Zaudējis spēku - Informācijas tehnoloģiju un drošības risku pārvaldības noteikumi

Latvijas Bankas noteikumi Nr. 360Rīgā 2024. gada 2. decembrī

Izdoti saskaņā ar Apdrošināšanas un pārapdrošināšanas likuma 53. pantasesto daļu, Finanšu instrumentu tirgus likuma 4.2 pantu, Ieguldījumubrokeru sabiedrību likuma 31. panta ceturto daļu un 45. panta sesto daļu,Ieguldījumu pārvaldes sabiedrību likuma 13. panta piecpadsmito daļu,Krājaizdevu sabiedrību likuma 27. panta otro daļu, Kredītiestāžu likuma34.1 panta otro daļu un 50. panta trešo daļu, Maksājumu pakalpojumu unelektroniskās naudas likuma 45. panta pirmo daļu un 104.1 panta piektodaļu un Privāto pensiju fondu likuma 20. panta trešo un sešpadsmito daļu

1. Vispārīgie jautājumi

1. Informācijas tehnoloģiju un drošības risku pārvaldības noteikumi (turpmāk – noteikumi) ir saistoši Latvijas Republikā reģistrētiem finanšu un kapitāla tirgus dalībniekiem (turpmāk – tirgus dalībnieks): kredītiestādēm, krājaizdevu sabiedrībām, maksājumu iestādēm, elektroniskās naudas iestādēm, apdrošināšanas un pārapdrošināšanas sabiedrībām, apdrošināšanas un pārapdrošināšanas starpniekiem, privātajiem pensiju fondiem, regulētā tirgus organizētājiem, centrālajiem vērtspapīru depozitārijiem, ieguldījumu brokeru sabiedrībām, ieguldījumu pārvaldes sabiedrībām, alternatīvo ieguldījumu fondu pārvaldniekiem un kolektīvās finansēšanas pakalpojumu sniedzējiem.

2. Noteikumu mērķis ir līdz pieņemamam līmenim mazināt tirgus dalībnieku darbībai un klientiem sniegto pakalpojumu nodrošināšanai izmantojamo informācijas tehnoloģiju (turpmāk – IT) riskus un uzlabot IT un drošības pārvaldību, kopumā tiecoties uz piesardzīgu risku pārvaldības līmeni (risku apetīti), kā arī noteikt vienotas strukturētas tirgus dalībnieku IT un drošības pārvaldības prasības.

3. Tirgus dalībnieks, ieviešot drošības pasākumus, ievēro proporcionalitātes principu un uz risku izvērtējumu balstītu pieeju, ņemot vērā konkrētā tirgus dalībnieka lielumu, darbības jomu, sarežģītību, riska pakāpi un pakalpojumus, kurus tas sniedz vai plāno sniegt. Apdrošināšanas un pārapdrošināšanas starpnieki un reģistrētie alternatīvo ieguldījumu fondu pārvaldnieki ievieš tās šo noteikumu prasības, kuras par nepieciešamām atzītas konkrētā tirgus dalībnieka aktuālajā IT risku analīzē.

2. Termini

4. Auditācijas pieraksti – analīzei pieejami pieraksti, kuros reģistrēti dati par konkrētiem IT notikumiem (piekļuve, datu ievade, maiņa, dzēšana, izvade u. c.).

5. Ārpakalpojums – (Eiropas Banku iestādes 2019. gada 25. februāra "Pamatnostādņu par ārpakalpojumu izmantošanu" (EBA/GL/2019/02) izpratnē) jebkura veida vienošanās starp tirgus dalībnieku un pakalpojuma sniedzēju, saskaņā ar kuru šis pakalpojuma sniedzējs nodrošina procesu, sniedz pakalpojumu vai veic citu darbību, ko citādi darītu pats tirgus dalībnieks.

6. Drošības pasākumi – tehniski vai organizatoriski pasākumi, kas tiek noteikti risku pārvaldības ietvaros un samazina IT risku līdz pieļaujamajam līmenim.

7. IT sistēma – datu ievades, uzglabāšanas un apstrādes sistēma, kas nodrošina noteikto funkciju izpildi un paredz lietotājpieeju tajā glabātajiem datiem vai informācijai.

8. Informācijas resursi – informācijas vienības, kurās ietilpst datu faili, kas satur IT sistēmā glabājamo, apstrādājamo un lietotājiem pieejamo informāciju, kā arī visi IT sistēmas ievades un izvades dokumenti neatkarīgi no datu nesēja veida.

9. Informācijas resursu turētājs – persona, kas ir atbildīga par informācijas resursiem un rīkojas ar tiem tirgus dalībnieka uzdevumā.

10. Tehnoloģiskie resursi – IT sistēmas sastāvdaļa, kurā ietilpst sistēmprogrammas, lietojumprogrammas, palīgprogrammas, sistēmfaili, datori, datortīkli, aparatūra un citas iekārtas, kas nodrošina IT sistēmu darbību.

11. IT resursi – informācijas un tehnoloģiskie resursi.

12. Tehnoloģisko resursu turētājs – persona, kas ir atbildīga par tehnoloģiskajiem resursiem un rīkojas ar tiem tirgus dalībnieka uzdevumā.

13. Konfidencialitāte – piekļuve informācijai vai procesam tikai pilnvarotām personām vai procesiem.

14. Integritāte – informācijas un tās apstrādes metožu precizitāte, pareizība un pilnīgums.

15. Pieejamība – iespēja pilnvarotām personām lietot IT sistēmu noteiktā laikā un vietā.

16. Drošības incidents – kaitīgs notikums vai nodarījums vai vairāki saistīti notikumi, kuru rezultātā tiek apdraudēta IT integritāte, pieejamība vai konfidencialitāte.

17. IT incidents – notikums vai vairāki saistīti notikumi, kurus tirgus dalībnieks nav plānojis un kuri negatīvi ietekmē IT pakalpojumus.

18. Ievainojamība – IT nepilnība, kas ļauj kādam noteiktam apdraudējumam īstenoties un ietekmēt IT drošību.

19. Lietotājs – persona, kura piešķirto pilnvaru robežās lieto IT sistēmu.

20. Maksājumu pakalpojumu sniedzējs – kredītiestāde, maksājumu iestāde vai elektroniskās naudas iestāde, kas sniedz maksājumu pakalpojumus (saskaņā ar Maksājumu pakalpojumu un elektroniskās naudas likuma 2. panta otrās daļas 1., 2. un 4. punktu).

3. Pārvaldība un stratēģija

3.1. Vadības atbildība un atbalsts

21. Tirgus dalībnieka vadība nodrošina, ka tirgus dalībniekam ir atbilstoša iekšējā pārvaldība un organizācija. Vadība skaidri nosaka lomas un atbildību attiecībā uz IT funkcijām, informācijas drošības riska pārvaldību un darbības nepārtrauktību, tostarp vadības struktūru un tās komiteju lomu un atbildību.

22. Tirgus dalībnieka vadība izveido efektīvu operacionālo risku, tostarp IT un drošības risku, pārvaldības sistēmu. Šī sistēma koncentrējas uz pasākumiem risku mazināšanai un ir integrēta kopējos tirgus dalībnieka risku pārvaldības procesos.

23. Tirgus dalībnieka vadība nodrošina, ka tirgus dalībnieka IT budžets, kā arī personāls un tā prasmes ir pietiekamas, lai nodrošinātu tā IT vajadzības, risku pārvaldības procesus un IT stratēģijas īstenošanu. Vadība ir atbildīga par adekvātu resursu piešķiršanu informācijas drošības un IT audita funkciju pilnvērtīgai nodrošināšanai.

3.2. IT stratēģija

24. Tirgus dalībnieka vadība ir atbildīga par tirgus dalībnieka IT stratēģijas noteikšanu saskaņā ar tā kopējo biznesa stratēģiju un nosaka vismaz:

24.1. IT attīstības virzienus, mērķus un prioritātes, lai efektīvi atbalstītu un īstenotu tā biznesa stratēģiju, ietverot organizatoriskās struktūras izmaiņas, IT sistēmu attīstību un atkarību no ārpakalpojumu sniedzējiem;

24.2. IT stratēģiskās arhitektūras attīstību;

24.3. informācijas drošības mērķus, koncentrējoties uz IT sistēmām un pakalpojumiem, personālu un procesiem.

25. Tirgus dalībnieks izveido procesus, lai uzraudzītu un mērītu IT stratēģijas īstenošanas efektivitāti, un nodrošina, ka tā IT stratēģija tiek pieņemta, īstenota un ar to laikus tiek iepazīstināti darbinieki.

3.3. Informācijas drošības funkcija

26. Tirgus dalībnieks nodrošina informācijas drošības funkciju, lai veiktu informācijas drošības risku kontroli un īstenotu nepieciešamos drošības pasākumus.

27. Informācijas drošības funkcijas ietvaros tirgus dalībnieks nodrošina vismaz:

27.1. informācijas drošības politikas izstrādi, uzturēšanu un ieviešanas kontroli;

27.2. vadības informēšanu par drošības līmeņa atbilstību prasībām un būtiskiem IT drošības incidentiem;

27.3. noteikto drošības pasākumu uzraudzību, t. sk. attiecībā uz ārpakalpojumu sniedzējiem;

27.4. dalību infrastruktūras vai procesu būtisku izmaiņu pārvaldībā, ja tās ietekmē drošību;

27.5. darbinieku apmācību un informēšanu IT drošības jomā;

27.6. dalību incidentu pārvaldībā;

27.7. dalību darbības atjaunošanas un nepārtrauktības plānošanā.

28. Tirgus dalībnieks nodrošina informācijas drošības funkcijas neatkarību un objektivitāti, pienācīgi nodalot to no IT izstrādes un uzturēšanas procesiem, un nosaka pienākumu nepastarpināti informēt tirgus dalībnieka vadību par būtiskiem IT drošības notikumiem. Ja par IS drošību atbildīgais darbinieks savus pienākumus veic darbu apvienošanas kārtībā, tad ievēro pienākumu nodalīšanas principu – darbu izpildītājs nedrīkst pats sevi kontrolēt.

3.4. Audita funkcija

29. Audita funkcija, ievērojot uz risku izvērtējumu balstītu pieeju, patstāvīgi pārskata un sniedz tirgus dalībnieka vadībai objektīvu pārliecību par tirgus dalībnieka IT un drošības pārvaldību un atbilstību tā politikai un procedūrām, kā arī ārējām prasībām.

30. Auditus veic saskaņā ar plānu, kuru nosaka atbilstoši tirgus dalībniekam raksturīgajiem IT un drošības riskiem, un to dara auditori, kuriem ir nepieciešamās zināšanas, prasmes un pieredze un kuri var sniegt neatkarīgu vērtējumu tirgus dalībnieka vadībai par IT un drošības pārvaldības efektivitāti.

31. Tirgus dalībnieks nosaka pārraudzības procesu, kas nodrošina IT audita konstatējumu kontroli un novēršanu.

3.5. Ārpakalpojumu vadība

32. Ārpakalpojuma saņemšana neatbrīvo tirgus dalībnieku no normatīvajos aktos vai līgumā ar tā klientiem noteiktās atbildības – tas ir atbildīgs par ārpakalpojuma sniedzēja veikumu tādā pašā mērā kā par savu. IT drošības līmenis, ja IT attīsta vai uztur ārpakalpojuma sniedzējs, nedrīkst būt zemāks par tirgus dalībnieka noteikto.

33. Pirms lēmuma par ārpakalpojumu iegādi pieņemšanas tirgus dalībnieks izvērtē piegādātājus un, ņemot vērā pakalpojuma kvalitātes un drošības, tostarp pieejamības, prasības, vērtē riskus, kā arī nosaka pakalpojuma izbeigšanas stratēģiju.

34. Tirgus dalībnieks līgumā ar ārpakalpojuma sniedzēju ietver ārpakalpojuma kontroles prasības, t. sk. saņemtā ārpakalpojuma aprakstu, prasības attiecībā uz ārpakalpojuma apjomu, kvalitāti un drošību, konfidencialitātes saistības, tiesības saņemt visu pakalpojuma uzraudzībai nepieciešamo informāciju, prasību ārpakalpojuma sniedzējam nekavējoties ziņot par incidentiem, kā arī tiesības pārtraukt ārpakalpojuma līgumu. Ja ārpakalpojuma sniedzējs atsevišķus pakalpojuma elementus deleģē citam pakalpojumu sniedzējam, tad apakšuzņēmējs ievēro visas drošības prasības, kas noteiktas ārpakalpojuma sniedzējam. Ārpakalpojuma sniedzējs ir pilnībā atbildīgs par apakšuzņēmējiem deleģēto pakalpojumu uzraudzību.

35. Izmantojot ārpakalpojumus, t. sk. mākoņskaitļošanu, tirgus dalībniekam ir pienākums saglabāt nepieciešamo kontroli pār informācijas resursiem, kas satur informāciju par tirgus dalībnieka klientiem, t. sk. noteikt prasības attiecībā uz datu centru izvietojumu, datu šifrēšanu un drošības uzraudzību. Tirgus dalībnieka klasificētus informācijas resursus drošā veidā nošķir no citu klientu informācijas resursiem.

36. Tirgus dalībnieks sagatavo un regulāri aktualizē pakalpojuma pārtraukšanas plānu, paredzot datu un programmatūras atpakaļnodošanu un klientu informācijas dzēšanu pie pakalpojuma sniedzēja. Tirgus dalībnieks nodrošina datu integritāti un kritisko IT pakalpojumu pieejamību situācijās, kad tiek pārtraukts ārpakalpojums, t. sk. laikus veido datu rezerves kopijas alternatīvā, ar ārpakalpojuma sniedzēju nesaistītā vietā.

37. Tirgus dalībnieks izveido un regulāri atjaunina visu izmantoto ārpakalpojumu, t. sk. uzņēmuma grupas ietvaros izmantoto ārpakalpojumu, sarakstu un veic to uzraudzību atbilstoši prasībām. Tirgus dalībnieks nodrošina, ka tam ir visas nepieciešamās prasmes un resursi, kas vajadzīgi ārpakalpojumā deleģēto darbību pienācīgai uzraudzīšanai.

38. Tirgus dalībniekam, ja tas sniedz ārpakalpojumu trešajai pusei, izmantojot savas informācijas sistēmas, tostarp autentifikācijas ārpakalpojumu, ir pienākums kontrolēt risinājuma ieviešanu trešās puses uzņēmumā. Tirgus dalībnieks informē sadarbības partnerus par riskiem, kas saistīti ar šādu pakalpojumu izmantošanu. Drošības prasību neizpildes gadījumā tirgus dalībniekam ir pienākums pārtraukt sadarbību.

4. Risku pārvaldība

4.1. Organizācija un mērķi

39. Tirgus dalībnieka vadība ir atbildīga par efektīvas IT un drošības risku pārvaldības sistēmas (ietvara) izveidi, kas ir daļa no tirgus dalībnieka vispārējās risku pārvaldības sistēmas. Tā ietver risku identificēšanu, analīzi, novērtējumu, vadību, ziņojumu un pārskatu gatavošanu un uzraudzību pieņemto limitu jeb risku apetītes ietvaros.

40. Tirgus dalībnieka risku pārvaldības funkcijai piešķir atbildību arī par IT un drošības risku pārvaldību un pārraudzību. Vadība nodrošina šīs funkcijas neatkarību, nodalot to no IT operāciju procesiem, nosaka svarīgākās lomas un atbildību, kā arī pārskatu sniegšanas kārtību.

41. IT un drošības risku pārvaldības sistēmā ietver procesus, kas ieviesti, lai:

41.1. noteiktu gatavību uzņemties IT un drošības riskus saskaņā ar tirgus dalībnieka kopējo akceptējamo risku lielumu jeb risku apetīti;

41.2. identificētu un novērtētu IT un drošības riskus, ņemot vērā to iespējamību un ietekmi;

41.3. noteiktu risku mazināšanas pasākumus, tostarp papildu kontroles, lai mazinātu IT un drošības riskus;

41.4. pārraudzītu incidentus un risku mazināšanas pasākumu efektivitāti;

41.5. ziņotu vadībai par IT un drošības riskiem un kontroles pasākumiem;

41.6. laikus identificētu un novērtētu, vai pastāv kādi IT un drošības riski, kas saistīti ar jebkādām būtiskām izmaiņām IT sistēmās, pakalpojumos, procesos, procedūrās vai pēc nozīmīgiem operacionālajiem vai drošības incidentiem.

42. Tirgus dalībnieks nodrošina, ka IT un drošības risku pārvaldības sistēma tiek dokumentēta un informācija tiek pastāvīgi uzlabota, pamatojoties uz gūtajām atziņām, kas uzkrātas sistēmas izmantošanas un uzraudzības gaitā.

43. Saskaņā ar Maksājumu pakalpojumu un elektroniskās naudas likuma 104.1 panta prasībām maksājumu pakalpojumu sniedzējam ir pienākums izveidot un sniegt uzraudzības iestādei tādu operacionālo un drošības risku novērtējumu, kuri saistīti ar tā sniegtajiem maksājumu pakalpojumiem.

4.2. Resursu uzskaite un klasifikācija

44. Tirgus dalībnieks izveido un uztur IT resursu, biznesa funkciju vai IT pakalpojumu sarakstu, novērtē to nozīmīgumu un nosaka to savstarpējo atkarību (mapping), kas saistīta ar IT un drošības riskiem.

45. Identificētos IT resursus klasificē. Veicot klasifikāciju, ņem vērā resursu konfidencialitātes, integritātes un pieejamības prasības. Klasifikācijas mērķis ir nodrošināt IT resursu aizsardzību atbilstoši to klasifikācijai. IT resursu klasifikāciju pārskata vismaz reizi divos gados vai veicot būtiskas izmaiņas.

46. Tirgus dalībnieks izveido un uztur aktuālu informācijas plūsmas shēmu.

47. Tirgus dalībnieks rakstveidā norīko IT resursu (informācijas un tehnoloģisko resursu) turētājus visiem informācijas un tehnoloģiskajiem resursiem.

48. Informācijas resursu turētāja pienākumi ir vismaz šādi:

48.1. klasificēt viņa turējumā esošos informācijas resursus;

48.2. piedalīties viņa turējumā esošo resursu IT risku analīzē un to apstiprināt;

48.3. apstiprināt pieejas tiesības resursiem un IT sistēmas izmaiņu ieviešanu;

48.4. noteikt prasības auditācijas pierakstiem;

48.5. sadarboties ar tehnoloģisko resursu turētāju IT sistēmas funkcionalitātes un drošības jautājumos.

49. Tehnoloģisko resursu turētāja pienākumi ir vismaz šādi:

49.1. nodrošināt tehnoloģisko resursu fizisko un loģisko aizsardzību;

49.2. sadarboties ar informācijas resursu turētāju, lai īstenotu viņa prasības par informācijas resursu aizsardzību un piekļuvi tiem;

49.3. piedalīties risku analīzē, noteikt ar tehnoloģiskajiem resursiem saistītos apdraudējumus un novērtēt šo apdraudējumu īstenošanās varbūtību;

49.4. nodrošināt IT sistēmas atjaunošanas procedūras, ja tehnoloģiskie resursi ir bojāti un IT sistēmas funkcionēšana ir traucēta vai neiespējama;

49.5. sadarboties ar informācijas resursu turētāju IT sistēmas funkcionalitātes un drošības jautājumos.

4.3. Risku novērtējums un risku mazināšana

50. Tirgus dalībnieks identificē IT un drošības riskus, kas ietekmē klasificētos IT resursus. Šādu risku novērtējumu veic un dokumentē katru gadu vai īsākos starplaikos, ja nepieciešams. Šādu risku novērtējumu veic arī attiecībā uz visām būtiskām izmaiņām infrastruktūrā, procesos vai procedūrās, kas ietekmē IT resursus.

51. Tirgus dalībnieks nodrošina, ka tas pastāvīgi uzrauga apdraudējumus un ievainojamības, kas attiecas uz tā biznesa procesiem un IT resursiem, un regulāri pārskata risku scenārijus, kas tos ietekmē.

52. Tirgus dalībnieks plāno un īsteno drošības pasākumus, ja risku analīzē novērtētais risks ir nepieņemams. Drošības pasākumu mērķis ir samazināt atlikušo risku līdz pieņemamam līmenim. Tirgus dalībnieks drošības pasākumus nosaka, pamatojoties uz to izmaksu un iespējamo zaudējumu samērojamību, un plānotajiem drošības pasākumiem nosaka realizācijas prioritātes, termiņus un atbildīgos. Tirgus dalībnieks var paredzēt arī stingrākas drošības prasības, nekā noteikts šajos noteikumos, ja tas nav pretrunā ar citiem normatīvajiem aktiem.

5. Informācijas drošība

5.1. Informācijas drošības politika

53. Tirgus dalībnieka vadība apstiprina hierarhiski strukturētu dokumentu kopumu, t. sk. informācijas drošības politiku, kurā definē tirgus dalībnieka informācijas konfidencialitātes, integritātes un pieejamības aizsardzības un IT stratēģijas īstenošanas principus un noteikumus. Informācijas drošības politikas mērķis ir definēt tirgus dalībnieka vadības nostāju un atbalstu drošības stiprināšanai atbilstoši tirgus dalībnieka un tā klientu vajadzībām.

54. Balstoties uz informācijas drošības politiku, tirgus dalībnieks nosaka informācijas drošības pasākumus, lai mazinātu IT un drošības riskus, kuriem tas ir pakļauts. Minētie pasākumi ietver šādus aspektus: organizācija un pārvaldība, loģiskā un fiziskā drošība, IT operāciju drošība, drošības uzraudzība, informācijas drošības pārskati un pārbaude, apmācība un izpratne par informācijas drošību. Politikā iekļauj arī informācijas drošības pārvaldības galveno lomu un atbildību aprakstu, kā arī nosaka prasības personālam un procesiem saistībā ar informācijas drošību.

55. Tirgus dalībnieks iepazīstina darbiniekus ar informācijas drošības politiku.

5.2. Lietotāja autentiskuma noteikšana

56. Lietotāja autentiskuma noteikšanas mērķis ir pārliecināties, ka klasificētus informācijas resursus un atbalsta sistēmas lieto pilnvarotais lietotāja konta īpašnieks.

57. Katram tirgus dalībnieka IT lietotājam un administratoram tiek piešķirts unikāls lietotāja kods (lietotājvārds). Kopīgi lietotu kontu izmantošanu maksimāli ierobežo un nodrošina, ka lietotājus var identificēt attiecībā uz visām darbībām, kas veiktas IT sistēmās.

58. Tirgus dalībnieks nosaka autentifikācijas līdzekļu (piemēram, paroļu, kodu kalkulatoru, privāto atslēgu, biometrisko līdzekļu u. c.) lietošanas kārtību, t. sk. paroļu politiku (paroles garumu, sarežģītību, derīguma termiņu, atkārtojamības ierobežojumu). Paroļu politikas prasības iespēju robežās īsteno tehnoloģiski.

59. Iekārtām, t. sk. infrastruktūras iekārtām, kas nodrošina sistēmu darbību, netiek izmantotas noklusējuma (ražotāja vai izplatītāja uzstādītās) paroles, un tās jānomaina ar drošības prasībām atbilstošām parolēm.

60. Tirgus dalībnieks nosaka neveiksmīgu autentifikācijas mēģinājumu skaitu, pēc kura konts (izņemot sistēmas vai infrastruktūras iekārtas administratora kontu) tiek bloķēts.

61. Autentifikācijas metodes ir samērīgas ar IT sistēmas, informācijas vai procesa kritiskumu un lietotāja privilēģijām. Lai nodrošinātu drošu saziņu un samazinātu risku, IT sistēmu administratoru attālinātai piekļuvei izmanto vismaz divu faktoru autentifikāciju un kriptogrāfijas līdzekļus, piemēram, virtuālo privāto tīklu (virtual private network – VPN).