55. Autoritățile competente trebuie să evalueze dacă instituția a stabilit un cadru eficace pentru …

Autoritățile competente trebuie să evalueze dacă instituția a stabilit un cadru eficace pentru identificarea, înțelegerea, măsurarea și atenuarea riscului de securitate TIC. În scopul acestei evaluări, autoritățile competente trebuie să aibă în vedere, în mod specific, dacă în respectivul cadru sunt prevăzute următoarele:

• a. roluri și responsabilități definite clar cu privire la:
• i. persoana (persoanele) și/sau comitetele responsabile și/sau răspunzătoare pentru gestionarea curentă a securității TIC și elaborarea de politici generale de securitate TIC, acordându -se atenție independenței lor necesare;
• ii. proiectarea, implementarea, gestionarea și monitorizarea procedurilor de control privind securitatea TIC;
• iii. protecția sistemelor și serviciilor TIC esențiale, spre ex emplu prin adoptarea unui proces de evaluare a vulnerabilității, gestionarea patch - ului software, protecția punctului final (de exemplu, un virus malware), instrumente de detectare și prevenire a intrușilor;
• iv. monitorizarea, clasificarea și abordarea incidentelor de securitate TIC externe sau interne; inclusiv intervenția în caz de incidente și relansarea și recuperarea sistemelor și serviciilor TIC;
• v. evaluări regulate și proactive ale amenințărilor pentru menținerea de proceduri de control al securității ad ecvate.
• b. o politică de securitate TIC care ia în considerare și, după caz, respectă standarde și principii de securitate TIC recunoscute la nivel internațional (de exemplu, „principiul celui mai mic privilegiu”, adică limitarea accesului la nivelul minim care va permite funcționarea normală pentru gestionarea dreptului de acces, și principiul „apărării în profunzime”, adică mecanismele de securitate stratificate cresc nivelul de securitate al sistemului în ansamblu pentru proiectarea arhitecturii de securita te);
• c. un proces pentru identificarea sistemelor și serviciilor TIC și cerințe proporționale privind securitatea care să reflecte un eventual risc de fraudă și/sau posibile utilizări greșite și/sau abuzuri de date confidențiale, precum și așteptări documentate în materie de securitate care să fie respectate pentru aceste sisteme, servicii și date TIC identificate, în concordanță cu toleranța la risc a instituției și cu monitorizarea implementării corecte a acestora;
• d. un proces documentat de gestionare și escaladare a incidentelor legate de securitate, care să ofere îndrumări cu privire la diferitele roluri și responsabilități de gestionare și escaladare a incidentelor, membrii comitetului (comitetelor) de criză și lanțul de comandă în cazuri de urgență de secur itate;
• e. funcția de înregistrare a utilizatorilor și a activității administrative pentru a permite monitorizarea eficace și detectarea și intervenția promptă în cazul unei activități neautorizate; asistarea la sau desfășurarea de anchete criminalistice cu privire la incidente de securitate. Instituția trebuie să instituie politici de înregistrare prin care să se stabilească tipuri corespunzătoare de registre de evidență care să fie păstrate, precum și perioada de păstrare a acestora;
• f. campanii sau inițiative de sensibilizare și informare pentru a informa toate nivelurile din cadrul instituției cu privire la utilizarea sigură și protecția sistemelor TIC ale instituției, precum și la principalele riscuri de securitate TIC (și alte riscuri) pe care trebuie să le cunoască acestea, în special cu privire la amenințările cibernetice existente și cele evolutive (de exemplu, viruși informatici, posibile abuzuri sau atacuri interne sau externe, atacuri cibernetice) și rolul acestora în reducerea breșelor de securitate;
• g. măsuri de securitate fizice adecvate (de exemplu, sisteme CCTV, alarme antifurt, uși de securitate) pentru prevenirea accesului fizic neautorizat la sisteme TIC esențiale și sensibile (de exemplu, centre de date);
• h. măsuri pentru protejarea sistemelor TIC de atacurile de pe Internet (de exemplu, atacuri cibernetice) sau alte rețele externe (de exemplu, legături de telecomunicații tradiționale sau legături cu parteneri de încredere). Autoritățile competente trebuie să analizeze dacă în cadrul instituției sunt avute în vedere următoarele:
• i. un proces și soluții pentru întreținerea unui inventar de date complet și actualizat și evidența tuturor punctelor de conectare la rețea cu orientare spre exterior (de exemplu, site- uri, aplicații pe Internet, WIFI, acces la distanță) prin care terții ar putea să spargă sistemele TIC interne.
• ii. măsuri de securitate gestionate și monitorizate îndeaproape (de exemplu, sisteme de tip firewall, servere proxy, sisteme de retransmitere a mesajelor, sisteme de scanare antivirus ș i de c onținut) pentru a securiza traficul care intră și care iese din rețea (de exemplu, mesajele electronice) și conexiunile la rețea cu orientare spre exterior prin care terții ar putea să spargă sistemele TIC interne;
• iii. procese și soluții pentru securizarea si te- urilor și aplicațiilor care pot fi atacate în mod direct de pe Internet și/sau din exterior și care pot constitui drept puncte de intrare în sistemele TIC interne. În general, acestea includ o combinație de practici de dezvoltare sigure recunoscute, practici de scanare a vulnerabilității și consolidare a sistemelor TIC și/sau implementarea de soluții de securitate suplimentare precum, de exemplu, sistemele de tip firewall și/sau detectarea intrușilor (IDS) și/sau de prevenire a intrușilor;
• iv. teste periodic e de pătrundere în sistemul de securitate pentru a evalua eficacitatea măsurilor și proceselor de securitate TIC interne și cibernetice implementate. Aceste teste trebuie efectuate de către personal și/sau experți externi având expertiza necesară, iar rezu ltatele testelor documentată și concluziile raportate organelor cu funcție de conducere și/sau structurii de conducere. Dacă este necesar sau dacă este cazul, instituția trebuie să identifice în urma acestor teste punctele care necesită îmbunătățiri supl imentare la nivelul procedurilor de control și al proceselor de securitate și/sau să obțină asigurarea cu privire la eficacitatea acestora.
• (c) Proceduri de control pentru gestionarea riscurilor de schimbare TIC semnificative

1. Prezentare generală

1.1 Referințe

1.2 Cerințe identificate

1.3 Standarde asociate

2. Cerințe identificate

3. Standarde asociate

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/