Rekomendacje KNF dla podmiotów rynku finansowego dotyczące przeglądu bezpieczeństwa usług SaaS i zarządzania ryzykiem dostawców ICT
Źródło: Kingston
Urząd Komisji Nadzoru Finansowego rekomenduje podmiotom rynku finansowego przeprowadzenie przeglądu wykorzystywanych usług SaaS oraz związanych z nimi mechanizmów zarządzania ryzykiem ICT (...) – czytamy na stronie internetowej KNF.
Zgodnie z opublikowanym przez KNF dokumentem, przegląd powinien obejmować osiem głównych obszarów:
- Identyfikację usług i powierzanych danych, w tym ustalenie podziału odpowiedzialności pomiędzy podmiotem finansowym a dostawcą (…).
- Weryfikację bezpieczeństwa dostawców na podstawie aktualnych informacji, w tym weryfikację autentyczności i zakresu certyfikatów oraz raportów z audytów (…).
- Weryfikację integracji połączeń i uprawnień, w tym przegląd kont technicznych, dostępów administracyjnych, uprawnień aplikacji oraz tokenów i kluczy API (…).
- Ochronę poświadczeń i certyfikatów technicznych, z zaleceniem stosowania uwierzytelniania wieloskładnikowego, w szczególności dla kont administracyjnych (…).
- Ocenę podwykonawców i przepływów danych pod kątem istotnych zależności oraz ryzyka koncentracji (…).
- Ograniczenie zakresu powierzanych danych oraz czasu ich przechowywania do warunków niezbędnych do realizacji usługi (…).
- Przygotowanie do incydentu i utrzymania ciągłości działania, w tym weryfikację procedur reagowania, możliwości odzyskania danych oraz uruchomienia rozwiązań zastępczych (…).
- Współpracę z CSIRT KNF i uwzględnianie publikowanych informacji o zagrożeniach w bieżącej ocenie bezpieczeństwa usług SaaS (…).
W przypadku podmiotów objętych rozporządzeniem DORA, wskazane działania stanowią element realizacji obowiązków prawnych dotyczących zarządzania ryzykiem związanym z ICT, w tym ryzykiem ze strony zewnętrznych dostawców usług ICT (…).
Czytaj także: Cyberodporność stanie się obowiązkiem dostawców technologii
