55. Pristojni organi bi morali oceniti, ali ima institucija učinkovit okvir za opredelitev …

Pristojni organi bi morali oceniti, ali ima institucija učinkovit okvir za opredelitev, razumevanje, merjenje in zmanjševanje tveganj glede varnosti IKT. Pri tej oceni bi morali pristojni organi zlasti preveriti, ali okvir upošteva:

• a. jasno opredeljene vloge in odgovornosti glede:
• i. oseb in/ali odborov, ki so pristojni in/ali odgovorni za vsakodnevno upravljanje varnosti IKT ter pripravo splošnih politik za varnost IKT s poudarkom na potrebi po njihovi neodvisnosti;
• ii. zasnove, izvedbe, upravljanja in spremljanja varnostnih kontrol IKT;
• iii. zaščite kritičnih sistemov in storitev IKT, tako da se sprejmejo na primer proces ocenjevanja ranljivosti, upravljanje programskih popravkov, zaščita na končni točki (npr. v primeru zl onamernega virusa) ter orodja za zaznavanje in preprečevanje vdorov;
• iv. spremljanja, razvrščanja in obravnave zunanjih ali notranjih incidentov v zvezi z varnostjo IKT, vključno z odzivanjem na incidente ter ponovnim zagonom in obnovitvijo sistemov in storit ev IKT;
• v. rednih in proaktivnih ocen nevarnosti za vzdrževanje ustreznih varnostnih kontrol;
• b. politiko za varnost IKT, ki upošteva in po potrebi spoštuje mednarodno priznane standarde varnost in varnostna načela IKT (npr. načelo najmanjših pravic – omejitev dostopa na najnižjo raven, ki še omogoča običajno delovanje, pri upravljanju pravic dostopa, in načelo obrambe v globino – večplastni varnostni mehanizmi, ki izboljšajo varnost sistema kot celote, pri načrtovanju varnostne arhitekture);
• c. proces za opredelit ev sistemov in storitev IKT ter sorazmernih varnostnih zahtev za IKT, ki odražajo tveganje goljufij in/ali možne nepravilne uporabe in/ali zlorabe zaupnih podatkov, ter dokumentirana pričakovanja glede varnosti, ki jih je treba upoštevati pri teh opredelje nih sistemih, storitvah in podatkih IKT ter so usklajena s pragom sprejemljivega tveganja institucije, poleg tega pa se spremlja njihovo pravilno izvajanje;
• d. dokumentiran proces obvladovanja in stopnjevanja varnostnih incidentov, ki zagotavlja smernice o ra zličnih vlogah in odgovornostih v zvezi z obvladovanjem in stopnjevanjem incidentov, članih kriznih odborov in hierarhije dajanja navodil ob izrednih varnostnih dogodkih;
• e. beleženje dejavnosti uporabnikov in skrbnikov, ki omogoča učinkovito spremljanje ter pravočasno zaznavanje nepooblaščenih dejavnosti in odzivanje nanje; namenjeno je izvajanju forenzičnih preiskav varnostnih incidentov ali pomoči pri takih raziskavah. Institucija bi morala sprejeti politiko beleženja, v kateri so opredeljeni ustrezne vrste evidenc, ki jih je treba voditi, in obdobje shranjevanja takih evidenc;
• f. kampanje in pobude za ozaveščanje in obveščanje, s katerimi se vse ravni institucije obvestijo o varni uporabi in zaščiti sistemov IKT ter glavnih tveganjih glede varnosti IKT (in dru gih tveganjih), ki se jih je treba zavedati, zlasti kar zadeva obstoječe in razvijajoče se kibernetske nevarnosti (npr. računalniške viruse, možne notranje ali zunanje zlorabe ali napade, kibernetske napade) ter njihovo vlogo pri zmanjševanju kršitev varnosti;
• g. ustrezne fizične varnostne ukrepe (npr. videokamere, protivlomni alarm, varnostna vrata) za preprečevanje nepooblaščenega fizičnega dostopa do kritičnih in občutljivih sistemov IKT (npr. podatkovnih centrov);
• h. ukrepe za zaščito sistemov IKT pred napad i z interneta (npr. kibernetskimi napadi) ali drugih zunanjih omrežij (npr. tradicionalnih telekomunikacijskih povezav ali povezav z zanesljivimi partnerji). Pristojni organi bi morali preveriti, ali okvir institucije upošteva:
• i. proces in rešitve za vzdrževanje popolnega in posodobljenega popisa in pregleda vseh navzven usmerjenih priključnih točk omrežij (npr. spletišča, internetne aplikacije, brezžična omrežja, dostop na daljavo), prek katerih bi lahko tretja oseba vdrla v notranje sisteme IKT;
• ii. stro go upravljane in nadzorovane varnostne ukrepe (npr. požarne zidove, posredniške strežnike, posredovalnike elektronske pošte, protivirusne skenerje in skenerje vsebine) za zaščito vhodnega in izhodnega omrežnega prometa (npr. elektronske pošte) ter navzven usmerjenih priključnih točk omrežij, prek katerih bi lahko tretja oseba vdrla v notranje sisteme IKT;
• iii. procese in rešitve za zaščito spletišč in aplikacij, ki jih je mogoče neposredno napasti z interneta in/ali od zunaj ter jih uporabiti kot vhodno točko z a dostop do notranjih sistemov IKT. Ti procesi in rešitve na splošno obsegajo mešanico priznanih praks varnega razvoja, praks krepitve in skeniranja sistemov IKT za ranljivosti in/ali uvedbo dodatnih varnostnih rešitev, kot so na primer požarni sistemi v a plikacijah in/ali sistemi za zaznavanje in/ali preprečevanje vdorov;
• iv. redno preizkušanje prodora skozi varnostne ukrepe, da bi ocenili učinkovitost izvedenih kibernetskih in notranjih ukrepov in procesov za varnost IKT. Preizkuse bi morali izvajati zaposleni in/ali zunanji izvedenci s potrebnim strokovnim znanjem, dokumentirane rezultate in sklepe pa sporočiti višjemu vodstvu in/ali upravljalnemu organu. Če je to potrebno in ustrezno, bi morala institucija iz preizkusov ugotoviti, kje mora dodatno izboljšati varnostne kontrole in procese in/ali pridobiti boljša zagotovila o njihovi učinkovitosti.
• (c) Kontrole za upravljanje pomembnih tveganj glede sprememb IKT

1. Pregled

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani standardi

2. Ugotovljene zahteve

3. Povezani standardi

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/