57. Behöriga myndigheter ska bedöma huruvida institutet har ett effektivt ramverk för att …

Behöriga myndigheter ska bedöma huruvida institutet har ett effektivt ramverk för att identifiera, förstå, mäta och minska IKT-dataintegritetsrisker i proportion till karaktär, omfattning och komplexitet vad gäller institutets verksamhet och dess IKT-riskprofil. Institutets ramverk ska beakta de risker som har samband med bevarandet av integriteten hos de uppgifter som lagras och bearbetas av IKT-systemen. Vid denna bedömning ska de behöriga myndigheterna i synnerhet ta hänsyn till huruvida ramen beaktar följande:

• a. En policy som definierar roller och ansvarsområden för hantering av integriteten hos uppgifterna i IKT-systemen (t.ex. datautvecklare, databehandlare⁶ , dataförvarare⁷ och ägare/förvaltare till data⁸ ) och som ger vägledning om vilka uppgifter som är avgörande från ett dataintegritetsperspektiv och ska vara föremål för särskilda IKT-kontroller (t.ex. automatiska kontroller för ingångsvalidering, kontroller av dataöverföring, avstämning etc.) eller granskningar (t.ex. kontroll av överensstämmelse med dataarkitektur) under de olika faserna i IKT-datans livscykel.
• b. En dokumenterad dataarkitektur, datamodell och/eller lexikon som validerats av relevanta intressenter från affärsverksamheten och it-verksamheten och som stödjer den nödvändiga samstämmigheten hos uppgifter mellan IKT-systemen och säkerställer att dataarkitekturen, datamodellen och/eller lexikonet överensstämmer med affärs- och riskhanteringsbehoven.
• c. En policy rörande den tillåtna användningen och beroendet av anveckling, särskilt med avseende på identifiering, registrering och dokumentering av viktiga lösningar för anveckling (t.ex. vid bearbetning av viktiga uppgifter) och de förväntade säkerhetsnivåerna för att förhindra otillåtna ändringar, både i själva verktyget och i de uppgifter som lagras där.
• d. Dokumenterade processer för hantering av avvikelser för att lösa identifierade problem rörande IKT-dataintegritet i överensstämmelse med hur kritiska och känsliga de är.

⁶ En databehandlare är ansvarig för bearbetning och användning av data.

⁷ En dataförvarare är ansvarig för säker förvaring, transport och lagring av data.

⁸ En dataförvaltare är ansvarig för hantering av och ändamålsenlighet för dataelement – både vad gäller innehåll och metadata.

1. Översikt

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade standarder

2. Identifierade krav

3. Relaterade standarder

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/