+3.4 Sinteza constatărilor și atribuirea scorului
---+61. În urma evaluării de mai sus, autoritățile competente trebuie să își formeze o opinie cu …
---+62. Dacă autoritățile competente consideră că riscul TIC este semnificativ, iar autoritatea …
---+Anexă – Taxonomia riscului TIC

3.4 Sinteza constatărilor și atribuirea scorului

1. Prezentare generală

61. În urma evaluării de mai sus, autoritățile competente trebuie să își formeze o opinie cu …

În urma evaluării de mai sus, autoritățile competente trebuie să își formeze o opinie cu privire la riscul TIC al instituției. Această opinie trebuie să se reflecte într - o sinteză a constatărilor pe care autoritățile competente trebuie să le aibă în vedere atunci când atribuie scorul riscului operațional în tabelul 6 din Ghidul SREP al ABE. Autoritățile competente trebuie să își întemeieze opinia pe riscurile TIC semnificative ținând cont de următoarele considerații care să fundamenteze evaluarea riscului operațional:

a. Considerații privind riscul
i. profilul de risc și expunerile la riscul TIC ale instituției;
ii. sistemele și serviciile TIC esențiale identificate; și
iii. semnificația riscului TIC în ceea ce privește sistemele TIC esențiale.
b. Considerații privind gestionarea și procedurile de control
i. dacă există o concordanță între politica și strategia de gestionare a riscului TIC ale instituției și strategia generală și apetitul la risc al acesteia;
ii. dacă cadrul organizațional pentru gestionarea riscului TIC este solid și conține responsabilități clare și o separare clară a sarcinilor între persoanele care își asumă riscuri și funcțiile de conducere și control;
iii. dacă sunt adecvate sistemele de cuantificare, monitorizare și raportare a riscului TIC; și
iv. dacă cadrele de control pentru riscurile TIC semnificative sunt solide.

62. Dacă autoritățile competente consideră că riscul TIC este semnificativ, iar autoritatea …

Dacă autoritățile competente consideră că riscul TIC este semnificativ, iar autoritatea competentă decide să evalueze și să atribuie un scor acestui risc ca o subcategorie a riscului operațional, tabelul de mai jos (tabelul 1) prezintă considerațiile privind scorul aferent riscului TIC.

Tabelul 1: Considerații de supraveghere privind atribuirea unui scor pentru riscul TIC

Scor Opinia de Considerații privind riscul inerent Considerații privind de risc supraveghere procedurile adecvate de

1 Există un risc • imperceptibil de	administrare și control Sursele de informații avute în vedere la punctul 37 nu au
impact prudenția l semnificativ asupra instituției având în • vedere nivelul de risc inerent și procedurile de gestionare și control.	evidențiat expuneri semnificative la riscul TIC. Natura profilului de risc TIC al i nstituției, în legătură cu analiza sistemelor TIC esențiale și riscurile TIC semnificative pentru sistemele și serviciile TIC, nu au evidențiat riscuri TIC semnificative.
2 Există un risc scăzut • de impact prudențial semnificativ asupra instituției, având în vedere nivelul de risc • inerent și procedurile de gestionare și control.	Sursele de informații avute în vedere la punctul 37 nu au evidențiat expuneri semnificative la riscul TIC. • Politica și strategia Natura profilului de risc TIC al instituției privind riscul TIC instituției, în legătură cu analiza sunt proporționale cu sistemelor TIC esențiale și riscurile strategia generală și TIC semnificative pentru sistemele apetitul la risc al acesteia. și serviciile TIC, au evidențiat o • Cadrul organizațional expunere limitată la riscul TIC (de pentru riscul TIC este solid exemplu, nu mai mult de 2 din 5 și conține responsabilități dintre categoriile de risc TIC clare și o separare clară a prestabilite). sarcinilor între persoanele
3 Există un risc mediu • de impact prudențial semnificativ asupra instituției, având în vedere • nivelul de risc inerent și procedurile de	Sursele de informații avute în care își asumă riscuri și vedere la punctul 37 au evidențiat funcțiile de conducere și indicații ale unor posibile expuneri control. semnificative la riscul TIC. • Sunt adecvate sistemele de Natura profilului de risc TIC al cuantificare, monitorizare instituției, în legătură cu analiza și raportare a riscului TIC. sistemelor TIC esențiale și riscurile • Cadrul de control pentru TIC semnificative pentru sistemele riscul TIC este riguros.
gestionare și control.	și serviciile TIC, au evidențiat o expunere ridicată la riscul TIC (de exemplu, 3 sau mai multe din 5 dintre categoriile de risc TIC prestabilite).
4 Există un risc ridicat • de impact prudențial semnificativ asupra instituției, având în vedere nivelul de risc • inerent și procedurile de gestionare și control.	Sursele de informații avute în vedere la punctul 37 au oferit indicații multiple ale unor expuner i semnificative la riscul TIC. Natura profilului de risc TIC al instituției, în legătură cu analiza sistemelor TIC esențiale și riscurile TIC semnificative pentru sistemele și serviciile TIC, au evidențiat o expunere ridicată la riscul TIC (de exemplu, 4 s au 5 din 5 dintre categoriile de risc TIC prestabilite).

Anexă – Taxonomia riscului TIC

5 categorii de riscuri TIC cu o listă incompletă a riscurilor TIC cu o posibilă gravitate și/sau impact operațional, reputațional sau financiar ridicate

Categorii de Riscuri TIC (listă riscuri TIC incompletă)¹⁰ Riscuri de Gestionarea unor disponibilitate capacități și continuitate insuficiente TIC	Descrierea riscului O lipsă de resurse (de exemplu, hardware, software, personal, furnizori de servicii) poate duce la imposibilitatea de a dimensiona serviciul pentru îndeplinirea nevoilor economice, la întreruperi în sistem, la degradarea serviciului și/sau la erori operaționale.	Exemple • •	Un deficit de capacitate poate afecta ratele de transmitere și disponibilitatea rețelei (de Internet) în cazul serviciilor precum cele bancare pe Internet. Lipsa de personal (intern sau terți) poate duce la întreruperi în sistem și/sau la erori operaționale.
Defecțiuni la sistemul TIC	Pierderea disponibilității din cauza defecțiunilor la sistemul hardware. Pierderea disponibilității din cauza erorilor la sistemul software și a erorilor de tip bug.	• • •	Eroare de stocare/stocarea defectuoasă (pe hard disk), server sau alte echipamente TIC, de exemplu din cauza lipsei întreținerii. O buclă infinită în software - ul de aplicare împiedică executarea tranzacției. Întreruperile datorate utilizării continue a sistemelor și soluțiilor TIC învechite care nu mai îndeplinesc cerințele actuale privind disponibilitatea și reziliența și/sau nu mai sunt susținute de furnizorii acestora.
O planificare inadecvată a continuității și a recuperării TIC ca urmare a dezastrelor Atacuri	Defectarea soluțiilor TIC de disponibilitate și/sau continuitate planificate și/sau nerecuperarea acestora ca urmare a dezastrelor (de exemplu, centru de date de recuperare de rezervă) atunci când sunt activate ca răspuns la producerea unui incident. Atacurile prevăzute pentru diferite scopuri (de	• •	Diferențele de configurare dintre centrul de date primar și cel secundar pot atrage după sine incapacitatea centrului de date de rezervă de a asigura continuitatea prevăzută a serviciului. Atacurile distribuite cu blocarea accesului au loc

10 Riscurile TIC sunt enumerate la categoria de riscuri cu cel mai mare impact, însă acestea pot avea impact și asupra altor cat egorii de riscuri

Categorii de Riscuri TIC (listă riscuri TIC incompletă)¹⁰ cibernetice perturbatoare și distructive	Descrierea riscului exemplu, activism, șantaj), care determină supraîncărcarea sistemelor și a rețelei, împiedicând accesarea serviciilor informaționale online de către utilizatorii legitimi ai acestora.	Exemple	prin intermediul mai multor sisteme informatice de pe Internet controlate de un hacker care trimite o cantitate mare de solicitări de servicii aparent legitime către serviciile de Internet (de exemplu, servicii bancare electronice).
Riscuri de Atacuri securitate TIC cibernetice și alte atacuri externe bazate pe TIC	Atacurile lansate de pe Internet sau din rețele din exterior în diferite scopuri (de exemplu, fraudă, spionaj, activism/sabotaj, terorism cibernetic) printr -o varietate de tehnici (de exemplu, inginerie socială, încercări de pătrundere forțată prin exploatarea vulnerabilităților, transmiterea de software dăunător) care duc la preluarea controlului asupra sistemelor TIC interne. Executarea de tranzacții de plăți frauduloase de către hackeri prin spargerea sau ocolirea sistemului de securitate al serviciilor bancare electronice și de plată și/sau prin atacarea și exploatarea vulnerabilităților de securitate din cadrul sistemelor de plată interne ale instituției. Executarea de către hackeri a tranzacțiilor frauduloase cu valori mobiliare prin spargerea sau ocolirea sistemului de securitate al serviciilor bancare electronice care asigură și accesul la conturile de valori mobiliare ale clienților.	Diferite • • • • • • •	tipuri de atacuri: APA (Amenințare persistentă avansată) pentru preluarea controlului asupra sistemelor interne sau furtul de informații (de exemplu, informații legate de furtul de identitate, informații despre cărți de credit). Software dăunător (de exemplu, ransomware) care criptează date în scop de șantajare. Infectarea sistemelor TIC interne cu cai troieni pentru comiterea de acțiuni dăunătoare ascunse în sistem. Exploatarea sistemului TIC și/sau a vulnerabilităților aplicațiilor (web) (de exemplu injectarea SQL ...) pentru dobândirea accesului la sistemul TIC intern. Atacuri împotriva serviciilor bancare electronice sau de plată cu obiectivul de a efectua tranzacții neautorizate. Crearea și transmiterea de tranzacții de plată frauduloase din interiorul sistemelor de plată interne ale instituției (de exemplu, mesaje SWIFT frauduloase). Atacuri de tipul „pump and dump”, în urma cărora hackerii dobândesc acces la conturi de valori mobiliare ale clienților prin servicii bancare electronice și plasează ordine de cumpărare sau vânzare frauduloase pentru a influența prețul pieței și/sau a obține câștiguri pe baza pozițiilor valorilor
Categorii de Riscuri TIC (listă riscuri TIC incompletă)¹⁰	Descrierea riscului Atacuri asupra conexiunilor de comunicare și a conversațiilor de orice fel sau a sistemelor TIC cu obiectivul de a colecta informații și/sau a comite fraude.	Exemple •	mobiliare stabilite anterior. Interceptări/interceptarea transmisiunilor neprotejate de date de autentificare în text simplu.
Securitate TIC internă inadecvată	Obținerea accesului neautorizat la sisteme TIC esențiale din interiorul instituției în diferite scopuri (de exemplu, fraudă, desfășurarea și ascunderea de tranzacții frauduloase, furtul de date, activism/sabotaj) printr -o varietate de tehnici (de exemplu, abuzul de și/sau sporirea privilegiilor, furtul de identitate, ingineria socială, exploatarea vulnerabilităților din sistemele TIC, transmiterea de software dăunător). Cazuri de manipulare TIC neautorizată din cauza procedurilor și practicilor de gestionare a accesului TIC necorespunzătoare. Amenințări la adresa securității din cauza lipsei de cunoștințe despre securitate, situații în care angajații nu înțeleg, neglijează sau nu respectă politicile și procedurile de securitate TIC.	• • • • • • •	Instalarea de înregistratori pe taste (înregistratori de taste) pentru a fura identificatori și parole ale utilizatorilor în vederea dobândirii accesului neautorizat la date confidențiale și/sau a comiterii de fraude. Spargerea/aflarea parolelor simple pentru a dobândi drepturi de acces nelegitime sau la un nivel ridicat. Administr atorul de sistem utilizează sistemele de operare sau utilitățile bazei de date (pentru modificări directe la nivelul bazei de date) pentru comiterea de fraude. Imposibilitatea de a dezactiva sau a șterge conturile inutile, cum ar fi cele ale angajaților care și -au schimbat funcțiile și/sau au plecat din instituție, inclusiv ale oaspeților sau furnizorilor care nu mai au nevoie de acces, asigurând accesul neautorizat la sisteme TIC. Acordarea de drepturi și privilegii de acces excesive, permițând accesul neautorizat și/sau facilitând ascund erea activităților frauduloase. Angajații care sunt înșelați și determinați să ofere asistență pentru un atac (mai exact, inginerie socială). Practici proaste privind acreditările: transmiterea parolelor, folosirea de parole „ușor” de ghicit, folosirea aceleiași parole în diferite scopuri etc.
Categorii de Riscuri TIC (listă riscuri TIC incompletă)¹⁰	Descrierea riscului Stocarea sau transferul neautorizat de informații confidențiale în afara instituției.	Exemple • •	Stocarea de d ate confidențiale necriptate pe laptop- uri și soluții portabile de stocare a datelor (de exemplu, unități USB) care pot fi pierdute sau furate. Persoane care fură sau scapă în mod intenționat ori fac contrabandă cu informații confidențiale cu persoane neautorizate sau cu publicul.
Securitate TIC fizică inadecvată	Deturnarea sau furtul de active TIC prin accesul fizic, provocând daune, pierderea de active sau date ori materializând altor amenințări. Deteriorarea intenționată sau accidentală a activelor TIC fizice din cauza terorismului, a accidentelor sau a manipulării regretabile/eronate din partea angajaților instituției și/sau a terților (furnizori, reparatori). Protejarea fizică insuficientă împotriva calamităților naturale, care duc la distrugerea parțială sau completă a sistemelor TIC/centrelor de date.	• • • •	Pătrunderea prin efracție în clădiri de birouri și/sau centre de date pentru a fura echipamente TIC (de exemplu, calculatoare, laptop - uri, soluții de stocare) și/sau pentru a copia date prin accesul fizic la sisteme TIC. Terorism fizic (mai exact, bombe teroriste) sau sabotarea activelor TIC. Distrugerea centrului de date prin incendiu, infiltrații de apă sau alți factori. Cutremure, caniculă, vânturi puternice, furtuni puternice de zăpadă, inundații, incendii, fulgere.
Riscuri de Proceduri de schimbare TIC control inadecvate pentru schimbări aduse sistemului TIC sau dezvoltarea acestuia.	Incidente provocate de erori sau vulnerabilități nedepistate ca urmare a schimbărilor (de exemplu, efecte neprevăzute ale unei schimbări sau o schimbare gestionată necorespunzător din cauza lipsei testării sau a practicilor necorespunzătoare de gestionare a schimbărilor) aduse, spre exemplu, software - ului, sistemelor și datelor TIC.	• • •	Lansarea în producție a schimbărilor produse la nivelul software- ului sau a celor de configurații fără o testare suficientă, acestea producând efecte adverse neașteptate asupra datelor (de exemplu, corupere, ștergere) și/sau a performanței sistemului TIC (de exemplu, defectare, degradarea performanței). Schimbări necontrolate la nivelul sistemelor sau datelor TIC din mediul de producție. Lansarea în producție a sistemelor TIC și aplicațiil or de Internet cu un sistem precar de securitate, acordându- se ocazia hackerilor să atace serviciile de Internet furnizate și/sau să spargă sistemele TIC
Categorii de Riscuri TIC (listă riscuri TIC incompletă)¹⁰	Descrierea riscului	Exemple • •	interne. Schimbări necontrolate la nivelul codului sursă al software-ului dezvoltat intern. Testarea i nsuficientă din cauza absenței mediilor de testare adecvate.
Arhitectura TIC inadecvată	O gestionare defectuoasă a arhitecturii TIC la proiectarea, dezvoltarea și întreținerea sistemelor TIC (de exemplu, software, hardware, date) poate duce, în timp, la o gestionare complexă, dificilă, costisitoare și la sisteme TIC rigide care nu mai sunt suficient armonizate cu nevoile economice și nu mai respectă cerințele efective de gestionare a riscurilor.	• •	Schimbările aduse sistemelor TIC, aplicațiilor software și/sau datelor, care sunt gestionate necorespunzător pe o perioadă mai lungă de timp, rezultând sisteme și arhitecturi TIC complexe, eterogene și dificil de gestionat, provocând multe efecte adverse la nivel economic și al gestionării riscurilor (de exemplu, o securitate și reziliență TIC precare, scăderea calității datelor și a capacităților de raportare). Personalizarea și extinderea excesivă a pachetelor comerciale de software cu software-ul dezvoltat la nivel intern, ceea ce duce la imposibilitatea de a im plementa ediții și versiuni superioare viitoare ale software- ului comercial, precum și la riscul de a nu mai fi susținut de către furnizor.
Gestionarea inadecvată a ciclului de viață și a patch-ului	Absența întreținerii unui inventar adecvat al tuturor a ctivelor TIC cu susținerea și în combinație cu practici solide privind gestionarea ciclului de viață și a patch - ului. Aceasta duce la o codificare insuficientă (și, astfel, mai vulnerabilă) a sistemelor TIC și la învechirea acestora, fiind posibil ca acestea să nu mai fie compatibile cu nevoile economice și de gestionare a riscurilor.	•	Sistemele TIC necodificate și învechite care pot provoca efecte adverse la nivel economic și al gestionării riscurilor (de exemplu, lipsa de flexibilitate și agilitate, întreruperi TIC, slăbirea sistemelor de securitate și a rezilienței TIC).
Riscuri de Prelucrarea sau integritate a abordarea datelor datelor TIC TIC disfuncționale	Din cauza erorilor sau defecțiunilor la nivel de sistem, comunicare și/sau aplicație, ori din cauza faptului că procesul de extragere, transfer și încărcare a datelor (ETI) a fost executat eronat, datele ar putea fi corupte	• •	Eroare la sistemul informatic la prelucrarea în lot, ducând la apariția de solduri incorecte în conturile bancare ale clienților. Interogări executate greșit.
Categorii de Riscuri TIC (listă riscuri TIC incompletă)¹⁰	Descrierea riscului sau pierdute.	Exemple •	Pierdere de date din cauza erorii de replicare (copiere de rezervă) a datelor.
Proiectarea eronată a procedurilor de control pentru validarea datelor la sisteme TIC	Erori legate de absența sau ineficiența introducerii automate a datelor sau a procedurilor de control de acceptare (de exemplu, în cazul utilizării datelor terților), a transferului de date, a prelucrării și introducerii procedurilor de control în sisteme TIC (de exemplu, proceduri de control pentru validarea datelor introduse, reconcilieri de date).	• • • •	Formatarea/validarea insuficientă sau nulă a datelor introduse în aplicații și/sau interfețe ale utilizatorului. Absența unor proceduri de control pentru re concilierea datelor la generarea datelor de ieșire Absența unor proceduri de control pentru procesele de extragere a datelor executate (de exemplu, interogări în baza de date), ducând la generarea de date eronate. Utilizarea de date externe defectuoase.
Controlarea deficientă a schimbărilor de date la nivelul producției de sisteme TIC. Proiectarea și/sau gestionarea deficientă a arhitecturii datelor, a fluxurilor de date, a modelelor de date sau a dicționarelor de date Riscuri de Reziliența externalizare inadecvată a TIC serviciilor unui terț sau ale unei	Introducerea de erori de date din cauza absenței unor proceduri de control pentru corectitudinea și justificarea acțiunilor de manipulare a datelor efectuate la producția d e sisteme TIC. Gestionarea deficientă a arhitecturilor datelor, a modelelor de date, a fluxurilor de date sau a dicționarelor de date poate duce la generarea mai multor versiuni ale acelorași date în sistemele TIC, care nu mai sunt consecvente din cauza modelelor de date sau a definițiilor de date aplicate diferit, și/sau a diferențelor la nivelul procesului de generare și schimbare a datelor aferente. Indisponibilitatea serviciilor TIC, serviciilor de telecomunicații și utilități esențiale externalizate. Pierderea sau corup erea datelor esențiale/sensibile încredințate furnizorului de servicii	• • • •	Dezvoltatorii sau administratorii de baze de date care accesează și schimbă direct datele în producția de sisteme TIC în mod necontrolat, de exemplu în cazul unui incident TIC. Existența unor baze de date diferite ale clienților pe produs sau unitate economică, cu definiții și câmpuri de date diferite, ducând la imposibilitatea de reconciliere și la dificultatea de comparare a datelor integrate ale clienților la nivelul întregii instituții sau al întregului grup financ iar. Indisponibilitatea serviciilor de bază ca urmare a defecțiunilor de la nivelul sistemelor sau aplicațiilor TIC (externalizate) ale furnizorilor. Întreruperea legăturilor de telecomunicații.
Categorii de Riscuri TIC (listă riscuri TIC incompletă)¹⁰ alte entități din cadrul grupului Guvernanța necorespunzătoar e a acțiunii de externalizare	Descrierea riscului Degradarea avansată a funcționării sau defectarea din cauza unor procese ineficace de pregătire sau control din partea furnizorului de servicii către care s-a realizat externalizarea. Guvernanța ineficace a acțiunii de externalizare poate duce la absența competențelor și capacităților adecvate pentru identificarea, evaluarea, atenuarea și monitorizarea integrală a riscurilor TIC și poate limita ca pacitățile operaționale ale instituțiilor.	Exemple • • •	Întreruperea alimentării cu energie. Proceduri de abordare a incidentelor, mecanisme de control contractual și garanții dezvoltate defectuos și integrate în acordul cu furnizorul de servicii, crescând dependența umană esențială de terți și furnizori. Procedurile de control inadecvate pentru gestionarea schimbărilor, care vizează mediul TIC al furnizorului de servicii, pot duce la degradarea avansată a funcționării sau la defectare.
Securitatea inadecvată a unui terț sau a unei alte entități din cadrul grupului	Spargerea sistemelor TIC ale furnizorilor de servicii terți, cu un impact direct asupra serviciilor externalizate sau a datelor esențiale/confidențiale stocate la furnizorul de servicii. Dobândirea accesului neautorizat de către angajații furnizorului de servicii la date esențiale/sensibile stocate la furnizorul de servicii	• •	Pătrunderea ilegală a infractorilor sau a teroriștilor la furnizorii de servicii, ca punct de intrare în sistemele TIC ale instituțiilor sau pentru a accesa/distruge date esențiale sau sensibile stocate la furnizorul de servicii. Existența unor persoane răufăcătoare la furnizorul de servicii, care încearcă să sustragă și să vândă date sensibile.

1.1 Referințe

1.2 Cerințe identificate

1.3 Standarde asociate

2. Cerințe identificate

Cerințe
Sursă	Cerință

3. Standarde asociate

Standarde
Sursă	Cerință

EBA - Published by the European Banking Authority at https://www.eba.europa.eu/