184. No que diz respeito às TIC e ao risco de segurança , as autoridades competentes devem …

No que diz respeito às TIC e ao risco de segurança⁵⁵ , as autoridades competentes devem certificar-se de que o quadro de gestão assegurará o funcionamento sólido, fiável e seguro dos sistemas de informação e comunicação que apoiam as atividades das instituições de crédito, bem como a prevenção, monitorização e mitigação adequadas dos riscos das TIC em períodos normais e durante períodos de esforço. As autoridades competentes devem avaliar, em especial:

• (a) se o órgão de administração assume a responsabilidade global pela definição, aprovação e supervisão da aplicação da estratégia em matéria de TIC das instituições financeiras, que deve ser alinhada com a estratégia de negócio global das instituições financeiras;
• (b) a definição e atribuição claras de funções e responsabilidades fundamentais, bem como linhas de comunicação de informações pertinentes, para as funções de TIC para que o quadro de gestão dos riscos associados às TIC e à segurança seja eficaz, incluindo a atribuição de um orçamento adequado para apoiar adequadamente as necessidades operacionais das TIC e a gestão dos riscos associados às TIC e à segurança;
• (c) se a gestão e a supervisão dos riscos associados às TIC e à segurança são atribuídas a uma função de controlo independente e objetiva, devidamente separada dos processos operacionais das TIC e que não seja responsável por qualquer auditoria interna, e a uma função de auditoria interna independente;
• (d) os mecanismos destinados a assegurar a identificação, a criação e a manutenção de um inventário atualizado das áreas de negócio, funções e processos de apoio para identificar a importância de cada um destes e as suas interdependências relativamente aos riscos associados às TIC e à segurança;
• (e) na medida em que a informação é mantida em sistemas de TIC, se os requisitos de segurança da informação estarão em vigor;
• (f) o âmbito, a complexidade e a importância das dependências relacionadas com as TIC, se estiver prevista a subcontratação de funções operacionais dos serviços de TIC e de qualquer atividade dos sistemas de TIC – incluindo a entidades de grupo – ou a utilização de terceiros em relação a essas funções e atividades.

⁵⁵ Tal como definido nas Orientações da EBA relativas à gestão dos riscos associados às TIC e à segurança , entende-se por «riscos associados às TIC e à segurança»: O risco de perdas por violação da confidencialidade, falta de integridade de sistemas e dados, inadequação ou indisponibilidade de sistemas e dados ou incapacidade para alterar as tecnologias da informação (TI) num período de tempo e custos razoáveis quando o ambiente ou os requisitos empresariais se alteram (isto é, agilidade). Tal inclui riscos de segurança resultantes de eventos externos ou processos internos inadequados ou deficientes, incluindo ciberataques ou uma segurança física inadequada.

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

3. Normas relacionadas

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/