54. Príslušné orgány by na účely tohto posúdenia mali konkrétne zohľadniť, či tento rámec: a. …

Príslušné orgány by na účely tohto posúdenia mali konkrétne zohľadniť, či tento rámec:

• a. identifikuje kritické procesy týkajúce sa IKT a príslušné podporné IKT systémy, ktoré by mali byť súčasťou plánov na zabezpečenie odolnosti a kontinuity činností pomocou:
• i. komplexnej analýzy závislostí medzi kritickými podnikateľskými postupmi a podpornými systémami;
• ii. určenia cieľov obnovy pre podporné IKT systémy (napr. za normálnych okolností určených podnikom a/alebo na základe právnych predpisov z hľadiska časových cieľov obnovy a cieľov bodov obnovy);
• iii. vhodného pohotovostného plánovania s cieľom umožniť dostupnosť, kontinuitu a obnovenie kritických IKT systémov a služieb na minimalizáciu narušenia operácií inštitúcie v rámci prijateľných obmedzení;
• b. má politiky a štandardy týkajúce sa kontrolného prostredia pre odolnosť a kontinuitu činností a operatívne kontroly, ktoré zahŕňajú:
• i. opatrenia, ktorých účelom je zabrániť tomu, aby jeden scenár, udalosť alebo katastrofa mohli ovplyvniť systémy produkcie a obnovenia IKT;
• ii. postupy zálohovania a obnovenia IKT systému týkajúce sa kritického softvéru a dát, prostredníctvom ktorých sa zabezpečí, aby sa tieto zálohy archivovali na bezpečnom a dostatočne vzdialenom mieste, aby v prípade nehody alebo katastrofy nedošlo k zničeniu alebo poškodeniu týchto kritických dát;
• iii. riešenia v oblasti monitorovania na včasné odhalenie udalostí súvisiacich s dostupnosťou a kontinuitou IKT;
• iv. zdokumentovaný postup riadenia a eskalácie udalosti, ktorý obsahuje aj usmernenie o rôznych úlohách a povinnostiach súvisiacich s riadením a eskaláciou udalosti, o členoch krízových výborov a hierarchii velenia v prípade núdze;
• v. fyzikálne opatrenia na ochranu kritickej IKT infraštruktúry inštitúcie (napr. dátové strediská) pred environmentálnymi rizikami (napr. povodne a iné prírodné katastrofy), ako aj na zabezpečenie vhodného prevádzkového prostredia pre IKT systémy (napr. klimatizácia);
• vi. postupy, úlohy a povinnosti na zabezpečenie, aby sa aj na IKT systémy a služby outsourcované externým poskytovateľom vzťahovali primerané riešenia a plány na zabezpečenie odolnosti a kontinuity;
• vii. riešenia v oblasti plánovania výkonnosti a kapacity IKT a v oblasti monitorovania pre kritické IKT systémy a služby so stanovenými požiadavkami na dostupnosť, aby bolo možné včas odhaliť závažné obmedzenia týkajúce sa výkonnosti a kapacity;
• viii. v prípade nevyhnutnosti a potreby riešenia na ochranu kritických internetových činností alebo služieb (napr. služby elektronického bankovníctva) proti odmietnutiu služby a ďalším kybernetickým útokom z internetu, ktoré sú zamerané na zabránenie alebo narušenie prístupu k týmto činnostiam a službám;
• c. testuje riešenia týkajúce sa dostupnosti a kontinuity IKT v porovnaní s množstvom realistických scenárov vrátane kybernetických útokov, testov prechodu a zá loh kritického softvéru a dát:
• i. ktoré sú plánované, potvrdené a zdokumentované, a výsledky testov sa používajú na posilnenie účinnosti riešení súvisiacich s dostupnosťou a kontinuitou IKT;
• ii. ktoré zahŕňajú zainteresované strany a funkcie v rámci organizácii, ako je manažment obchodnej línie vrátane skupín pre kontinuitu činností, udalosti a reakciu na krízu, ako aj príslušné externé zainteresované strany v ekosystéme;
• iii. v rámci ktorých riadiaci orgán a vrcholový manažment sú primerane zapojené (napr. ako súčasť skupín na krízové riadenie) a v rámci ktorých dostávajú informácie o výsledkoch testov.
• (b) Kontroly na riadenie významných rizík súvisiacich s bezpečnosťou IKT

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace štandardy

2. Identifikované požiadavky

3. Súvisiace štandardy

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/