55. Príslušné orgány by mali posúdiť, či inštitúcia má účinný rámec na identifikáciu, meranie a …

Príslušné orgány by mali posúdiť, či inštitúcia má účinný rámec na identifikáciu, meranie a zmiernenie rizík súvisiacich s bezpečnosťou IKT a na porozumenie týmto rizikám. Príslušné orgány by na účely tohto hodnotenia mali konkrétne posúdiť, či sa v tomto rámci zohľadňujú:

• a. jasne vymedzené úlohy a povinnosti týkajúce sa:
• i. osôb a/alebo výborov, ktoré nesú zodpovednosť za každodenné riadenie bezpečnosti IKT a za vypracovanie spoločných politík bezpečnosti IKT, pričom je pozornosť zameraná na ich potrebnú nezávislosť;
• ii. návrhu, vykonávania, riadenia a monitorovania kontrol bezpečnosti IKT;
• iii. ochrany kritických IKT systémov a služieb napríklad prostredníctvom postupov posúdenia zraniteľnosti, správy softvérových opráv, ochrany koncového používateľa (napr. malvérový vírus), nástrojov na odhaľovanie neoprávnených vniknutí a ich zabraňovanie;
• iv. monitorovania, klasi fikácie a spracovania vonkajších alebo vnútorných udalostí súvisiacich s bezpečnosťou IKT; vrátane reakcie na udalosť a kontinuity a obnovy IKT systémov a služieb;
• v. pravidelného a proaktívneho posudzovania hrozieb na zachovanie primeraných kontrol bezpečnosti;
• b. politika bezpečnosti IKT, v ktorej sa zohľadňujú a v prípade potreby dodržiavajú medzinárodne uznávané normy bezpečnosti IKT a zásady bezpečnosti (napr. tzv. zásada najnižších práv, t. j. obmedzenie prístupu na minimálnu úroveň, ktorá umožní normálne fungovanie správy prístupových práv, a zásada tzv. ochrany do hĺbky, t. j. vrstvené bezpečnostné mechanizmy na zvýšenie bezpečnosti systému ako celku pre vytvorenie bezpečnostnej architektúry);
• c. postupy na identifikáciu IKT systémov, služieb a primeraných bezpečnostných požiadaviek, v ktorých sa odzrkadľuje možné riziko podvodu a/alebo prípadné nesprávne použitie a/alebo zneužitie dôverných údajov popri zdokumentovaných bezpečnostných očakávaniach, ktoré sa majú v prípade týchto zistených IKT systémov, služieb a údajov dodržiavať, zosúladiť s toleranciou rizika inštitúcie a monitorovať v súvislosti s ich správnym vykonávaním;
• d. zdokumentovaný postup riadenia a eskalácie bezpečnostnej udalosti, ktorý obsahuje aj usmernenie
• o rôznych úlohách a povinnostiach súvis iacich s riadením a eskaláciou udalosti, o členoch krízových výborov a hierarchii velenia v prípade bezpečnostnej pohotovosti;
• e. zaznamenávanie činnosti používateľom a administrátorom s cieľom umožniť efektívne monitorovanie a včasné odhalenie neoprávnenej činnosti a reakciu na túto činnosť; s cieľom pomôcť pri vykonávaní forenzného vyšetrovania bezpečnostných udalostí. Inštitúcia by mala mať politiky zaznamenávania, v ktorých sa vymedzujú vhodné druhy denníkov, ktoré sa majú viesť, a obdobie ich uchovávania;
• f. osvetové a informačné kampane alebo iniciatívy na informovanie všetkých úrovní v inštitúcii
• o bezpečnom používaní a ochrane IKT systémov inštitúcie a hlavné riziká súvisiace s bezpečnosťou IKT (a iné riziká), o ktorých by mali byť informované, najmä pokiaľ ide o existujúce a vyvíjajúce sa počítačové hrozby (napr. počítačové vírusy, možné vnútorné alebo vonkajšie zneužitia alebo útoky, kybernetické útoky), a ich úlohu pri zmierňovaní narušenia bezpečnosti;
• g. primerané fyzické bezpečnostné opatrenia (napr. kamerový systém, poplašný systém proti vlámaniu, bezpečnostné dvere) na zabránenie neoprávnenému fyzickému prístupu ku kritickým a citlivým IKT systémom (napr. k dátovým strediskám);
• h. opatrenia na ochranu IKT systémov pred útokmi z internetu (t. j. pred kybernetickými útokmi) alebo z iných vonkajších sietí (napr. tradičné telekomunikačné prepojenia alebo prepojenia s dôveryhodnými partnermi). Príslušné orgány by mali preskúmať, či rámec inštitúcie zohľadňuje:
• i. proces a riešenia na zachovanie úplného a aktuálneh o zoznamu a prehľadu všetkých miest pripojenia k sieti smerujúcich z organizácie (napr. webové sídla, internetové aplikácie, WIFI, vzdialený prístup), prostredníctvom ktorých by tretie strany mohli preniknúť do interných IKT systémov;
• ii. úzko riadené a monitorované bezpečnostné opatrenia (napr. firewally, proxy servery, prenosy poštových správ, antivírusové programy a prehliadače obsahu) na zabezpečenie prichádzajúcej a odchádzajúcej sieťovej prevádzky (napr. elektronická pošta) a sieťových pripojení smerujúcich von, prostredníctvom ktorých by tretie strany mohli preniknúť do interných IKT systémov;
• iii. postupy a riešenia na zabezpečenie webových sídel a aplikácií, na ktoré môže byť podniknutý priamy útok z internetu a/alebo zvonku a ktoré môžu poslúžiť ako miesto vstupu do interných IKT systémov. Vo všeobecnosti medzi tieto postupy a riešenia patrí kombinácia uznávaných bezpečných vývojových postupov, spevnenia IKT systému a postupov na pozorné vyhľadávanie zraniteľností a/alebo vykonávanie doplňujúcich bezpečnostných riešení, ako napríklad použitie firewallov a/alebo systémov na odhaľovanie neoprávnených prienikov a/alebo na zabránenie týmto prienikom;
• iv. pravidelné bezpečnostné penetračné testy na posúdenie účinnosti realizovaných počítačových a interných opatrení a postupov v oblasti bezpečnosti IKT. Tieto testy by mali vykonávať zamestnanci a/alebo externí experti s potrebnými odbornými znalosťami a zdokumentované výsledky a závery testov by sa mali oznámiť vrcholovému manažmentu a/alebo riadiacemu orgánu. V prípade potreby by sa inštitúcia mala z týchto testov poučiť, kde by mohla ešte zlepšiť bezpečnostné kontroly a postupy a/alebo získať lepšiu istota o ich účinnosti.
• (c) Kontroly na riadenie významných rizík súvisiacich so zmenou IKT

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace štandardy

2. Identifikované požiadavky

3. Súvisiace štandardy

• EBA -

  EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

  DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.