55. Príslušné orgány by mali posúdiť, či inštitúcia má účinný rámec na identifikáciu, meranie a …

Príslušné orgány by mali posúdiť, či inštitúcia má účinný rámec na identifikáciu, meranie a zmiernenie rizík súvisiacich s bezpečnosťou IKT a na porozumenie týmto rizikám. Príslušné orgány by na účely tohto hodnotenia mali konkrétne posúdiť, či sa v tomto rámci zohľadňujú:

• a. jasne vymedzené úlohy a povinnosti týkajúce sa:
• i. osôb a/alebo výborov, ktoré nesú zodpovednosť za každodenné riadenie bezpečnosti IKT a za vypracovanie spoločných politík bezpečnosti IKT, pričom je pozornosť zameraná na ich potrebnú nezávislosť;
• ii. návrhu, vykonávania, riadenia a monitorovania kontrol bezpečnosti IKT;
• iii. ochrany kritických IKT systémov a služieb napríklad prostredníctvom postupov posúdenia zraniteľnosti, správy softvérových opráv, ochrany koncového používateľa (napr. malvérový vírus), nástrojov na odhaľovanie neoprávnených vniknutí a ich zabraňovanie;
• iv. monitorovania, klasi fikácie a spracovania vonkajších alebo vnútorných udalostí súvisiacich s bezpečnosťou IKT; vrátane reakcie na udalosť a kontinuity a obnovy IKT systémov a služieb;
• v. pravidelného a proaktívneho posudzovania hrozieb na zachovanie primeraných kontrol bezpečnosti;
• b. politika bezpečnosti IKT, v ktorej sa zohľadňujú a v prípade potreby dodržiavajú medzinárodne uznávané normy bezpečnosti IKT a zásady bezpečnosti (napr. tzv. zásada najnižších práv, t. j. obmedzenie prístupu na minimálnu úroveň, ktorá umožní normálne fungovanie správy prístupových práv, a zásada tzv. ochrany do hĺbky, t. j. vrstvené bezpečnostné mechanizmy na zvýšenie bezpečnosti systému ako celku pre vytvorenie bezpečnostnej architektúry);
• c. postupy na identifikáciu IKT systémov, služieb a primeraných bezpečnostných požiadaviek, v ktorých sa odzrkadľuje možné riziko podvodu a/alebo prípadné nesprávne použitie a/alebo zneužitie dôverných údajov popri zdokumentovaných bezpečnostných očakávaniach, ktoré sa majú v prípade týchto zistených IKT systémov, služieb a údajov dodržiavať, zosúladiť s toleranciou rizika inštitúcie a monitorovať v súvislosti s ich správnym vykonávaním;
• d. zdokumentovaný postup riadenia a eskalácie bezpečnostnej udalosti, ktorý obsahuje aj usmernenie
• o rôznych úlohách a povinnostiach súvis iacich s riadením a eskaláciou udalosti, o členoch krízových výborov a hierarchii velenia v prípade bezpečnostnej pohotovosti;
• e. zaznamenávanie činnosti používateľom a administrátorom s cieľom umožniť efektívne monitorovanie a včasné odhalenie neoprávnenej činnosti a reakciu na túto činnosť; s cieľom pomôcť pri vykonávaní forenzného vyšetrovania bezpečnostných udalostí. Inštitúcia by mala mať politiky zaznamenávania, v ktorých sa vymedzujú vhodné druhy denníkov, ktoré sa majú viesť, a obdobie ich uchovávania;
• f. osvetové a informačné kampane alebo iniciatívy na informovanie všetkých úrovní v inštitúcii
• o bezpečnom používaní a ochrane IKT systémov inštitúcie a hlavné riziká súvisiace s bezpečnosťou IKT (a iné riziká), o ktorých by mali byť informované, najmä pokiaľ ide o existujúce a vyvíjajúce sa počítačové hrozby (napr. počítačové vírusy, možné vnútorné alebo vonkajšie zneužitia alebo útoky, kybernetické útoky), a ich úlohu pri zmierňovaní narušenia bezpečnosti;
• g. primerané fyzické bezpečnostné opatrenia (napr. kamerový systém, poplašný systém proti vlámaniu, bezpečnostné dvere) na zabránenie neoprávnenému fyzickému prístupu ku kritickým a citlivým IKT systémom (napr. k dátovým strediskám);
• h. opatrenia na ochranu IKT systémov pred útokmi z internetu (t. j. pred kybernetickými útokmi) alebo z iných vonkajších sietí (napr. tradičné telekomunikačné prepojenia alebo prepojenia s dôveryhodnými partnermi). Príslušné orgány by mali preskúmať, či rámec inštitúcie zohľadňuje:
• i. proces a riešenia na zachovanie úplného a aktuálneh o zoznamu a prehľadu všetkých miest pripojenia k sieti smerujúcich z organizácie (napr. webové sídla, internetové aplikácie, WIFI, vzdialený prístup), prostredníctvom ktorých by tretie strany mohli preniknúť do interných IKT systémov;
• ii. úzko riadené a monitorované bezpečnostné opatrenia (napr. firewally, proxy servery, prenosy poštových správ, antivírusové programy a prehliadače obsahu) na zabezpečenie prichádzajúcej a odchádzajúcej sieťovej prevádzky (napr. elektronická pošta) a sieťových pripojení smerujúcich von, prostredníctvom ktorých by tretie strany mohli preniknúť do interných IKT systémov;
• iii. postupy a riešenia na zabezpečenie webových sídel a aplikácií, na ktoré môže byť podniknutý priamy útok z internetu a/alebo zvonku a ktoré môžu poslúžiť ako miesto vstupu do interných IKT systémov. Vo všeobecnosti medzi tieto postupy a riešenia patrí kombinácia uznávaných bezpečných vývojových postupov, spevnenia IKT systému a postupov na pozorné vyhľadávanie zraniteľností a/alebo vykonávanie doplňujúcich bezpečnostných riešení, ako napríklad použitie firewallov a/alebo systémov na odhaľovanie neoprávnených prienikov a/alebo na zabránenie týmto prienikom;
• iv. pravidelné bezpečnostné penetračné testy na posúdenie účinnosti realizovaných počítačových a interných opatrení a postupov v oblasti bezpečnosti IKT. Tieto testy by mali vykonávať zamestnanci a/alebo externí experti s potrebnými odbornými znalosťami a zdokumentované výsledky a závery testov by sa mali oznámiť vrcholovému manažmentu a/alebo riadiacemu orgánu. V prípade potreby by sa inštitúcia mala z týchto testov poučiť, kde by mohla ešte zlepšiť bezpečnostné kontroly a postupy a/alebo získať lepšiu istota o ich účinnosti.
• (c) Kontroly na riadenie významných rizík súvisiacich so zmenou IKT

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace štandardy

2. Identifikované požiadavky

3. Súvisiace štandardy

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/