54. Pri tej oceni bi morali pristojni organi zlasti upoštevati, ali okvir: a. kritične procese IKT …

Pri tej oceni bi morali pristojni organi zlasti upoštevati, ali okvir:

• a. kritične procese IKT in ustrezne podporne sisteme IKT, ki bi morali biti vključeni v načrte za poslovno odpornost in neprekinjeno poslovanje, opredeljuje s:
• i. celovito analizo odvisnosti med kritičnimi poslovnimi procesi in podpornimi sistemi;
• ii. določitvijo ciljev obnove za podporne sisteme IKT (te na primer v obliki ciljnega časa obnove in ciljne točke obnove običajno določajo podjetje in/ali predpisi);
• iii. ustreznimi kriznimi načrti, ki omogočajo razpoložljivost, neprekinjeno delovanje in obnovo kritičnih sistemov in storitev IKT, da bi motnje v poslovanju institucije omejili na sprejemljiv obseg;
• b. ima poslovno odpornost, politike za neprekinjeno delovanje nadzornega okolja ter standarde in operativne kontrole, ki vključujejo:
• i. ukrepe za preprečevanje razmer, v katerih bi en sam scenarij, incident ali nesreča vplivala tako na produkcijske sisteme IKT kot tudi na sisteme IKT za obnovo;
• ii. postopke varnostnih kopij in obnove sistemov IKT za kritično programsko opremo in podatke, s katerimi je zagotovljeno, da se varnostne kopije shranjujejo na varnem in dovolj oddaljenem mestu, da incident ali nesreča ne more uničiti ali pokvariti kritičnih podatkov;
• iii. spremljanje rešitev za pravočasno odkrivanje incidentov z zvezi z razpoložljivostjo ali neprekinjenim delovanjem IKT;
• iv. dokumentiran proces obvladovanja in stopnjevanja incidentov, ki zagotavlja tudi smernice o različnih vlogah in odgovornostih v zvezi z obvladovanjem in stopnjevanjem incidentov, članih kriznih odborov in hierarhije dajanja navodil ob izrednih dogodkih;
• v. fizične ukrepe tako za zaščito kritične infrastrukture IKT (npr. podatkovnih centrov) institucije pred okoljskimi tveganji (npr. poplavami in drugimi naravnimi nesrečami) kot tudi za zagotavljanje ustreznega obratovalnega okolja za sisteme IKT (npr. klimatske naprave);
• vi. procese, vloge in odgovornosti za zagotavljanje, da so tudi sistemi in storitve IKT, oddani v zunanje izvajanje, zajeti v ustrezne rešitve in načrte za poslovno odpornost in neprekinjeno poslovanje;
• vii. rešitve za načrtovanje in spremljanje uspešnosti in zmogljivosti IKT za kritične sisteme in storitve IKT z opredeljenimi zahtevami glede razpoložljivosti, da bi pravočasno opazili pomembne omejitve uspešnosti in zmogljivosti;
• viii. če je to potrebno in ustrezno, rešitve za zaščito kritičnih internetnih dejavnosti ali storitev (npr. storitve e- bančništva) pred zavrnitvami storitve in drugimi kibernetskimi napadi prek interneta, ki so namenjeni preprečevanju ali motenju dostopa do teh dejavnosti in storitev;
• c. preizkuša rešitve za razpoložljivost in neprekinjeno delovanje IKT v primeru različnih realističnih scenarijev, vključno s kibernetskimi napadi, preizkusi nadomestnega načina delovanja in preizkusi varnostnih kopij kritične programske opreme in podatkov, ki:
• i. so načrtovani, formalizirani in dokumentirani, rezultati preizkusov pa se up orabijo za izboljšanje učinkovitosti rešitev za razpoložljivost in neprekinjeno delovanje IKT;
• ii. vključujejo deležnike in funkcije znotraj organizacije, kot je vodstvo poslovnega področja, vključno s skupinami za neprekinjeno poslovanje, odzivanje na incide nte in odzivanje na krize, ter ustrezne zunanje deležnike v ekosistemu;
• iii. zagotavljajo ustrezno sodelovanje z upravljalnim organom in višjim vodstvom (npr. kot del skupine za krizno upravljanje), ki sta tudi obveščena o rezultatih preizkusov.
• (b) Kontrole za upr avljanje pomembnih tveganj glede varnosti IKT

1. Pregled

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani standardi

2. Ugotovljene zahteve

3. Povezani standardi

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/