Technologie: Dogonić rynek

Maciej Twardowski

Na razie trwają konsultacje, ale Urząd Komisji Nadzoru Finansowego ma nadzieję, że nowelizacja Rekomendacji D zostanie opublikowana jeszcze w styczniu. Skąd ten pośpiech? Cóż, wiadomo, że poprzedni dokument opracowano w 2002 r., a 10 lat w przypadku IT to przepaść. – Poprzednia rekomendacja była dobra w swoim czasie, lecz przez dekadę zmieniła się sytuacja, chociażby w zakresie rozwoju technologicznego. Dziesięć lat temu nikt nie słyszał o Facebooku i smartfonach, użytkowników internetu było kilkakrotnie mniej – zauważa Mateusz Górnisiewicz z Departamentu Inspekcji Bankowych i Instytucji Płatniczych Komisji Nadzoru Finansowego. Dekadę temu bankowość elektroniczna właściwie dopiero raczkowała. Przez ten czas wzrosło znaczenie IT w bankach – nastąpiła automatyzacja procesów. – Do negatywów zaliczyć można pojawienie się w tym czasie nowych zagrożeń związanych ze zmianą wektora ataków w kierunku socjotechnicznym, przy jednoczesnym ich nasileniu – dodaje Mateusz Górnisiewicz. W jego opinii, nie można też pominąć milczeniem zebranych przez ten czas doświadczeń nadzorczych.

Dla kogo?

– W nowelizacji chcieliśmy wskazać aktualne i całościowe oczekiwania nadzorcze dotyczące bezpiecznego zarządzania obszarem technologii informacyjnej. A także obszarem bezpieczeństwa środowiska teleinformatycznego, przy czyn przez to środowisko rozumiemy zarówno infrastrukturę, jak i wykorzystujące ją systemy informatyczne. Istotne znaczenie ma tu także zarządzanie ryzykiem związanym z tymi obszarami – tłumaczy przedstawiciel UKNF. Aktualnie trwa proces konsultacji publicznych, który już zbliża się do końca – właśnie analizowane są wszystkie napływające do KNF uwagi. Zdaniem Mateusza Górnisiewicza, ogólnie odzew jest raczej pozytywny. – Jednym z głównych wyzwań, jakie przed nami stanęły, było uczynienie tego dokumentu możliwe uniwersalnym, tak by odpowiadał on zarówno dużym, jak i małym bankom. W tym celu dokonaliśmy rozszerzenia zasady proporcjonalności w kierunku reguły comply or explain, czyli zgodności z tym, co jest opublikowane w dokumencie lub wyjaśnienia, dlaczego taka zgodność nie jest zachowana – zauważa przedstawiciel KNF. Wynika to ze specyfiki materii – organizacje różnią się między sobą, mają zróżnicowane stopnie złożoności środowisk IT, różne są także zagrożenia, na jakie banki są wystawiane. Niekiedy zróżnicowanie dotyczy też uwarunkowań prawnych. Nie istnieje więc jedno rozwiązanie dostosowane do wszystkich banków. – Zasada, którą przyjęliśmy, chociaż słuszna, stanowi z drugiej strony spore utrudnienie, bo będzie to wymagało żywego dialogu między bankami a nadzorem, popartego argumentami i analizą – ocenia przedstawiciel KNF. Nie można się ...