3.3 Bedömning av kontrollerna för att minska väsentliga IKT-risker

För att bedöma institutets resterande IKT-riskexponering ska de behöriga myndigheterna granska hur institutet identifierar, övervakar, bedömer och minskar de väsentliga risker som de behöriga myndigheterna har identifierat vid bedömningen ovan.

Mot denna bakgrund ska de behöriga myndigheterna – för de identifierade väsentliga IKT-riskerna – granska tillämpliga

• a. policyer, processer och trösklar för risktolerans för IKT-riskhantering,
• b. ramverk för organisatorisk förvaltning och tillsyn,
• c. omfattning och resultat av den interna revisionen, och
• d. IKT-riskkontroller som är specifika för de väsentliga IKT-risker som har identifierats.

Vid bedömningen ska resultatet från analysen av den övergripande riskhanteringen och ramen för intern kontroll som avses i kapitel 5 i EBA:s ÖUP-riktlinjer beaktas, samt institutets styrning och strategi såsom behandlas i kapitel 2 i dessa riktlinjer, eftersom väsentliga brister som identifierats på dessa områden kan påverka institutets förmåga att hantera och minska sin IKT-riskexponering. I förekommande fall ska de behöriga myndigheterna även använda informationskällorna i punkt 37 i dessa riktlinjer.

Behöriga myndigheter ska genomföra följande bedömningssteg på ett sätt som står i proportion till karaktär, omfattning och komplexitet vad gäller institutets verksamhet och genom att göra en översyn som står i proportion till institutets riskprofil.

3.3.1 Policyer, förfaranden och trösklar för tolerans för IKT-riskhantering

Behöriga myndigheter ska granska huruvida institutet har lämpliga policyer, förfaranden och tröskelvärden för tolerans för de väsentliga IKT-risker som identifierats. Dessa kan vara del av ramverket för hantering av operativ risk eller ett separat dokument. Vid denna bedömning ska de behöriga myndigheterna beakta följande:

• a. Om riskhanteringspolicyn är formaliserad och godkänd av ledningsorganet och innehåller tillräcklig vägledning om institutets IKT-riskaptit och om de huvudsakliga mål som eftersträvas vad gäller IKT-riskhantering och/eller tillämpade tröskelvärden för IKT-risktolerans. Relevant policy för hantering av IKT-risker ska också kommuniceras till alla berörda intressenter.
• b. Om den tillämpliga policyn omfattar alla väsentliga element för riskhanteringen av de identifierade väsentliga IKT-riskerna.
• c. Om institutet har infört en process och underliggande förfaranden för identifiering (t.ex. självbedömningar av risker och kontroller, analys av riskscenarier) liksom övervakning av de aktuella väsentliga IKT-riskerna.
• d. Om institutet rapporterar om hanteringen av IKT-risker och lämnar information i tid till verkställande ledningen och ledningsorganet och gör det möjligt för verkställande ledningen och/eller ledningsorganet att bedöma och övervaka huruvida institutets planer och åtgärder för att reducera IKT-riskerna är förenliga med den godkända riskaptiten och/eller toleransnivåerna (i förekommande fall) och att granska förändringar av väsentliga IKT-risker.

3.3.2 Ram för organisatorisk förvaltning och tillsyn

Behöriga myndigheter ska bedöma hur de tillämpliga rollerna och ansvarsområdena för riskhantering är införlivande och integrerade i den interna organisationen för att förvalta och övervaka de väsentliga IKT-risker som identifierats. I detta avseende ska de behöriga myndigheterna bedöma huruvida institutet uppvisar följande:

• a. Tydliga roller och ansvarsområden för identifiering, bedömning, övervakning, minskning, rapportering och tillsyn av de aktuella väsentliga IKT-riskerna.
• b. Roller och ansvarsområden avseende risk som är tydligt kommunicerade, fördelade och inbyggda i alla relevanta delar (t.ex. affärsområden, it) och att det finns organisationsprocesser, inbegripet roller och ansvarsområden för insamling och sammanställning av riskinformation och rapportering av denna till verkställande ledningen och/eller ledningsorganet.
• c. IKT-riskhanteringsåtgärder som vidtas med tillräckliga och i kvalitativt hänseende lämpliga personalresurser och tekniska resurser. För att bedöma trovärdigheten i de tillämpliga planerna för riskreducering ska de behöriga myndigheterna även bedöma huruvida institutet har avsatt tillräckliga finansiella resurser och/eller andra resurser som krävs för deras genomförande.
• d. Lämplig uppföljning och lämpliga åtgärder från ledningsorganet vad gäller viktiga resultat från de oberoende kontrollfunktionerna med avseende på risken/riskerna, med beaktande av en möjlig delegering av vissa aspekter till en kommitté, om det finns en sådan.
• e. Undantag från tillämpliga IKT-bestämmelser och policyer noteras och är föremål för en dokumenterad granskning och rapportering genom den oberoende kontrollfunktionen med fokus på de relaterade riskerna.

3.3.3 Omfattning och resultat från den interna revisionen

Behöriga myndigheter ska överväga huruvida funktionen för internrevision är effektiv vad gäller revisionen av det tillämpliga IKT-riskkontrollramverket, genom att granska huruvida

• a. revisionen av riskkontrollramverket görs med den kvalitet, det djup och den frekvens som står i proportion till institutets storlek, verksamhet och IKT-riskprofil,
• b. revisionsplanen innefattar revision av de kritiska IKT-risker som institutet identifierat,
• c. viktiga resultat från IKT-revisionen, inbegripet överenskomna åtgärder, rapporteras till ledningsorganet, och om
• d. resultat från IKT-revisionen, inbegripet överenskomna åtgärder, följs upp och lägesrapporter granskas med regelbundna mellanrum av verkställande ledningen och/eller revisionskommittén.

3.3.4 IKT-riskkontroller som är specifika för de väsentliga IKT-risker som har identifierats

För de väsentliga IKT-risker som har identifierats ska de behöriga myndigheterna bedöma huruvida institutet har specifika kontroller för att hantera dessa risker. Följande avsnitt innehåller en icke-uttömmande förteckning över de specifika kontroller som ska övervägas vid bedömning av de väsentliga risker som har identifierats enligt punkt 3.2.3 och som har kartlagts till följande IKT-riskkategorier:

• a. IKT-risker med avseende på tillgänglighet och kontinuitet.
• b. IKT-säkerhetsrisker.
• c. Risker förknippade med IKT-ändringar.
• d. IKT-dataintegritetsrisker.
• e. IKT-risker vid uppdragsavtal.
• (a) Kontroller för att hantera väsentliga IKT-risker med avseende på tillgänglighet och kontinuitet

Utöver kraven i EBA:s ÖUP-riktlinjer (punkterna 297–281) ska de behöriga myndigheterna bedöma huruvida institutet har ett lämpligt ramverk för att identifiera, förstå, mäta och minska IKT-risker med avseende på tillgänglighet och kontinuitet.

Vid denna bedömning ska de behöriga myndigheterna särskilt beakta huruvida ramverket

• a. identifierar de kritiska IKT-processer och de relevanta stödjande IKT-system som ska vara del av resiliens- och kontinuitetsplanerna med följande:
• i. En omfattande analys av beroenden mellan de kritiska affärsprocesserna och stödsystemen.
• ii. Fastställande av återställningsmål för de stödjande IKT-systemen (t.ex. typiskt fastställda genom verksamheten och/eller bestämmelser vad gäller RTO och RPO).
• iii. Lämplig beredskapsplanering för att möjliggöra tillgänglighet, kontinuitet och återställning av kritiska IKT-system och tjänster för att minimera avbrott i institutets verksamhet inom acceptabla gränser.
• b. Huruvida ramverket har policyer och standarder för resiliens, kontinuitet och operativa kontroller som omfattar följande:
• i. Åtgärder för att undvika att ett enskilt scenario eller en enskild incident eller katastrof påverkar både IKT-produktionssystem och reservsystem.
• ii. IKT-backup- och återställningsprocesser för kritisk programvara och data som säkerställer att dessa säkerhetskopior lagras på en säker och tillräckligt avlägsen plats, så att en incident eller katastrof inte kan förstöra eller förvanska dessa kritiska data.
• iii. Övervakningssystem så att incidenter som rör tillgänglighet eller kontinuitet kan upptäckas i tid.
• iv. En dokumenterad process för hantering och eskalering av incidenter som också tillhandahåller vägledning avseende de olika rollerna och ansvarsområdena för hantering av incidenter och medlemmarna i kriskommittén/kriskommittéerna och beslutskedjan i en nödsituation.
• v. Fysiska åtgärder såväl för att skydda institutets kritiska IKT-infrastruktur (t.ex. datacentraler) från miljörisker (t.ex. översvämning och andra naturkatastrofer) och säkerställa en lämplig operativ miljö för IKT-systemen (t.ex. luftkonditionering).
• vi. Processer, roller och ansvarsområden för att säkerställa att även utkontrakterade IKT-system och IKT-tjänster omfattas av tillräcklig resiliens och kontinuitetslösningar och planer.
• vii. Planering av IKT-prestanda och kapacitet samt övervakningslösningar för kritiska IKT-system och IKT-tjänster med fastställda krav på tillgänglighet, för att upptäcka viktiga begränsningar i prestanda och kapacitet i rätt tid.
• viii. Lösningar för att skydda kritisk internetverksamhet eller kritiska tjänster (t.ex. e-banktjänster), när det är nödvändigt och lämpligt, mot överbelastnings- och andra cyber-attacker från internet i syfte att förhindra eller störa åtkomst till denna verksamhet och dessa tjänster.
• c. Huruvida ramverket testar lösningar för tillgänglighet och kontinuitet mot en rad realistiska scenarier, inbegripet cyber-attacker, omställningstester (fail-over) och tester av backup för kritisk programvara och data, som
• i. är planerade, formaliserade och dokumenterade, och testresultaten används för att öka effektiviteten i lösningar som avser tillgänglighet och kontinuitet,
• ii. innefattar berörda parter och funktioner inom organisationen, såsom hantering av affärsområden, inbegripet arbetsgrupper som är ansvariga för kontinuitets-, incident- och krishantering, samt relevanta externa intressenter i ekosystemet,
• iii. ledningsorgan och verkställande ledning är delaktiga i på ett lämpligt sätt (t.ex. som en del av en krishanteringsgrupp), vilka också får information om testresultat.
• (b) Kontroller för att hantera väsentliga IKT-säkerhetsrisker

Behöriga myndigheter ska bedöma huruvida institutet har ett effektivt ramverk för att identifiera, förstå, mäta och minska IKT-säkerhetsrisker. Vid denna bedömning ska de behöriga myndigheterna i synnerhet ta hänsyn till huruvida ramverket beaktar följande:

• a. Klart definierade roller och ansvarsområden avseende
• i. den person/de personer och/eller kommittéer som är ansvariga för den dagliga IKT-säkerhetshanteringen och utarbetandet av de övergripande IKT-säkerhetspolicyerna, med beaktande av det oberoende som de behöver,
• ii. utformning, genomförande, hantering och övervakning av IKT-säkerhetskontroller,
• iii. skydd av kritiska IKT-system och IKT-tjänster, exempelvis genom att anta en process för bedömning av sårbarhet, uppdateringsprocess av programvara, klientskydd (t.ex. antivirusprogram), system för upptäckt av intrång (IDS) och för förhindrande av intrång (IPS),
• iv. övervakning, klassificering och hantering av externa eller interna IKT-säkerhetsincidenter, inbegripet incidenthantering och återupptagande och återställning av IKT-system och IKT-tjänster, samt
• v. regelbundna och förebyggande bedömningar av hot för att bibehålla lämpliga säkerhetskontroller.
• b. En IKT-säkerhetspolicy som beaktar och, i förekommande fall, följer internationellt erkända IKT-säkerhetsstandarder och IKT-säkerhetsprinciper (t.ex. principen om begränsad behörighet, dvs. en begränsning av åtkomsten till den miniminivå som medger normala funktioner för hantering av åtkomsträttigheter och principen om ”försvar på djupet”, dvs. säkerhetsmekanismer i flera nivåer för att öka systemets säkerhet i sin helhet för utformning av en säkerhetsstruktur).
• c. Ett förfarande för att identifiera IKT-system och IKT-tjänster i proportion till säkerhetskraven som återspeglar den potentiella risken för bedrägerier och/eller möjligt missbruk av konfidentiella uppgifter tillsammans med dokumenterade förväntningar på säkerhet som ska följas för dessa identifierade system, tjänster och uppgifter i proportion till institutets risktolerans och med övervakning för ett korrekt genomförande.
• d. En dokumenterad process för hantering och eskalering av säkerhetsincidenter som tillhandahåller vägledning avseende de olika rollerna och ansvarsområdena för hantering av incidenter och medlemmarna i kriskommittén/kriskommittéerna och beslutskedjan i en nödsituation.
• e. Loggning av användare och administrativa åtgärder för att möjliggöra effektiv övervakning och snabb upptäckt och hantering av otillåten aktivitet, för att bistå vid eller genomföra tekniska undersökningar av säkerhetsincidenter. Institutet ska ha en loggningspolicy som definierar lämpliga typer av loggar som ska tillämpas och deras lagringstid.
• f. Medvetandehöjande och informationskampanjer eller initiativ för att informera samtliga nivåer i institutet om säker användning och skydd av institutets IKT-system och de huvudsakliga IKT-säkerhetsriskerna (och andra risker) som de ska vara medvetna om, särskilt vad gäller befintliga och framväxande it-hot (t.ex. datavirus, möjligt internt eller externt missbruk eller attacker, cyber-attacker) och deras roll när det gäller att minska säkerhetsöverträdelserna.
• g. Lämpliga fysiska säkerhetsåtgärder (t.ex. kameraövervakningssystem, inbrottslarm, säkerhetsdörrar) för att förhindra otillåten fysisk åtkomst till kritiska och känsliga IKT-system (t.ex. datacentraler).
• h. Åtgärder för att skydda IKT-systemen från attacker från internet (dvs. cyber-attacker) eller andra externa nätverk (t.ex. traditionella telefonförbindelser eller förbindelser med betrodda partner). Behöriga myndigheter bör granska huruvida institutets ramverk beaktar följande:
• i. En process och lösningar för att bibehålla en fullständig och uppdaterad kartläggning och överblick över alla utåtriktade anslutningspunkter i nätverket (t.ex. webbplatser, internetapplikationer, wifi, fjärråtkomst) genom vilka tredje parter skulle kunna bryta sig in i de interna IKT-systemen.
• ii. Noggrant hanterade och övervakade säkerhetsåtgärder (t.ex. brandväggar, proxyservrar, e-postreläer, antivirus och innehållskontroll) för att säkra inkommande och utgående nätverkstrafik (t.ex. e-post) och de utgående nätverksförbindelser genom vilka tredje parter skulle kunna ta sig in i de interna IKT-systemen.
• iii. Processer och lösningar för att säkra webbplatser och applikationer som kan attackeras direkt från internet och/eller utifrån, vilka kan fungera som ingångspunkt till de interna IKT-systemen. I allmänhet omfattar detta en kombination av erkända säkra utvecklingsmetoder, härdning av IKT-system och metoder för att upptäcka sårbarheter, och/eller införande av ytterligare säkerhetslösningar som till exempel brandväggar för applikationer och/eller system för upptäckt av intrång (IDS) och/eller system för förhindrande av intrång (IPS).
• iv. Periodisk penetrationstestning för att bedöma hur effektiva de genomförda IKT-säkerhetsåtgärderna och processerna är. Dessa tester ska genomföras av anställda och/eller externa experter med nödvändiga kunskaper, med dokumenterade testresultat och slutsatser som rapporteras till verkställande ledningen och/eller ledningsorganet. Vid behov och i förekommande fall ska institutet lära sig från dessa tester var det kan förbättra säkerhetskontrollerna och processerna ytterligare och/eller få bättre försäkran för deras effektivitet.
• (c) Kontroller för att hantera risker förknippade med väsentliga IKT-ändringar

Behöriga myndigheter ska bedöma huruvida institutet har ett effektivt ramverk för att identifiera, förstå, mäta och minska risker vid IKT-förändringar i proportion till karaktär, omfattning och komplexitet vad gäller institutets verksamhet och dess IKT-riskprofil. Institutets ramverk ska omfatta de risker som är förknippade med utveckling, testning och godkännande av IKT-systemförändringar, inbegripet utveckling och förändringar av programvara, innan de införs i produktionsmiljön, och säkerställa en lämplig förvaltning av IKT-livscykeln. Vid denna bedömning ska de behöriga myndigheterna i synnerhet ta hänsyn till huruvida ramverket beaktar följande:

• a. Dokumenterade processer för hantering och kontroll av ändringar av IKT-systemen (t.ex. konfigurering och uppdateringshantering) och data (t.ex. korrigering av programfel och justering av uppgifter), varigenom tillräcklig IKT-riskhantering säkerställs för viktiga IKT-förändringar som väsentligen kan påverka institutets riskprofil eller riskexponering.
• b. Specifikationer avseende den nödvändiga ansvarsuppdelningen under de olika faserna i processen för de IKT-ändringar som genomförs (t.ex. utformning och utveckling av lösningar, testning och godkännande av ny programvara och/eller ändringar, införande i produktionsmiljön, liksom rättning av programfel), med fokus på de genomförda lösningarna och ansvarsuppdelningen för att hantera och kontrollera ändringar i IKT-produktionssystemen och data från IKT-personalen (t.ex. utvecklare, IKT-systemadministratörer, databasadministratörer) eller någon annan part (t.ex. användare, tjänsteleverantörer).
• c. Testmiljöer som korrekt avspeglar produktionsmiljöerna.
• d. Ett tillgångsregister av befintliga applikationer och IKT-system i produktionsmiljön, liksom i test- och utvecklingsmiljön, vilket innebär att de ändringar som krävs (t.ex. versionsuppdateringar eller uppgraderingar, systemuppdateringar, ändring av konfiguration) kan hanteras, genomföras och övervakas på ett korrekt sätt för de IKT-system som berörs.
• e. En process för att övervaka och hantera de använda IKT-systemens livscykel, för att säkerställa att de fortsätter att uppfylla och stödja de faktiska kraven från affärsverksamheten och riskhanteringen och att säkerställa att de IKT-lösningar och IKT-system som används fortfarande stödjs av leverantören, samt att detta åtföljs av lämpliga processer för systemutveckling.
• f. Ett kontrollsystem för källkod och lämpliga processer för att hindra otillåtna ändringar i källkoden för internt utvecklad programvara.
• g. Ett förfarande för att genomföra en säkerhets- och sårbarhetsgranskning av nya eller väsentligen ändrade IKT-system och programvara innan de tas i bruk och exponeras för eventuella cyber-attacker.
• h. En process och lösningar för att förhindra otillåtet eller oavsiktligt utlämnande av konfidentiella uppgifter vid utbyte, arkivering, kassering eller förstörelse av IKT-system.
• i. Ett oberoende gransknings- och valideringsförfarande för att minska riskerna för mänskliga misstag vid genomförande av ändringar i IKT-systemen som kan ha väsentliga negativa effekter på institutets tillgänglighet, kontinuitet eller säkerhet (t.ex. viktiga ändringar i brandväggskonfiguration), eller institutets säkerhet (t.ex. ändringar av brandväggarna).
• (d) Kontroller för att hantera väsentliga IKT-dataintegritetsrisker

Behöriga myndigheter ska bedöma huruvida institutet har ett effektivt ramverk för att identifiera, förstå, mäta och minska IKT-dataintegritetsrisker i proportion till karaktär, omfattning och komplexitet vad gäller institutets verksamhet och dess IKT-riskprofil. Institutets ramverk ska beakta de risker som har samband med bevarandet av integriteten hos de uppgifter som lagras och bearbetas av IKT-systemen. Vid denna bedömning ska de behöriga myndigheterna i synnerhet ta hänsyn till huruvida ramen beaktar följande:

• a. En policy som definierar roller och ansvarsområden för hantering av integriteten hos uppgifterna i IKT-systemen (t.ex. datautvecklare, databehandlare⁶ , dataförvarare⁷ och ägare/förvaltare till data⁸ ) och som ger vägledning om vilka uppgifter som är avgörande från ett dataintegritetsperspektiv och ska vara föremål för särskilda IKT-kontroller (t.ex. automatiska kontroller för ingångsvalidering, kontroller av dataöverföring, avstämning etc.) eller granskningar (t.ex. kontroll av överensstämmelse med dataarkitektur) under de olika faserna i IKT-datans livscykel.
• b. En dokumenterad dataarkitektur, datamodell och/eller lexikon som validerats av relevanta intressenter från affärsverksamheten och it-verksamheten och som stödjer den nödvändiga samstämmigheten hos uppgifter mellan IKT-systemen och säkerställer att dataarkitekturen, datamodellen och/eller lexikonet överensstämmer med affärs- och riskhanteringsbehoven.
• c. En policy rörande den tillåtna användningen och beroendet av anveckling, särskilt med avseende på identifiering, registrering och dokumentering av viktiga lösningar för anveckling (t.ex. vid bearbetning av viktiga uppgifter) och de förväntade säkerhetsnivåerna för att förhindra otillåtna ändringar, både i själva verktyget och i de uppgifter som lagras där.
• d. Dokumenterade processer för hantering av avvikelser för att lösa identifierade problem rörande IKT-dataintegritet i överensstämmelse med hur kritiska och känsliga de är.

⁶ En databehandlare är ansvarig för bearbetning och användning av data.

⁷ En dataförvarare är ansvarig för säker förvaring, transport och lagring av data.

⁸ En dataförvaltare är ansvarig för hantering av och ändamålsenlighet för dataelement – både vad gäller innehåll och metadata.

För övervakade institut som omfattas av principerna i BCBS 239 om effektiv sammanställning av riskdata och riskrapportering⁹ ska de behöriga myndigheterna granska institutets riskanalys av sin egen riskrapportering och förmåga att sammanställa uppgifter i jämförelse med principerna och den dokumentation som tagits fram, med beaktande av tidsfristen för genomförandet och övergångsbestämmelserna i dessa principer.

• (e) Kontroller för att hantera väsentliga IKT-risker vid uppdragsavtal

⁹ Baselkommittén för banktillsyn, Principles for effective risk data aggregation and risk reporting, januari 2013, tillgängliga online på http://www.bis.org/publ/bcbs239.pdf.

Behöriga myndigheter ska bedöma huruvida institutets strategi om uppdragsavtal, i överensstämmelse med kraven i CEBS riktlinjer om uppdragsavtal (2006) samt kravet i punkt 85 d i EBA:s ÖUP-riktlinjer, tillämpas på ett tillfredsställande sätt på IKT-uppdragsavtal, inbegripet uppdragsavtal inom gruppen där IKT-tjänster tillhandahålls inom gruppen. De behöriga myndigheterna ska vid bedömningen av IKT-risker vid uppdragsavtal beakta att dessa risker även kan omfattas som en del av bedömningen av de inneboende operativa riskerna enligt punkt 240 j i EBA:s ÖUP-riktlinjer, för att undvika dubbelarbete eller dubbelräkning.

Behöriga myndigheter ska särskilt bedöma huruvida institutet har ett effektivt ramverk för att identifiera, förstå och mäta IKT-risker vid uppdragsavtal, och i synnerhet har kontroller och en kontrollmiljö för att minska risker i samband med väsentliga utkontrakterade IKT-tjänster som är proportionerliga till institutets storlek, verksamhet och IKT-riskprofil, och som omfattar följande:

• a. En bedömning av vilken påverkan som IKT-utkontrakteringen får på institutets riskhantering med avseende på användningen av tjänsteleverantörer (t.ex. leverantörer av molntjänster) och deras tjänster under upphandlingsprocessen som är dokumenterad och beaktas av verkställande ledningen eller ledningsorganet vid beslutet att utkontraktera tjänsten eller inte. Institutet ska granska policyer för IKT-riskhantering och IKT-kontroller och tjänsteleverantörens kontrollmiljö för att säkerställa att de uppfyller institutets interna riskhanteringsmål och riskaptit. Denna granskning ska uppdateras regelbundet under uppdragsavtalets löptid, med beaktande av de utkontrakterade tjänsternas karaktär.
• b. Övervakning av de IKT-risker som de utkontrakterade tjänsterna medför under uppdragsavtalets löptid som en del av institutets riskhantering och som ingår i institutets rapportering om IKT-riskhantering (t.ex. rapportering om kontinuitet och säkerhet).
• c. Övervakning och jämförelse av de erhållna servicenivåerna med de avtalade servicenivåer som ska vara del av uppdragsavtalet eller servicenivåavtalet.
• d. Tillräckligt med personal, resurser och kompetens för att övervaka och hantera IKT-riskerna från de utkontrakterade tjänsterna.