Technologie: Czym się kierować przy wyborze dostawcy IT, by działać zgodnie z Rekomendacją D

Bogdan Bednarski

Instytucje finansowe i ich klienci w coraz większym zakresie funkcjonują w wirtualnej rzeczywistości. Jak przypomina Narodowy Bank Polski, prawie 90 proc. otrzymuje wynagrodzenia przelewem, 77 proc. posiada rachunek oszczędnościowo-rozliczeniowy, a 66 proc. kartę płatniczą1. Na popularności zyskują również bankowość mobilna i analizy Big Data, które umożliwiają instytucjom finansowym skuteczniejsze targetyzowanie oferty.

Wyzwanie tylko dla działów IT? Tym pilniejsze staje się wdrożenie jak najwyższych standardów bezpieczeństwa, i to zarówno przez większe, jak i mniejsze podmioty sektora finansowego. Rzeczywistość jest jednak inna.

– O ile duże banki są raczej dość poprawnie zabezpieczone i mają świadomość ryzyka określonego w Rekomendacji D, o tyle w mniejszych instytucjach (np. w bankach spółdzielczych) nie zawsze poziom wiedzy jest wystarczający, przez co dominuje wybiórcze podejście do zapewnienia bezpieczeństwa. Problem też często spycha się na barki działów IT – mówi Andrzej Kawiński, prezes Instytutu Analiz i Prognoz Rynkowych.

Tymczasem KNF nie tylko sprecyzował adresatów rekomendacji (zarządy banków i rady nadzorcze), ale też określił obszary, w których zalecenia powinny być wdrożone (departamenty informatyki, ryzyka, biznesu i bezpieczeństwa). Regulator również dużo uwagi poświęcił na zdefiniowanie prawidłowej współpracy pomiędzy wymienionymi obszarami. Wszystko po to, by dostosowanie do Rekomendacji D było rzetelne i kompleksowe, obejmujące zarówno wysoki poziom bezpieczeństwa zasobów, reguły komunikacji i współpracy między wspomnianymi obszarami, jak i skuteczne scenariusze i procedury na wypadek awarii.

– Nie wystarczy zatem kupić dokumentację, co – niestety – część banków praktykuje, definiując zalecenia KNF jako kolejne utra- pienie. To błąd. Tym większy, że dostosowanie ...