184. În ceea ce privește riscul TIC și de securi tate , autoritățile competente trebuie să se …

În ceea ce privește riscul TIC și de securi tate⁵⁵ , autoritățile competente trebuie să se asigure că cadrul de administrare va asigura funcționarea corectă, fiabilă și sigură a sistemelor de informare și comunicare care sprijină activitățile instituțiilor de credit, precum și prevenirea, monitorizarea și atenuarea adecvată a riscurilor TIC atât în perioade normale, cât și în perioade de criză. Autoritățile competente trebuie să evalueze, în special:

• (a) dacă organul de conducere este pe deplin răspunzător de stabilirea, aprobarea și supravegherea punerii în aplicare a strategiei TIC a instituțiilor financiare, care ar trebui să fie aliniată la strategia generală de afaceri a instituțiilor financiare;
• (b) definirea și atribuirea clară a rolurilor și responsabilităților - cheie, precum și a l iniilor de raportare relevante, în vederea asigurării eficacității cadrului de administrare a riscurilor TIC și de securitate, inclusiv alocarea unui buget corespunzător pentru a sprijini în mod adecvat nevoile operaționale TIC și administrarea riscurilor TIC și de securitate;
• (c) dacă administrarea și supravegherea riscurilor TIC și de securitate sunt încredințate unei funcții de control independente și obiective, separată în mod corespunzător de procesele operaționale TIC și care nu este responsabilă de niciun audit intern, precum și unei funcții independente de audit intern;
• (d) măsurile de asigurare a identificării, stabilirii și menținerii la zi a punerii în corespondență a funcțiilor aferente activității, a rolurilor și a proceselor suport, pentru a identifica importanța fiecăruia și interdependențele lor, în legătură cu riscurile TIC și de securitate;
• (e) în măsura în care informațiile sunt stocate pe sisteme TIC, dacă vor fi instituite cerințele privind securitatea informațiilor;
• (f) amploarea, complexitatea și importanța dependențelor legate de TIC, dacă se are în vedere externalizarea funcțiilor operaționale ale serviciilor TIC și a oricărei activități a sistemelor TIC – inclusiv către entitățile din grup – sau utilizarea unor terți în legătură cu astfel de funcții și activități.

⁵⁵ Astfel cum este definit în Ghidul ABE privind administrarea riscurilor TIC și de securitate , „Risc TIC și de securitate” înseamnă: „Riscul înregistrării de pierderi din cauza încălcării confidențialității, pierderii integrității sistemelor și a datelor, caracterului necorespunzător sau indisponibilității sistemelor și datelor sau incapacității de a schimba tehnologia informației (TI) într - o perioadă de timp rezonabilă și la costuri rezonabile, atunci când cerințele de mediu sau de afaceri se schimbă (agilitate). Acesta include riscuri de securitate care rezultă fie di n procese interne inadecvate sau care nu și - au îndeplinit funcția în mod corespunzător, fie din evenimente externe, inclusiv din atacuri cibernetice sau din securitatea fizică inadecvată”.

1. Prezentare generală

1.1 Referințe

1.2 Cerințe identificate

1.3 Standarde asociate

2. Cerințe identificate

3. Standarde asociate

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/