en en

Sprievodca klasifikácie IKT incidentov

Posúdenie incidentu

Upozornenie: Táto pomôcka obsahuje zjednodušený návod pre identifikáciu závažných incidentov súvisiacich s IKT. Finančné subjekty sú povinné pri nahlasovaní závažných incidentov súvisiacich s IKT postupovať podľa príslušných všeobecne záväzných právnych predpisov..

Krok 1

Súvisí incident s IKT?

  • Došlo k narušeniu dôvernosti, integrity, dostupnosti alebo pravosti údajov?
  • Došlo k výpadku alebo poruche IKT služby, systému či siete?
Výsledok

Koniec

Incident nespadá pod reguláciu DORA.

Krok 2

Došlo k neoprávnenému prístupu?

  • Potvrdené vniknutie do siete/informačných systémov?
  • Identifikovaná prítomnosť útočníka?
Krok 2b

Mohol neoprávnený prístup viesť k strate údajov?

  • Mohlo dôjsť k strate dôvernosti, integrity, dostupnosti alebo pravosti údajov?
  • Mal útočník prístup k systémom alebo databázam s citlivými údajmi?
Krok 3

Sú zasiahnuté kritické služby?

  • Je ovplyvnená kritická alebo dôležitá funkcia?
  • Je zasiahnutá regulovaná finančná služba?
Výsledok

Koniec

Nie sú splnené kritériá závažného IKT incidentu (nie sú ovplyvnené IKT služby podporujúce kritické alebo dôležité funkcie).

Krok 4

Sú splnené aspoň DVE ďalšie kritériá významnosti?

Kritériá významnosti (splň aspoň 2)

Za významný sa incident považuje, ak spĺňa najmenej dve kritériá v bodoch 1 až 6.

  1. Rozsah ovplyvnenia:
    • Ovplyvnení klienti: > 10 % používateľov danej služby ALEBO > 100 000 klientov ALEBO ovplyvnení boli „dôležití“ klienti/protistrany.
    • Finančné protistrany: > 30 % relevantných finančných protistrán.
    • Transakcie: > 10 % denného priemeru počtu alebo objemu transakcií danej služby.
  2. Vplyv na dobré meno: mediálne pokrytie, opakované sťažnosti, nemožnosť plniť regulačné požiadavky, významná strata klientov/protistrán.
  3. Trvanie/výpadok: incident > 24 hod. ALEBO výpadok kritickej/dôležitej služby > 2 hod.
  4. Geografický rozsah: vplyv v aspoň 2 členských štátoch.
  5. Straty údajov: nepriaznivý vplyv na dostupnosť/pravosť/integritu/dôvernosť údajov, alebo úspešný škodlivý neoprávnený prístup, ktorý môže viesť k strate údajov.
  6. Hospodársky vplyv: náklady a straty > 100 000 €.
Výsledok

Závažný IKT incident

Incident je potrebné nahlásiť podľa článku 19 nariadenia DORA zaslaním počiatočného, priebežného a záverečného hlásenia.

Výsledok

Zvážiť nahlásenie

Ak momentálne nedisponujete dostatkom informácií k vyhodnoteniu situácie, incident možno aj tak nahlásiť a neskôr preklasifikovať na nezávažný, ak sa ukáže, že nespĺňa prahové hodnoty.

Krok 5

Opakujú sa incidenty?

  • vyskytli sa aspoň dvakrát v priebehu 6 mesiacov,
  • majú rovnakú zjavnú hlavnú príčinu,
  • a spoločne spĺňajú test závažného incidentu.
Výsledok

Závažný incident

Opakujúce sa incidenty spoločne kvalifikujú ako závažné.

Výsledok

Nezávažný

Zaevidovať a monitorovať interne.

História rozhodnutí