55. Behöriga myndigheter ska bedöma huruvida institutet har ett effektivt ramverk för att …

Behöriga myndigheter ska bedöma huruvida institutet har ett effektivt ramverk för att identifiera, förstå, mäta och minska IKT-säkerhetsrisker. Vid denna bedömning ska de behöriga myndigheterna i synnerhet ta hänsyn till huruvida ramverket beaktar följande:

• a. Klart definierade roller och ansvarsområden avseende
• i. den person/de personer och/eller kommittéer som är ansvariga för den dagliga IKT-säkerhetshanteringen och utarbetandet av de övergripande IKT-säkerhetspolicyerna, med beaktande av det oberoende som de behöver,
• ii. utformning, genomförande, hantering och övervakning av IKT-säkerhetskontroller,
• iii. skydd av kritiska IKT-system och IKT-tjänster, exempelvis genom att anta en process för bedömning av sårbarhet, uppdateringsprocess av programvara, klientskydd (t.ex. antivirusprogram), system för upptäckt av intrång (IDS) och för förhindrande av intrång (IPS),
• iv. övervakning, klassificering och hantering av externa eller interna IKT-säkerhetsincidenter, inbegripet incidenthantering och återupptagande och återställning av IKT-system och IKT-tjänster, samt
• v. regelbundna och förebyggande bedömningar av hot för att bibehålla lämpliga säkerhetskontroller.
• b. En IKT-säkerhetspolicy som beaktar och, i förekommande fall, följer internationellt erkända IKT-säkerhetsstandarder och IKT-säkerhetsprinciper (t.ex. principen om begränsad behörighet, dvs. en begränsning av åtkomsten till den miniminivå som medger normala funktioner för hantering av åtkomsträttigheter och principen om ”försvar på djupet”, dvs. säkerhetsmekanismer i flera nivåer för att öka systemets säkerhet i sin helhet för utformning av en säkerhetsstruktur).
• c. Ett förfarande för att identifiera IKT-system och IKT-tjänster i proportion till säkerhetskraven som återspeglar den potentiella risken för bedrägerier och/eller möjligt missbruk av konfidentiella uppgifter tillsammans med dokumenterade förväntningar på säkerhet som ska följas för dessa identifierade system, tjänster och uppgifter i proportion till institutets risktolerans och med övervakning för ett korrekt genomförande.
• d. En dokumenterad process för hantering och eskalering av säkerhetsincidenter som tillhandahåller vägledning avseende de olika rollerna och ansvarsområdena för hantering av incidenter och medlemmarna i kriskommittén/kriskommittéerna och beslutskedjan i en nödsituation.
• e. Loggning av användare och administrativa åtgärder för att möjliggöra effektiv övervakning och snabb upptäckt och hantering av otillåten aktivitet, för att bistå vid eller genomföra tekniska undersökningar av säkerhetsincidenter. Institutet ska ha en loggningspolicy som definierar lämpliga typer av loggar som ska tillämpas och deras lagringstid.
• f. Medvetandehöjande och informationskampanjer eller initiativ för att informera samtliga nivåer i institutet om säker användning och skydd av institutets IKT-system och de huvudsakliga IKT-säkerhetsriskerna (och andra risker) som de ska vara medvetna om, särskilt vad gäller befintliga och framväxande it-hot (t.ex. datavirus, möjligt internt eller externt missbruk eller attacker, cyber-attacker) och deras roll när det gäller att minska säkerhetsöverträdelserna.
• g. Lämpliga fysiska säkerhetsåtgärder (t.ex. kameraövervakningssystem, inbrottslarm, säkerhetsdörrar) för att förhindra otillåten fysisk åtkomst till kritiska och känsliga IKT-system (t.ex. datacentraler).
• h. Åtgärder för att skydda IKT-systemen från attacker från internet (dvs. cyber-attacker) eller andra externa nätverk (t.ex. traditionella telefonförbindelser eller förbindelser med betrodda partner). Behöriga myndigheter bör granska huruvida institutets ramverk beaktar följande:
• i. En process och lösningar för att bibehålla en fullständig och uppdaterad kartläggning och överblick över alla utåtriktade anslutningspunkter i nätverket (t.ex. webbplatser, internetapplikationer, wifi, fjärråtkomst) genom vilka tredje parter skulle kunna bryta sig in i de interna IKT-systemen.
• ii. Noggrant hanterade och övervakade säkerhetsåtgärder (t.ex. brandväggar, proxyservrar, e-postreläer, antivirus och innehållskontroll) för att säkra inkommande och utgående nätverkstrafik (t.ex. e-post) och de utgående nätverksförbindelser genom vilka tredje parter skulle kunna ta sig in i de interna IKT-systemen.
• iii. Processer och lösningar för att säkra webbplatser och applikationer som kan attackeras direkt från internet och/eller utifrån, vilka kan fungera som ingångspunkt till de interna IKT-systemen. I allmänhet omfattar detta en kombination av erkända säkra utvecklingsmetoder, härdning av IKT-system och metoder för att upptäcka sårbarheter, och/eller införande av ytterligare säkerhetslösningar som till exempel brandväggar för applikationer och/eller system för upptäckt av intrång (IDS) och/eller system för förhindrande av intrång (IPS).
• iv. Periodisk penetrationstestning för att bedöma hur effektiva de genomförda IKT-säkerhetsåtgärderna och processerna är. Dessa tester ska genomföras av anställda och/eller externa experter med nödvändiga kunskaper, med dokumenterade testresultat och slutsatser som rapporteras till verkställande ledningen och/eller ledningsorganet. Vid behov och i förekommande fall ska institutet lära sig från dessa tester var det kan förbättra säkerhetskontrollerna och processerna ytterligare och/eller få bättre försäkran för deras effektivitet.
• (c) Kontroller för att hantera risker förknippade med väsentliga IKT-ändringar

1. Översikt

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade standarder

2. Identifierade krav

3. Relaterade standarder

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/