| Categorii de Riscuri TIC (listă riscuri TIC incompletă)10 cibernetice perturbatoare și distructive | Descrierea riscului exemplu, activism, șantaj), care determină supraîncărcarea sistemelor și a rețelei, împiedicând accesarea serviciilor informaționale online de către utilizatorii legitimi ai acestora. | Exemple | prin intermediul mai multor sisteme informatice de pe Internet controlate de un hacker care trimite o cantitate mare de solicitări de servicii aparent legitime către serviciile de Internet (de exemplu, servicii bancare electronice). |
| Riscuri de Atacuri securitate TIC cibernetice și alte atacuri externe bazate pe TIC | Atacurile lansate de pe Internet sau din rețele din exterior în diferite scopuri (de exemplu, fraudă, spionaj, activism/sabotaj, terorism cibernetic) printr -o varietate de tehnici (de exemplu, inginerie socială, încercări de pătrundere forțată prin exploatarea vulnerabilităților, transmiterea de software dăunător) care duc la preluarea controlului asupra sistemelor TIC interne. Executarea de tranzacții de plăți frauduloase de către hackeri prin spargerea sau ocolirea sistemului de securitate al serviciilor bancare electronice și de plată și/sau prin atacarea și exploatarea vulnerabilităților de securitate din cadrul sistemelor de plată interne ale instituției. Executarea de către hackeri a tranzacțiilor frauduloase cu valori mobiliare prin spargerea sau ocolirea sistemului de securitate al serviciilor bancare electronice care asigură și accesul la conturile de valori mobiliare ale clienților. | Diferite • • • • • • • | tipuri de atacuri: APA (Amenințare persistentă avansată) pentru preluarea controlului asupra sistemelor interne sau furtul de informații (de exemplu, informații legate de furtul de identitate, informații despre cărți de credit). Software dăunător (de exemplu, ransomware) care criptează date în scop de șantajare. Infectarea sistemelor TIC interne cu cai troieni pentru comiterea de acțiuni dăunătoare ascunse în sistem. Exploatarea sistemului TIC și/sau a vulnerabilităților aplicațiilor (web) (de exemplu injectarea SQL ...) pentru dobândirea accesului la sistemul TIC intern. Atacuri împotriva serviciilor bancare electronice sau de plată cu obiectivul de a efectua tranzacții neautorizate. Crearea și transmiterea de tranzacții de plată frauduloase din interiorul sistemelor de plată interne ale instituției (de exemplu, mesaje SWIFT frauduloase). Atacuri de tipul „pump and dump”, în urma cărora hackerii dobândesc acces la conturi de valori mobiliare ale clienților prin servicii bancare electronice și plasează ordine de cumpărare sau vânzare frauduloase pentru a influența prețul pieței și/sau a obține câștiguri pe baza pozițiilor valorilor |
| Categorii de Riscuri TIC (listă riscuri TIC incompletă)10 | Descrierea riscului Atacuri asupra conexiunilor de comunicare și a conversațiilor de orice fel sau a sistemelor TIC cu obiectivul de a colecta informații și/sau a comite fraude. | Exemple • | mobiliare stabilite anterior. Interceptări/interceptarea transmisiunilor neprotejate de date de autentificare în text simplu. |
| Securitate TIC internă inadecvată | Obținerea accesului neautorizat la sisteme TIC esențiale din interiorul instituției în diferite scopuri (de exemplu, fraudă, desfășurarea și ascunderea de tranzacții frauduloase, furtul de date, activism/sabotaj) printr -o varietate de tehnici (de exemplu, abuzul de și/sau sporirea privilegiilor, furtul de identitate, ingineria socială, exploatarea vulnerabilităților din sistemele TIC, transmiterea de software dăunător). Cazuri de manipulare TIC neautorizată din cauza procedurilor și practicilor de gestionare a accesului TIC necorespunzătoare. Amenințări la adresa securității din cauza lipsei de cunoștințe despre securitate, situații în care angajații nu înțeleg, neglijează sau nu respectă politicile și procedurile de securitate TIC. | • • • • • • • | Instalarea de înregistratori pe taste (înregistratori de taste) pentru a fura identificatori și parole ale utilizatorilor în vederea dobândirii accesului neautorizat la date confidențiale și/sau a comiterii de fraude. Spargerea/aflarea parolelor simple pentru a dobândi drepturi de acces nelegitime sau la un nivel ridicat. Administr atorul de sistem utilizează sistemele de operare sau utilitățile bazei de date (pentru modificări directe la nivelul bazei de date) pentru comiterea de fraude. Imposibilitatea de a dezactiva sau a șterge conturile inutile, cum ar fi cele ale angajaților care și -au schimbat funcțiile și/sau au plecat din instituție, inclusiv ale oaspeților sau furnizorilor care nu mai au nevoie de acces, asigurând accesul neautorizat la sisteme TIC. Acordarea de drepturi și privilegii de acces excesive, permițând accesul neautorizat și/sau facilitând ascund erea activităților frauduloase. Angajații care sunt înșelați și determinați să ofere asistență pentru un atac (mai exact, inginerie socială). Practici proaste privind acreditările: transmiterea parolelor, folosirea de parole „ușor” de ghicit, folosirea aceleiași parole în diferite scopuri etc. |
| Categorii de Riscuri TIC (listă riscuri TIC incompletă)10 | Descrierea riscului Stocarea sau transferul neautorizat de informații confidențiale în afara instituției. | Exemple • • | Stocarea de d ate confidențiale necriptate pe laptop- uri și soluții portabile de stocare a datelor (de exemplu, unități USB) care pot fi pierdute sau furate. Persoane care fură sau scapă în mod intenționat ori fac contrabandă cu informații confidențiale cu persoane neautorizate sau cu publicul. |
| Securitate TIC fizică inadecvată | Deturnarea sau furtul de active TIC prin accesul fizic, provocând daune, pierderea de active sau date ori materializând altor amenințări. Deteriorarea intenționată sau accidentală a activelor TIC fizice din cauza terorismului, a accidentelor sau a manipulării regretabile/eronate din partea angajaților instituției și/sau a terților (furnizori, reparatori). Protejarea fizică insuficientă împotriva calamităților naturale, care duc la distrugerea parțială sau completă a sistemelor TIC/centrelor de date. | • • • • | Pătrunderea prin efracție în clădiri de birouri și/sau centre de date pentru a fura echipamente TIC (de exemplu, calculatoare, laptop - uri, soluții de stocare) și/sau pentru a copia date prin accesul fizic la sisteme TIC. Terorism fizic (mai exact, bombe teroriste) sau sabotarea activelor TIC. Distrugerea centrului de date prin incendiu, infiltrații de apă sau alți factori. Cutremure, caniculă, vânturi puternice, furtuni puternice de zăpadă, inundații, incendii, fulgere. |
| Riscuri de Proceduri de schimbare TIC control inadecvate pentru schimbări aduse sistemului TIC sau dezvoltarea acestuia. | Incidente provocate de erori sau vulnerabilități nedepistate ca urmare a schimbărilor (de exemplu, efecte neprevăzute ale unei schimbări sau o schimbare gestionată necorespunzător din cauza lipsei testării sau a practicilor necorespunzătoare de gestionare a schimbărilor) aduse, spre exemplu, software - ului, sistemelor și datelor TIC. | • • • | Lansarea în producție a schimbărilor produse la nivelul software- ului sau a celor de configurații fără o testare suficientă, acestea producând efecte adverse neașteptate asupra datelor (de exemplu, corupere, ștergere) și/sau a performanței sistemului TIC (de exemplu, defectare, degradarea performanței). Schimbări necontrolate la nivelul sistemelor sau datelor TIC din mediul de producție. Lansarea în producție a sistemelor TIC și aplicațiil or de Internet cu un sistem precar de securitate, acordându- se ocazia hackerilor să atace serviciile de Internet furnizate și/sau să spargă sistemele TIC |
| Categorii de Riscuri TIC (listă riscuri TIC incompletă)10 | Descrierea riscului | Exemple • • | interne. Schimbări necontrolate la nivelul codului sursă al software-ului dezvoltat intern. Testarea i nsuficientă din cauza absenței mediilor de testare adecvate. |
| Arhitectura TIC inadecvată | O gestionare defectuoasă a arhitecturii TIC la proiectarea, dezvoltarea și întreținerea sistemelor TIC (de exemplu, software, hardware, date) poate duce, în timp, la o gestionare complexă, dificilă, costisitoare și la sisteme TIC rigide care nu mai sunt suficient armonizate cu nevoile economice și nu mai respectă cerințele efective de gestionare a riscurilor. | • • | Schimbările aduse sistemelor TIC, aplicațiilor software și/sau datelor, care sunt gestionate necorespunzător pe o perioadă mai lungă de timp, rezultând sisteme și arhitecturi TIC complexe, eterogene și dificil de gestionat, provocând multe efecte adverse la nivel economic și al gestionării riscurilor (de exemplu, o securitate și reziliență TIC precare, scăderea calității datelor și a capacităților de raportare). Personalizarea și extinderea excesivă a pachetelor comerciale de software cu software-ul dezvoltat la nivel intern, ceea ce duce la imposibilitatea de a im plementa ediții și versiuni superioare viitoare ale software- ului comercial, precum și la riscul de a nu mai fi susținut de către furnizor. |
| Gestionarea inadecvată a ciclului de viață și a patch-ului | Absența întreținerii unui inventar adecvat al tuturor a ctivelor TIC cu susținerea și în combinație cu practici solide privind gestionarea ciclului de viață și a patch - ului. Aceasta duce la o codificare insuficientă (și, astfel, mai vulnerabilă) a sistemelor TIC și la învechirea acestora, fiind posibil ca acestea să nu mai fie compatibile cu nevoile economice și de gestionare a riscurilor. | • | Sistemele TIC necodificate și învechite care pot provoca efecte adverse la nivel economic și al gestionării riscurilor (de exemplu, lipsa de flexibilitate și agilitate, întreruperi TIC, slăbirea sistemelor de securitate și a rezilienței TIC). |
| Riscuri de Prelucrarea sau integritate a abordarea datelor datelor TIC TIC disfuncționale | Din cauza erorilor sau defecțiunilor la nivel de sistem, comunicare și/sau aplicație, ori din cauza faptului că procesul de extragere, transfer și încărcare a datelor (ETI) a fost executat eronat, datele ar putea fi corupte | • • | Eroare la sistemul informatic la prelucrarea în lot, ducând la apariția de solduri incorecte în conturile bancare ale clienților. Interogări executate greșit. |
| Categorii de Riscuri TIC (listă riscuri TIC incompletă)10 | Descrierea riscului sau pierdute. | Exemple • | Pierdere de date din cauza erorii de replicare (copiere de rezervă) a datelor. |
| Proiectarea eronată a procedurilor de control pentru validarea datelor la sisteme TIC | Erori legate de absența sau ineficiența introducerii automate a datelor sau a procedurilor de control de acceptare (de exemplu, în cazul utilizării datelor terților), a transferului de date, a prelucrării și introducerii procedurilor de control în sisteme TIC (de exemplu, proceduri de control pentru validarea datelor introduse, reconcilieri de date). | • • • • | Formatarea/validarea insuficientă sau nulă a datelor introduse în aplicații și/sau interfețe ale utilizatorului. Absența unor proceduri de control pentru re concilierea datelor la generarea datelor de ieșire Absența unor proceduri de control pentru procesele de extragere a datelor executate (de exemplu, interogări în baza de date), ducând la generarea de date eronate. Utilizarea de date externe defectuoase. |
| Controlarea deficientă a schimbărilor de date la nivelul producției de sisteme TIC. Proiectarea și/sau gestionarea deficientă a arhitecturii datelor, a fluxurilor de date, a modelelor de date sau a dicționarelor de date Riscuri de Reziliența externalizare inadecvată a TIC serviciilor unui terț sau ale unei | Introducerea de erori de date din cauza absenței unor proceduri de control pentru corectitudinea și justificarea acțiunilor de manipulare a datelor efectuate la producția d e sisteme TIC. Gestionarea deficientă a arhitecturilor datelor, a modelelor de date, a fluxurilor de date sau a dicționarelor de date poate duce la generarea mai multor versiuni ale acelorași date în sistemele TIC, care nu mai sunt consecvente din cauza modelelor de date sau a definițiilor de date aplicate diferit, și/sau a diferențelor la nivelul procesului de generare și schimbare a datelor aferente. Indisponibilitatea serviciilor TIC, serviciilor de telecomunicații și utilități esențiale externalizate. Pierderea sau corup erea datelor esențiale/sensibile încredințate furnizorului de servicii | • • • • | Dezvoltatorii sau administratorii de baze de date care accesează și schimbă direct datele în producția de sisteme TIC în mod necontrolat, de exemplu în cazul unui incident TIC. Existența unor baze de date diferite ale clienților pe produs sau unitate economică, cu definiții și câmpuri de date diferite, ducând la imposibilitatea de reconciliere și la dificultatea de comparare a datelor integrate ale clienților la nivelul întregii instituții sau al întregului grup financ iar. Indisponibilitatea serviciilor de bază ca urmare a defecțiunilor de la nivelul sistemelor sau aplicațiilor TIC (externalizate) ale furnizorilor. Întreruperea legăturilor de telecomunicații. |
| Categorii de Riscuri TIC (listă riscuri TIC incompletă)10 alte entități din cadrul grupului Guvernanța necorespunzătoar e a acțiunii de externalizare | Descrierea riscului Degradarea avansată a funcționării sau defectarea din cauza unor procese ineficace de pregătire sau control din partea furnizorului de servicii către care s-a realizat externalizarea. Guvernanța ineficace a acțiunii de externalizare poate duce la absența competențelor și capacităților adecvate pentru identificarea, evaluarea, atenuarea și monitorizarea integrală a riscurilor TIC și poate limita ca pacitățile operaționale ale instituțiilor. | Exemple • • • | Întreruperea alimentării cu energie. Proceduri de abordare a incidentelor, mecanisme de control contractual și garanții dezvoltate defectuos și integrate în acordul cu furnizorul de servicii, crescând dependența umană esențială de terți și furnizori. Procedurile de control inadecvate pentru gestionarea schimbărilor, care vizează mediul TIC al furnizorului de servicii, pot duce la degradarea avansată a funcționării sau la defectare. |
| Securitatea inadecvată a unui terț sau a unei alte entități din cadrul grupului | Spargerea sistemelor TIC ale furnizorilor de servicii terți, cu un impact direct asupra serviciilor externalizate sau a datelor esențiale/confidențiale stocate la furnizorul de servicii. Dobândirea accesului neautorizat de către angajații furnizorului de servicii la date esențiale/sensibile stocate la furnizorul de servicii | • • | Pătrunderea ilegală a infractorilor sau a teroriștilor la furnizorii de servicii, ca punct de intrare în sistemele TIC ale instituțiilor sau pentru a accesa/distruge date esențiale sau sensibile stocate la furnizorul de servicii. Existența unor persoane răufăcătoare la furnizorul de servicii, care încearcă să sustragă și să vândă date sensibile. |