| IKT- IKT-risker (icke-riskkategorier uttömmande10 ) IKT-risker med Bristande avseende på kapacitetshantering tillgänglighet och kontinuitet | Riskbeskrivning Brist på resurser (t.ex. hårdvara, mjukvara, personal, tjänsteleverantörer) kan leda till en oförmåga att tillhandahålla tjänster för att möta affärsbehov, systemavbrott, försämrad service och/eller operativa fel. | Exempel • • | Kapacitetsbrist kan påverka överföringshastigheten och nätverkets tillgänglighet (internet) för tjänster såsom webbaserade banktjänster. Brist på personal (intern eller från tredje part) kan medföra systemavbrott och/eller operativa fel. |
| IKT-systemfel | Bristande tillgänglighet på grund av fel i hårdvara. Bristande tillgänglighet på grund av fel i mjukvara och programfel. | • • • | Fel/brister vid lagring (hårddiskar), servrar eller annan IKT-utrustning, t.ex. beroende på bristande underhåll. En oändlig loop i applikationsprogramvaran hindrar utförandet av transaktionen. Driftsavbrott på grund av fortsatt användning av föråldrade IKT-system och lösningar som inte längre uppfyller de aktuella kraven vad gäller tillgänglighet och motståndskraft och/eller inte längre stödjs av leverantören. |
| Bristande planering av IKT-kontinuitet och återställning | Brister i planerad IKT-tillgänglighet och/eller kontinuitetslösningar och/eller återställning (t.ex. reservdatacentral ) vid aktivering i samband med en incident. | • | Skillnader i konfiguration mellan den primära och sekundära datacentralen kan leda till att reservdatacentralen är oförmöget att tillhandahålla den planerade kontinuiteten för tjänsten. |
| Störande och skadliga it-attacker | Attacker med olika syften (t.ex. aktivism, utpressning) som leder till en överbelastning av system och nätverk och förhindrar åtkomst för legitima användare till onlinetjänster. | • | Distribuerade överbelastningsattacker (Distributed Denial of Service attacks) utförs genom att ett stort antal datorsystem på internet som kontrolleras av en hackare skickar ett stort antal förfrågningar som |
| IKT- IKT-risker (icke-riskkategorier uttömmande10 ) | Riskbeskrivning | Exempel | förefaller legitima till internettjänster (t.ex. e-banktjänster). |
| IKT- Cyber-attacker och säkerhetsrisker andra externa IKT-baserade attacker | Attacker som genomförs från internet eller utomstående nätverk i olika syften (t.ex. bedrägeri, spionage, aktivism/sabotage, cyber-terrorism) med användning av olika metoder (t.ex. social manipulation, försök till intrång genom utnyttjande av svagheter, användning av sabotageprogram) som leder till ett övertagande av kontrollen över interna IKT-system. Genomförande av bedrägliga betalningstransaktioner av hackare genom att bryta sig igenom eller kringgå säkerheten vid e-banking och betalningstjänster och/eller genom att attackera och utnyttja säkerhetsbrister i institutets interna betalningssystem. Utförande av bedrägliga värdepapperstransaktioner av hackare genom att bryta sig igenom eller kringgå säkerheten vid e-banktjänster som även ger tillgång till kundens värdepapperskonto. Attacker på kommunikationsförbindelser och konversationer av alla typer eller på IKT-system i syfte att samla in information och/eller begå bedrägerier. | Olika • • • • • • • • | typer av attacker: APT (avancerat ihållande hot) för att ta över kontrollen av interna system eller stjäla information (t.ex. information som hör samman med identitetskapning, kreditkortsinformation). Sabotageprogram (t.ex. utpressningsprogram) som krypterar data i utpressningssyfte. Infiltrering av IKT-system med trojaner för att genomföra illvilliga handlingar i systemet på ett dolt sätt. Utnyttjande av svagheter i IKT-systemet och/eller i (webb)applikationer (t.ex. SQL-injektion ...) för att få åtkomst till interna IKT-system. Attacker mot betalnings- eller e-banktjänster i syfte att genomföra obehöriga transaktioner. Upprättande och utskick av bedrägliga betalningstransaktioner inifrån institutets interna betalningssystem (t.ex. bedrägliga Swiftmeddelanden). ”Pump and dump”-attacker där den som utför attacken får tillgång till kundernas värdepapperskonton genom e-banktjänster och placerar bedrägliga köp- eller säljorder för att påverka marknadspriset och/eller göra vinst på grundval av tidigare upprättade värdepapperspositioner. Avlyssning av oskyddade överföringar av autentiseringsdata i klartext. |
| IKT- IKT-risker (icke-riskkategorier uttömmande10 ) Bristande intern IKT-säkerhet | Riskbeskrivning Obehörig åtkomst till kritiska IKT-system inifrån institutet i olika syften (t.ex. bedrägeri, genomförande och döljande av oseriös handelsverksamhet, datastöld, aktivism/sabotage) genom ett flertal metoder (t.ex. missbruk och/eller utökning av privilegier, identitetskapning, social ingenjörskonst, utnyttjande av svagheter i IKT-systemet, användning av sabotageprogram). Olovliga IKT-manipulationer på grund av otillräckliga processer och kontroller för IKT-behörighetshantering. Säkerhetshot på grund av bristande medvetenhet, varvid anställda inte förstår, försummar eller misslyckas med att följa policyer och regler för IKT-säkerhet. Obehörig lagring eller överföring av konfidentiella uppgifter utanför institutet. | Exempel • • • • • • • • • | Installation av keyloggers för att stjäla användar-id och lösenord för att få obehörig åtkomst till konfidentiella uppgifter och/eller begå bedrägerier. Knäcka/gissa svaga lösenord för att få olaglig eller utökad åtkomst. Systemadministratörer använder operativsystem eller databasverktyg (för direkta modifieringar av databaser) för att begå bedrägerier. Underlåtenhet att avaktivera eller radera onödiga konton såsom sådana från personal som har bytt tjänst och/eller har lämnat institutet, inbegripet gäster eller leverantörer som inte längre behöver åtkomst, vilka ger obehörig tillgång till IKT-systemen. Beviljande av höga behörigheter, som medger obehörig åtkomst och/eller gör det möjligt att dölja oseriös verksamhet. Anställda som luras att ge stöd till en attack (dvs. social manipulation). Dålig praxis avseende autentiseringsuppgifter: delning av lösenord, användning av lösenord som är ”lätta” att gissa, användning av samma lösenord i många olika syften, etc. Lagring av okrypterade konfidentiella uppgifter i bärbara datorer och bärbara datalagringslösningar (t.ex. usb-minnen) som kan tappas bort eller bli stulna. Personer som stjäl eller avsiktligt läcker eller smugglar ut konfidentiella uppgifter till obehöriga personer eller till allmänheten. |
| Bristande fysisk IKT-säkerhet | Missbruk eller stöld av IKT-tillgångar genom fysisk tillgång som vållar skada, förlust av tillgångar eller | • | Fysiska inbrott i kontorsbyggnader och/eller datacentraler för att stjäla IKT-utrustning (t.ex. |
| IKT- IKT-risker (icke-riskkategorier uttömmande10 ) | Riskbeskrivning data eller för att möjliggöra andra hot. Uppsåtlig eller oavsiktlig skada på fysiska IKT-tillgångar som orsakas av terrorism, olyckor eller olyckliga/felaktiga manipulationer från institutets personal och/eller från tredje part (leverantörer, reparatörer). Otillräckligt fysiskt skydd mot naturkatastrofer som leder till delvis eller komplett förstörelse av IKT-system/datacentraler på grund av naturkatastrofer. | Exempel • • • | datorer, bärbara datorer, lagringslösningar) och/eller att kopiera uppgifter genom fysisk tillgång till IKT-system. Fysisk terrorism (dvs. terroristbomber) eller sabotage av IKT-tillgångar. Förstörelse av datacentral genom brand, vattenskada eller andra faktorer. Jordbävningar, extrem hetta, stormar, massiva snöstormar, översvämningar, bränder, blixtnedslag. |
| Risker Bristande kontroll förknippade vid förändringar av med IKT- IKT-system och IKT-ändringar utveckling | Incidenter som orsakas av oupptäckta fel eller svagheter beroende på ändringen (t.ex. oförutsedda effekter av en ändring eller en dåligt hanterad ändring på grund av bristande testning eller bristande praxis vid hantering av ändringar) av t.ex. programvara, IKT-system eller uppgifter. | • • • • • | Idrifttagande av programvara som inte testats tillräckligt eller konfigureringar med oväntade negativa effekter på data (t.ex. förvanskning, radering) och/eller IKT-systemets prestanda (t.ex. avbrott, försämrad prestanda). Okontrollerade förändringar av IKT-system eller uppgifter i produktionsmiljön. Idrifttagande av IKT-system och internetapplikationer med dålig säkerhet, vilket ger hackare möjlighet att attackera de internettjänster som tillhandahålls och/eller att bryta sig in i de interna IKT-systemen. Okontrollerade ändringar i källkoden för internt utvecklad programvara. Otillräcklig testning på grund av att det saknas lämpliga provningsmiljöer. |
| Bristande IKT-arkitektur | En svag IKT-arkitektur vid utformning, upprättande och underhåll av IKT-system (t.ex. programvara, maskinvara, uppgifter) kan, med tiden, leda till komplexa, svåra och rigida IKT-system som är svåra att hantera, inte längre motsvarar affärsbehoven | • | Bristande hantering av ändringar i IKT-system, programvara och/eller data över en längre period som leder till komplexa, oenhetliga och svårhanterade IKT-system och arkitektur, vilket leder till mycket negativ påverkan på verksamheten |
| IKT- IKT-risker (icke-riskkategorier uttömmande10 ) | Riskbeskrivning och underpresterar jämfört med de faktiska riskhanteringsbehoven. | Exempel • | och riskhanteringen (t.ex. brist på flexibilitet och smidighet, IKT-incidenter och fel, höga operativa kostnader, försvagad IKT-säkerhet och motståndskraft, minskad datakvalitet och rapporteringsförmåga). Stora anpassningar och utökning av kommersiella programvarupaket med internt utvecklad programvara, vilket ger en oförmåga att införliva framtida versioner och uppdateringar av den kommersiella programvaran och risken att leverantören inte längre tillhandahåller någon support. |
| Otillräcklig livscykelshantering och hantering av uppdateringar | Misslyckande att åstadkomma en lämplig inventering av alla IKT-tillgångar med stöd för och i kombination med en sund praxis avseende livscykel och hantering av uppdateringar. Detta leder till otillräckligt uppdaterade (och således mer sårbara) och föråldrade IKT-system som kanske inte uppfyller affärsbehoven och riskhanteringsbehoven. | • | Föråldrade IKT-system som inte är uppdaterade och kan medföra negativ påverkan på verksamheten och riskhanteringen (t.ex. bristande flexibilitet och smidighet, IKT-driftavbrott, minskad IKT-säkerhet och motståndskraft). |
| IKT- Felaktig IKT-dataintegritetsr databearbetning isker eller hantering | På grund av system-, kommunikations- och/eller applikationsfel eller brister, eller en felaktigt genomförd process för extrahering, överföring och laddning av data, kan uppgifter förvanskas eller förloras. | • • • | It-systemfel vid satsbearbetning som orsakar felaktiga saldon på kundernas bankkonton. Felaktigt genomförda förfrågningar. Dataförlust på grund av fel vid datareplikering (backup). |
| Felaktigt utformade kontroller för datavalidering i IKT-system | Fel som rör avsaknad av eller ineffektiva kontroller av automatiska indata för godkännande (t.ex. för uppgifter som använts från tredje part), överföring och hantering av data och kontroller av utdata i IKT-system (t.ex. validitetskontroller av resultat, avstämningar av uppgifter). | • • • • | Bristande eller ogiltig formatering/validering av indata i applikationer och/eller användargränssnitt. Avsaknad av kontroller som rör avstämningar av uppgifter om producerade resultat. Avsaknad av kontroller av genomförda processer för dataextrahering (t.ex. databasförfrågningar) som leder till felaktiga uppgifter. Användning av felaktiga externa uppgifter. |
| IKT- IKT-risker (icke-riskkategorier uttömmande10 ) Bristande kontroll av dataförändringar i IKT-driftsystem | Riskbeskrivning Datafel som beror på avsaknad av kontroll huruvida datamanipulationer som genomförs vid idrifttagningen av IKT-system är korrekta och berättigade. | Exempel • | Utvecklare eller databasadministratörer som har direkt tillgång till och kan ändra data i IKT-driftsystem på ett okontrollerat sätt, t.ex. vid en IKT-incident. |
| Bristande utformning och/eller hantering av dataarkitektur, dataflöde, datamodeller eller datalexikon IKT-risker vid Bristande uppdragsavtal motståndskraft hos en tredje part eller tjänst från en annan gruppenhet Otillräcklig styrning av uppdragsavtal | Dataarkitektur, datamodeller, dataflöde eller datalexikon som hanteras bristfälligt kan leda till flera versioner av samma data i IKT-system som inte längre än konsekventa på grund av datamodeller eller datadefinitioner som tillämpas på olika sätt och/eller skillnader i den underliggande datagenereringen och ändringsprocessen. Avsaknad av kritiskt utkontrakterade IKT-tjänster, telekommunikationstjänster och allmännyttiga tjänster. Förlust eller förvanskning av kritiska/känsliga uppgifter som anförtrotts tjänsteleverantören. Väsentligt försämrad service eller fel på grund av ineffektiv beredskap eller ineffektiva kontrollprocesser hos den tjänsteleverantör som erhållit uppdragsavtalet. Ineffektiv styrning vid utkontraktering kan ge brister på lämplig kompetens och kapacitet att fullt ut identifiera, bedöma, minska och övervaka IKT-riskerna och kan begränsa institutets operativa kapacitet. | • • • • • • | Förekomst av olika kunddatabaser per produkt eller affärsenhet med olika definitioner och fält för data vilket leder till inkonsekventa kunddata som är svåra att jämföra på nivån för hela finansinstitutet eller gruppen. Viktiga tjänster är inte tillgängliga till följd av fel i leverantörernas (utkontrakterade) IKT-system eller IKT-applikationer. Störningar av telekommunikationslänkar. Bristande strömförsörjning. Dåliga processer för hantering av incidenter, avtalskontrollmekanismer och garantier som är inbyggda i avtalet med tjänsteleverantören och som ökar beroendet av tredje parter och leverantörer. Otillräcklig kontroll av hantering av ändringar avseende tjänsteleverantörens IKT-miljö kan leda till väsentligt nedsatt service eller fel. |
| Bristande säkerhet hos tredje part eller en annan enhet inom gruppen | Tjänsteleverantörens IKT-system kan hackas, vilket har direkt påverkan på de utkontrakterade tjänsterna eller kritiska/konfidentiella data som lagras hos tjänsteleverantören. Personal från tjänsteleverantörer får obehörig åtkomst till kritiska/känsliga data som lagras hos | • • | Tjänsteleverantörer hackas av kriminella eller terrorister som en ingångspunkt till institutets IKT-system eller för att få tillgång till/förstöra kritiska eller känsliga uppgifter som lagras hos tjänsteleverantören. Illvilliga insiderpersoner från tjänsteleverantörens |
| IKT- IKT-risker (icke-riskkategorier uttömmande10 ) | Riskbeskrivning tjänsteleverantören. | Exempel | sida försöker stjäla och sälja känsliga uppgifter. |