devido à falta de ambientes de teste adequados. |
| Arquitetura TIC | de inadequada | Uma má gestão da arquitetura de TIC ao conceber, criar e efetuar a manutenção de sistemas de TIC (como software , hardware , dados) pode, ao longo do tempo, tornar complexa, difícil e dispendiosa a gestão de sistemas de TIC rígidos, que já não dão uma resposta suficiente às necessidades do negócio e são insuficientes em comparação com os requisitos reais de gestão de riscos. | • • | Alterações geridas inadequadamente a sistemas de TIC, software e/ou dados durante um período de tempo prolongado, dando origem a arquiteturas e sistemas de TIC complexos, heterogéneos e difíceis de gerir, causando muitos impactos negativos na gestão do negócio e dos riscos (como falta de flexibilidade e agilidade, falhas e incidentes a nível das TIC, custos operacionais elevados, menor segurança e resiliência das TIC, qualidade dos dados e capacidades de reporte reduzidas). Personalização excessiva e extensão de pacotes de software comercial com software desenvolvido internamente, que dão origem à incapacidade de implementar futuros lançamentos e atualizações do software comercial e ao risco de já não ser suportado pelo fornecedor. |
| Ciclo gestão correções segurança inadequados | de vida e de de | A incapacidade de manter um inventário adequado de todos os ativos de TIC como forma de apoiar, e em conjunto com, um ciclo de vida sólido e práticas de gestão de correções de segurança. Tal origina sistemas de TIC com correções de segurança insuficientes (e, como tal, mais vulneráveis) e desatualizados que | • | Sistemas de TIC sem aplicação de correções de segurança e desatualizados que podem causar impactos negativos na gestão do negócio e dos riscos (como falta de flexibilidade e agilidade, interrupções das TIC, menor segurança e resiliência das TIC). |
| Categorias de risco das TIC | Riscos de TIC (lista não exaustiva10 ) | Descrição do risco podem não atender às necessidades da gestão do negócio e dos riscos. | Exemplos | |
| Riscos de Processamento integridade de ou dados das TIC disfuncional dados | tratamento de das TIC | Devido a erros ou falhas do sistema, de comunicação e/ou aplicação, ou a um processo de extração, transferência e carregamento (ETL) de dados executados incorretamente, os dados podem ser corrompidos ou perdidos. | • • • | Erro do sistema de TIC no processamento em batch , originando saldos incorretos nas contas bancárias do cliente. Consultas executadas incorretamente. Perda de dados devido a erro de replicação de dados (cópia de salvaguarda). |
| Controlos validação dados incorretamente em TIC | de de concebidos sistemas de | Erros relacionados com a inexistência ou ineficácia de introdução de dados automática e controlos de aceitação (como para dados de entidades terceiras utilizados), transferência de dados, controlos de processamento e de saída nos sistemas de TIC (como controlos de validade de dados de entrada, reconciliações de dados). | • • • • | Formatação/validação insuficiente ou inválida de entradas de dados em aplicações e/ou interfaces do utilizador. Inexistência de controlos de reconciliação sobre os dados produzidos Inexistência de controlos em processos de extração de dados executados (como consultas a bases de dados) que dão origem a dados errados. Utilização de dados externos com erros. |
| Alterações controladas dados sistemas de Arquitetura, fluxos, ou dados e/ou incorretamente | mal a nos de TIC produção. modelos dicionários de concebidos geridos | Erros de dados introduzidos devido à falta de controlos relativamente à precisão e à natureza justificada de manipulações de dados realizadas na produção de sistemas de TIC Arquiteturas, modelos, fluxos ou dicionários de dados geridos incorretamente podem resultar em várias versões dos mesmos dados nos sistemas de TIC, que já não são consistentes devido a modelos de dados ou definições de dados aplicados de forma diferente e/ou a diferenças no processo de criação e alteração de dados subjacente. | • • | Programadores ou administradores de bases de dados que acedem diretamente e alteram os dados nos sistemas de TIC de produção de uma forma não controlada, como no caso de um incidente ao nível das TIC. A existência de diferentes bases de dados de clientes por produto ou unidade de negócios com diferentes definições e campos de dados, resultando em dados de clientes integrados não reconciliados e difíceis de comparar ao nível de toda a instituição financeira ou grupo. |
| Riscos de Resiliência inadequada | de | A indisponibilidade de serviços de TIC críticos, serviços de telecomunicações e utilitários contratados | • | Indisponibilidade de serviços fundamentais como resultado de falhas nos sistemas ou aplicações de |
| Categorias de risco das TIC | Riscos de TIC (lista não exaustiva10 ) | Descrição do risco | Exemplos | |
| contratação serviços externa de TIC terceiros outra Grupo Governo inadequado contratação externa | de ou de entidade do da | externamente. Perda ou corrupção de dados críticos/sensíveis confiados ao prestador de serviços Degradação ou falhas graves no serviço devido à preparação ou processos de controlo ineficazes do prestador de serviços contratado externamente. Governo ineficaz da contratação externa que pode resultar numa falta de competências e capacidades apropriadas para identificar, avaliar, mitigar e monitorizar totalmente os riscos de TIC e que pode limitar as capacidades operacionais da instituição. | • • • • | TIC de fornecedores (contratados externamente). Perturbação de ligações de telecomunicações. Falta de energia. Procedimentos de gestão de incidentes, mecanismos de controlo contratual e garantias insuficientes integrados no contrato de prestação de serviços que aumentam a dependência para com funcionários chave de entidades terceiras e fornecedores. Controlos de gestão de alterações inapropriados referentes ao ambiente de TIC do prestador de serviços que podem causar uma degradação ou falha grave do serviço. |
| Segurança inadequada terceiros outra Grupo | de ou de entidade do | Pirataria dos sistemas de TIC dos prestadores de serviço, com um impacto direto nos serviços contratados externamente ou nos dados críticos/confidenciais armazenados no prestador de serviços. Obtenção de acesso não autorizado por funcionários do prestador de serviços a dados críticos/sensíveis armazenados no prestador de serviços | • • | Pirataria aos prestadores de serviço por criminosos ou terroristas, como um ponto de entrada para os sistemas de TIC das instituições ou para aceder/destruir dados críticos ou sensíveis armazenados nos prestadores de serviço. Funcionários internos mal-intencionados do lado do prestador de serviços que tentam roubar e vender dados sensíveis. |