| Kategórie rizík Riziká súvisiace súvisiacich s IKT s IKT (neúplné10 ) Riziká súvisiace Neprimerané s dostupnosťou riadenie kapacít a kontinuitou IKT | Opis rizika Nedostatok zdrojov (napr. hardvér, softvér, zamestnanci, poskytovatelia služieb) môže viesť k neschopnosti zmeniť mieru služby na účely splnenia potrieb podnikov, k prerušovaniu systému, degradácii služby a/alebo prevádzkovým chybám. | Príklady • • | Deficit kapacít môže ovplyvniť mieru prenosu a dostupnosť siete (internetu) pre služby ako je elektronické bankovníctvo. Nedostatok zamestnancov (interných alebo od tretích strán) môže viesť k prerušovaniu systému a/alebo prevádzkovým chybám. |
| Zlyhania IKT systému | Strata dostupnosti spôsobená zlyhaním hardvéru. Strata dostupnosti spôsobená zlyhaním softvéru a chybami. | • • • | Zlyhanie úložiska (pevné disky), servera alebo ďalšieho vybavenia IKT zapríčinené napr. nedostatočnou údržbou. Nekonečná slučka v aplikačnom softvéri bráni výkonu transakcie. Výpadky z dôvodu pokračovania v používaní zastaraných IKT systémov a riešení, ktoré už nespĺňajú súčasné požiadavky na dostupnosť a odolnosť a/alebo ich už ich predajcovia nepodporujú. |
| Neprimerané plánovanie kontinuity IKT a obnovy po havárii Narúšajúce a deštruktívne | Zlyhanie plánovaných riešení týkajúcich sa dostupnosti a/alebo kontinuity a/alebo obnovy po havárii (napr. dátové stredisko pre obnovu návratom k predchádzajúcej verzii) pri aktivácii v reakcii na udalosť. Útoky s rôznymi účelmi (napr. aktivizmus, vydieračstvo), ktoré vedú k preťaženiu systémov a siete | • • | Rozdiely v konfigurácii medzi primárnym a sekundárnym dátovým strediskom môžu viesť k neschopnosti dátových stredísk pre návrat k predchádzajúcim verziám zabezpečiť plánovanú kontinuitu služby. Útoky typu distribuovaného odmietnutia služby sa vykonávajú prostredníctvom veľkého počtu |
| Kategórie rizík Riziká súvisiace súvisiacich s IKT s IKT (neúplné10 ) kybernetické útoky | Opis rizika a bránia oprávneným používateľom v prístupe k on- line počítačovým službám. | Príklady | počítačových systémov na internete ovládaných hekerom, ktorý odosiela veľké množstvo zdanlivo oprávnených požiadaviek na internetové služby (napr. elektronické bankovníctvo). |
| Riziká súvisiace Kybernetické s bezpečnosťou útoky a iné IKT externé útoky založené na IKT | Útoky z internetu alebo z vonkajších sietí, ktoré majú rôzne účely (napr. podvod, špionáž, aktivizmus/sabotáž, kybernetický terorizmus) a ktoré využívajú rozmanité techniky (napr. sociálne inžinierstvo, pokusy o prienik využitím zraniteľností, využitie malvéru), čo vedie k prevzatiu kontroly nad internými IKT systémami. Vykonanie podvodných platobných transakcií hekermi prostredníctvom narušenia alebo obchádzania bezpečnostných prvkov elektronického bankovníctva a platobných služieb a/alebo útokom na bezpečnostné slabiny a využitím týchto slabín v interných platobných systémoch inštitúcie. Vykonanie podvodných transakcií s cennými papiermi hekermi prostredníctvom narušenia alebo obí denia bezpečnostných prvkov služieb elektronického bankovníctva, ktoré poskytujú aj prístup k účtom cenných papierov klientov. Útoky na komunikačné prepojenia a konverzácie | Rôzne • • • • • • • • | typy útokov: APT (Advanced Persistent Threat – vyspelá vytrvalá hrozba) na prevzatie kontroly nad internými systémami alebo na krádež informácií (napr. informácií súvisiacich s krádežou totožnosti, informácií o kreditných kartách). Malvér (napr. ransomware), ktorý zašifruje údaje s cieľom vydierať. Nakazenie interného IKT systému tzv. trójskymi koňmi s cieľom spáchať zákerné činnosti v systéme skrytým spôsobom. Využitie zraniteľností IKT systému a/alebo (webovej) aplikácie (napr. vloženie SQL …) na získanie prístupu do interného IKT systému. Útoky proti elektronickému bankovníctvu alebo platobným službám s cieľom uskutočniť neoprávnené transakcie. Vytvorenie a odoslanie podvodných platobných transakcií z interných platobných systémov inštitúcie (napr. podvodné správy týkajúce sa SWIFT kódu). Útoky typu „pump and dump“ (vyčerpať a odhodiť), pri ktorých útočníci získajú prístup k účtu cenných papierov klientov elektronického bankovníctva a zadajú podvodné pokyny na nákup alebo predaj s cieľom ovplyvniť trhovú cenu a/alebo zarobiť na základe vopred určených pozícií cenných papierov. Odpočúvanie alebo zachytenie nechráneného |
| Kategórie rizík Riziká súvisiace súvisiacich s IKT s IKT (neúplné10 ) | Opis rizika všetkého druhu alebo na IKT systémy s cieľ om zhromaždiť informácie a/alebo sa dopustiť podvodu. | Príklady | prenosu overovacích údajov v čistom textovom formáte. |
| Neprimeraná interná bezpečnosť IKT | Získanie neoprávneného prístupu do kritických IKT systémov zvnútra inštitúcie, a to na rôzne účely (napr. podvod, vykonanie a zakrytie nebezpečných obchodných činností, krádež údajov, aktivizmus/sabotáž) prostredníctvom rôznych techník (napr. prostredníctvom zneužitia a/alebo eskalovania prednostných práv, krádeže totožnosti, sociálneho inžinierstva, využitia zraniteľných miest v IKT systéme, nasadenia malvéru). Neoprávnená manipulácia s IKT z dôvodu nevhodných postupov a praxe riadenia prístupu IKT. Bezpečnostné hrozby spôsobené nedostatočnou informovanosťou o bezpečnosti, v dôsledku čoho zamestnanci nerozumejú, zanedbávajú alebo nedodržiavajú politiky a postupy bezpečnosti IKT. | • • • • • • • • | Inštalovanie softvéru na zaznamenávanie stlačených klávesov (tzv. key logger) s cieľom ukradnúť používateľskú identifikáciu a heslá na účely získania neoprávneného prístupu k dôverným údajom a/alebo spáchania podvodu. Prelomenie alebo uhádnutie slabých hesiel na získanie neoprávnených alebo vyšších prístupových práv. Správca systému používa operačné systémy alebo databázové nástroje (na priamu úpravu databázy) s cie ľom spáchať podvod. Nevyradenie alebo nevymazanie zbytočných účtov, ako sú účty zamestnancov, ktorí zmenili pracovné zaradenie a/alebo odišli z inštitúcie vrátane hostí alebo dodávateľov, ktorí už nepotrebujú prístup, čím sa poskytuje neoprávnený prístup do IKT systémov. Udelenie nadmerných prístupových práv a oprávnení, ktoré umožňujú neoprávnený prístup a/alebo umožňujú zakryť škodlivé činnosti. Zamestnanci, ktorí boli navedení k napomáhaniu pri útok (t. j. sociálne inžinierstvo). Nesprávne postupy týkajúce sa poverení: používanie spoločných hesiel, používanie hesiel, ktoré sú jednoduché na uhádnutie, používanie rovnakého hesla na veľa rôznych účelov atď. Uloženie nezašifrovaných dôverných údajov na laptopoch a prenos ných úložiskách (napr. na USB kľúčoch), ktoré sa môžu stratiť alebo môžu byť odcudzené. |
| Kategórie rizík Riziká súvisiace súvisiacich s IKT s IKT (neúplné10 ) | Opis rizika Neoprávnené uloženie alebo prenos dôverných informácií mimo inštitúcie. | Príklady • | Osoby, ktoré kradnú alebo úmyselne vynášajú či pašujú dôverné informácie pre neoprávnené osoby alebo pre verejnosť. |
| Nevhodná fyzická bezpečnosť IKT | Nesprávne použitie alebo krádež majetku IKT prostredníctvom fyzického prístupu, čím sa spôsobí škoda, strata majetku alebo údajov alebo sa tým umožnia ďalšie hrozby. Úmyselné alebo náhodné poškodenie fyzického majetku IKT spôsobené pri teroristickom útoku, nehode alebo nešťastnom/nesprávnom zaobchádzaní zo strany zamestnancov inštitúcie a/alebo tretích strán (dodávatelia, opravár). Nedostatočná fyzická ochrana proti prírodným katastrofám, ktorá má za následok čiastočné alebo úplné zničenie IKT systémov / dátových stredísk prírodnými katastrofami. | • • • • | Fyzické vlámanie do kancelárskych budov a/alebo dátových stredísk s cieľom ukradnúť vybavenia IKT (napr. počítače, laptopy, úložiská) a/alebo vytvoriť kópie údajov prostredníctvom fyzického prístupu k IKT systémom. Fyzický teroristický útok (t. j. teroristický bombový útok) alebo sabotáž proti majetku IKT. Zničenie dátového strediska spôsobené ohňom, únikom vody alebo inými činiteľmi. Zemetrasenia, extrémne horúčavy, veterné víchrice, husté sneženie, povodne, požiare, blesky. |
| Riziká súvisiace Nevhodné so zmenou IKT kontroly nad zmenami IKT systémov a ich vývojom | Udalosti spôsobené napríklad softvéru, IKT systémom a údajom prostredníctvom neodhalených chýb alebo zraniteľností v dôsledku zmeny (napr. nepredvídané následky zmeny, slabo riadená zmena spôsobená nedostatočným testovaním alebo nevhodné postupy riadenia zmeny). | • • • • | Uvedenie do výroby softvéru, ktorý nebol dostatočne testovaný alebo zmien konfigurácie s neočakávanými nežiaducimi účinkami na údaje (napr. poškodenie, vymazanie) a/alebo na výkonnosť IKT systému (napr. pád systému, zníženie výkonnosti). Nekontrolované zmeny IKT systémov alebo údajov vo výrobnom prostredí. Uvedenie do výroby zle zabezpečených IKT systémov a internetových aplikácií, ktoré vytvárajú príležitosti pre hekerské útoky na poskytované internetové služby a/alebo preniknutie do interných IKT systémov. Neskontrolované zmeny v zdrojovom kóde interne vyvíjaného softvéru. |
| Kategórie rizík Riziká súvisiace súvisiacich s IKT s IKT (neúplné10 ) | Opis rizika | Príklady • | Nedostatočné testovanie z dôvodu neprítomnosti vhodného testovacieho prostredia. |
| Nevhodná architektúra IKT | Slabé riadenie architektúry IKT pri navrhovaní, budovaní a udržiavaní IKT systémov (napr. softvéru, hardvéru, údajov) môže časom viesť k nepružným IKT systémom, ktoré sú zložité, náročné a nákladné na riadenie a ktoré už nie sú v súlade s obchodnými potrebami a neuspokojujú skutočné požiadavky na riadenie rizík. | • • | Nevhodne riadené zmeny IKT systémov, softvéru a/alebo údajov v dlhšom časovom období, ktoré vedú k IKT systémom a architektúram, ktoré sú zložité, nerovnorodé a náročné na riadenie, čo spôsobuje veľa nežiaducich účinkov na činnosť a riadenie rizík (napr. chýbajúca flexibilita a svižnosť, udalosti a zlyhania IKT, vysoké prevádzkové náklady, oslabená bezpečnosť a odolnosť IKT, nižšia kvalita údajov a znížená kapacita podávania správ). Nadmerné prispôsobovanie a rozširovanie obchodných softvérových balíkov pomocou interne vyvíjaného softvéru, čo vedie k neschopnosti zaviesť budúce vydan ia a modernizácie obchodného softvéru a k riziku, že tento softvér už predajca nebude podporovať. |
| Nevhodné riadenie životného cyklu a opráv | Neudržiavanie primeraného zoznamu všetkého majetku IKT na podporu spoľahlivých postupov životného cyklu a riadenia opráv a v kombinácii s nimi. To vedie k tomu, že IKT systém nie sú dostatočne opravené (a teda sú zraniteľnejšie) a sú zastarané a nemusia po dporovať obchodné potreby a potreby riadenia rizík. | • | Neopravené a zastarané IKT systémy, ktoré môžu mať nežiaduce účinky na činnosť a riadenie rizík (napr. chýbajúca flexibilita a svižnosť, výpadky IKT, oslabená bezpečnosť a odolnosť IKT). |
| Riziká súvisiace Nefunkčné s integritou IKT spracovanie údajov údajov a zaobchádzanie s nimi v rámci IKT | Z dôvodu systémových, komunikačných a/alebo aplikačných chýb alebo zlyhaní, alebo z dôvodu chybne vykonaného procesu extrakcie, prenosu a nahratia údajov môže dôjsť k poškodeniu alebo strate údajov. | • • • | Výpočtová systémová chyba pri hromadnom spracovaní, ktorá zapríčiní nesprávnu bilanciu na bankových účtoch klienta. Nesprávne vykonané dopyty. Strata údajov z dôvodu chyby pri replikácii (zálohovaní). |
| Zle navrhnuté kontroly na | Chyby týkajúce sa chýbajúcich alebo neúčinných automatizovaných kontrol dátových vstupov a prijatia | • | Nedostatočné alebo neplatné formátovanie/potvrdenie vkladaných údajov |
| Kategórie rizík Riziká súvisiace súvisiacich s IKT s IKT (neúplné10 ) potvrdzovanie údajov v IKT systémoch | Opis rizika (napr. pre použité údaje tretej strany), kontrol pre prenos, spracovanie a výstup údajov v IKT systémoch (napr. kontroly platnosti vkladaných údajov, zosúladenie údajov). | Príklady • • • | v aplikáciách a/alebo používateľských rozhraniach. Neexistencia kontrol na zosúladenie údajov vo vytvorených výstupných údajoch. Neexistencia kontrol vykonávaných procesov extrakcie údajov (napr. databázové dopyty), čo vedie k chybným údajom. Použitie chybných externých údajov. |
| Zle kontrolované zmeny údajov v prevádzkových IKT systémoch. Zle navrhnutá a/alebo riadená dátová architektúra, dátové toky, dátové modely a dátové slovníky Riziká súvisiace Nedostatočná s externým odolnosť služieb zabezpečovaní tretej strany m IKT služieb alebo iného subjektu skupiny N edostatočné riadenie outsourcingu | Chyby údajov spôsobené nedostatočnými kontrolami správnosti a odôvodnenej povahy manipulácie s údajmi vykonanými v prevádzkových IKT systémoch. Zle riadené dátové architektúry, dátové modely, dátové toky alebo dátové slovníky môžu vyústiť do viacerých verzií rovnakých údajov v IKT systémoch, ktoré už viac nebudú zhodné z dôvodu odlišne používaných dátových modelov alebo dátových definícií a/alebo rozdielov v súvisiacom procese tvorby údajov a ich zmeny. Nedostupnosť kritických IKT služieb, telekomunikačných služieb a zariadení zadaných externe. Strata alebo poškodenie kritických alebo citlivých údajov zverených poskytovateľovi služieb Veľké zhoršenie služieb alebo zlyhania spôsobené nedostatočnou pripravenosťou alebo postupmi kontroly externého poskytovateľa služieb. Nedostatočné riadenie outsourcingu môže viesť k nedostatku vhodných zručností a kapacít na plnú identifikáciu, posúdenie, zmiernenie a monitorovanie rizík súvisiacich s IKT a môže obmedziť prevádzkové schopnosti inštitúcií. | • • • • • • • | Vývojári alebo správcovia databáz, ktorí priamo pristupujú k údajom v prevádzkových IKT systémoch a menia ich nekontrolovaným spôsobom, napríklad v prípade udalosti týkajúcej sa IKT. Existencia rôznych zákazníckych databáz na produkt alebo obchodný útvar s odlišnými dátovými definíciami a poľami, čo vedie k nezosúladeným zákazníckym údajom, ktoré je na úrovni celej finančnej inštitúcie alebo skupiny ťažké porovnať a integrovať. Nedostupnosť hlavných služieb v dôsledku zlyhania na strane IKT systémov alebo aplikácií (externe zadaných) dodávateľov. Prerušenie telekomunikačných prepojení. Výpadok elektrickej energie. Nedostatočné postupy zvládania udalostí, zmluvné kontrolné mechanizmy a záruky zakotvené v dohode s poskytovateľom služieb, ktoré zvyšujú závislosť kľúčového subjektu od tretích strán a predajcov. Nevhodná zmena kontrol nad riadením týkajúcich sa poskytovateľa služieb prostredia IKT môže spôsobiť významné zhoršenie služieb alebo ich zlyhanie. |
| Kategórie rizík Riziká súvisiace súvisiacich s IKT s IKT (neúplné10 ) Nedostatočná bezpečnosť tretej strany alebo iného subjektu skupiny | Opis rizika Hekerský útok proti IKT systémom poskytovateľa služieb tretej strany s priamym vplyvom na externe zadávané služby alebo na kritické/dôverné údaje uložené v systéme poskytovateľa služieb. Zamestnanci poskytovateľa služieb, ktorí získali neoprávnený prístup ku kritickým alebo citlivým údajom uloženým v systéme poskytovateľa služieb. | Príklady • • | Hekerský útok proti poskytovateľom služieb zločincami alebo teroristami, ktorý predstavuje miesto vstupu do IKT systému inštitúcie, alebo takýto útok na získanie prístupu ku kritickým alebo citlivým údajom uloženým v systéme poskytovateľa služieb alebo na zničenie týchto údajov. Interní pracovníci na strane poskytovateľa služieb so zlými úmyslami, ktorí sa snažia ukradnúť a predať citlivé údaje. |