Zaudējis spēku - Informācijas tehnoloģiju un drošības risku pārvaldības noteikumi

89. Tirgus dalībnieks nosaka, kādus informācijas resursus drīkst glabāt un kā tie tiek aizsargāti galalietotāju iekārtās, t. sk. stacionārajā un portatīvajā datorā (turpmāk – personālais dators), mobilajā ierīcē.

90. Personālajā datorā tiek uzstādīta un lietota tikai tāda programmatūra un tādā konfigurācijā, kādu noteicis tirgus dalībnieks, kurš arī nosaka kārtību un veic pasākumus aizsardzībai pret kaitīgām programmām, izmantojot, piemēram, antivīrusu programmatūru, jaunas programmatūras ierobežojumu politiku.

91. Tirgus dalībnieks, pirms piešķir personālajam datoram vai iekārtai piekļuvi korporatīvajam tīklam, novērtē, vai personālā datora vai iekārtas parametri atbilst tirgus dalībnieka noteiktajiem drošības standartiem. Personālais dators tiek pieslēgts tikai tirgus dalībnieka noteiktajiem datortīkliem.

92. Personālā datora funkcionalitāti tirgus dalībnieks ierobežo līdz darba vajadzībām nepieciešamajam funkciju līmenim, t. sk. kontrolē datora portu izmantošanu un iekārtu pieslēgšanu, kā arī pieeju publiskā tīkla informācijai (blacklisting, whitelisting).

93. Tirgus dalībnieks nodrošina, ka, lietotājam atstājot personālo datoru bez uzraudzības, atsākt datora izmantošanu iespējams tikai tad, ja ir veikta lietotāja autentifikācija.

94. Izmantojot personālos datorus, kuriem ir pastiprināti fiziskās drošības apdraudējumi, t. sk. portatīvās ierīces, kuras lieto ārpus tirgus dalībnieka telpām, paaugstināti klasificētā informācija tiek pārraidīta un glabāta šifrētā veidā.

95. Tirgus dalībnieks veic visu tā rīcībā esošo personālo datoru, kurus paredzēts lietot ārpus tirgus dalībnieka telpām, uzskaiti, lai noteiktu, kura persona lieto attiecīgo iekārtu.

96. Ja tiek atļauta attālināta pieeja tirgus dalībnieka IT sistēmām, izmantojot mobilās ierīces, šo ierīču drošību aizsargā, lai incidenta gadījumā tiktu novērsta klientu vai tirgus dalībnieka sensitīvu datu nokļūšana trešo pušu rīcībā, piemēram, tiek aizsargāta pieeja ierīcei, dati ierīcē netiek glabāti.

5.9. IT drošības uzraudzība

97. Tirgus dalībnieks veido organizatorisko struktūru un ievieš procesus, lai atklātu tīkla plūsmas vai sistēmu darbības anomālijas un identificētu drošības draudus, kas varētu ietekmēt tā spēju sniegt pakalpojumus. Šīs pastāvīgās uzraudzības ietvaros tirgus dalībnieks veic nepieciešamos pasākumus, lai identificētu fizisko vai loģisko ielaušanos, kā arī atklātu IT un drošības incidentus. Pārraudzības pasākumi tiek piemēroti atbilstoši IT resursu klasifikācijai.

98. Tirgus dalībnieks pastāvīgi veic IT resursu pārraudzību:

98.1. laikus identificē gan iekšējo, gan ārējo apdraudējumu;

98.2. identificē sistēmu ievainojamību un veic tās novēršanu;

98.3. uzrauga neautorizētu iekārtu un programmatūras lietošanu un veic tās novēršanu;

98.4. uzrauga IT administratoru piekļuvi sistēmām un reģistrē veiktās darbības;

98.5. kontrolē ārpakalpojumu sniedzēju piekļuvi IT sistēmām;

98.6. pārrauga IT sistēmu, iekārtu un procesu pieejamību.

99. Drošības uzraudzības procesu izveido tādu, ka tas spēj palīdzēt tirgus dalībniekam izprast darbības (operācijas) vai drošības incidenta cēloni, noteikt tendences un atbalstīt iekšējo izmeklēšanu.

5.10. Informācijas drošības novērtēšana un pārbaudes

100. Tirgus dalībnieks izveido un ievieš informācijas drošības pārbaudes procesu, kas apstiprina informācijas drošības pasākumu stabilitāti un efektivitāti. Tirgus dalībnieks nodrošina, ka šajā procesā tiek iekļautas IT un drošības risku novērtēšanas pārbaudes, kā arī ņemti vērā draudi un ievainojamības, kas identificētas, izmantojot draudu uzraudzības risinājumus, kā arī IT un drošības risku novērtēšanas procesu. Pārbaudes veic regulāri un kritiskām IT sistēmām vismaz reizi gadā. Attiecībā uz maksājumu pakalpojumu sistēmām pārbaudes un testi ir daļa no visaptverošā novērtējuma (atbilstoši Maksājumu pakalpojumu un elektroniskās naudas likuma 104.1 panta trešajai daļai) tiem drošības risku veidiem, kas ir saistīti ar tirgus dalībnieka sniegtajiem maksājumu pakalpojumiem.

101. Proporcionāli identificētajam risku līmenim pārbaudēs iekļauj ievainojamību skenēšanu un ielaušanās (penetration) testus, kā arī nepieciešamības gadījumā uz draudiem vērstus ielaušanās testus (threat led penetration testing), kurus veic drošā veidā.

102. Tirgus dalībnieks nodrošina, ka veicamie testi ir proporcionāli identificētajam riska līmenim un tos veic neatkarīgi pārbaudītāji, kuriem ir pietiekamas zināšanas, prasmes un kompetence informācijas drošības testēšanā.

103. Veicot būtiskas izmaiņas, piemēram, ieviešot jaunu ar internetu saistītu sistēmu vai veicot nozīmīgas izmaiņas infrastruktūrā, kā arī ja izmaiņas tiek veiktas būtiska drošības incidenta dēļ, tirgus dalībnieks veic drošības pārbaudi. Tas novērtē drošības pārbaudes rezultātus un bez nevajadzīgas kavēšanās ievieš nepieciešamos drošības pasākumus.

104. Pamatojoties uz novērotajiem drošības apdraudējumiem un veiktajām izmaiņām, tirgus dalībnieks drošības pārbaudēs un testos ietver zināmos un iespējamos uzbrukumu scenārijus.

5.11. Informācijas drošības apmācība un drošības apzināšanās veicināšana

105. Tirgus dalībnieks nodrošina, ka IT lietotāju zināšanu un izpratnes līmenis ir atbilstošs IT lietošanas vajadzībām, tā samazinot personāla kļūdas, krāpšanu, resursu ļaunprātīgu izmantošanu vai citu veidu zaudējumus.

106. Tirgus dalībnieks izstrādā apmācības programmu visiem darbiniekiem, tostarp drošības izpratnes programmu, lai nodrošinātu, ka darbinieki ir apmācīti veikt savus pienākumus saskaņā ar tirgus dalībnieka drošības politiku un attiecīgajām procedūrām, t. sk. klasificētas informācijas aizsardzības prasībām. Tirgus dalībnieks nodrošina, ka apmācība visiem darbiniekiem tiek veikta vismaz reizi gadā.

6. IT operāciju pārvaldība

107. Tirgus dalībnieks pārvalda savas IT operācijas, pamatojoties uz dokumentētiem un ieviestiem procesiem. Dokumentu kopumā nosaka, kā tirgus dalībnieks uztur, uzrauga un kontrolē savas IT sistēmas un pakalpojumus, tādējādi mazinot kļūdas un darbinieku aizstājamības risku.

108. Darbiniekiem, kas veic IT uzturēšanu, tirgus dalībnieks nosaka pienākumus un atbildību, nodrošina aizstājamību un kvalifikācijas uzturēšanu. Procesu kontroles nodrošināšanai veic pienākumu nodalīšanu.

109. Tirgus dalībnieks nodrošina, lai IT operācijas tiktu veiktas atbilstoši tā biznesa prasībām, un pēc iespējas uzlabo savu IT operāciju efektivitāti, t. sk. veic pasākumus, kas mazina iespējamās kļūdas, kuras rodas manuāli izpildītu uzdevumu rezultātā.

6.1. Konfigurācijas pārvaldība un kontrole

110. Tirgus dalībnieks nosaka kārtību, kādā pieprasa, autorizē, testē, maina un dokumentē IT resursus.

111. Tirgus dalībnieks uztur aktuālu IT resursu (ieskaitot IT sistēmas, tīkla ierīces, datubāzes utt.) uzskaiti. IT resursu uzskaite ir pietiekami detalizēta, lai varētu laikus identificēt IT aktīvus, to atrašanās vietu, drošības klasifikāciju un piederību (resursu turētāju). IT resursu uzskaitē ieteicams saglabāt arī resursu aktuālo konfigurāciju, kā arī saikni ar citiem resursiem un ārējiem pakalpojumiem, lai nodrošinātu konfigurācijas un izmaiņu pārvaldības procesu efektivitāti un laikus spētu reaģēt uz drošības un operatīvajiem incidentiem, tostarp kiberuzbrukumiem.

112. Tirgus dalībnieks uzrauga un pārvalda IT resursu dzīves ciklus, lai nodrošinātu, ka tie atbalsta biznesa un risku pārvaldības prasības. Tirgus dalībnieks uzrauga, kā tā IT aktīvus atbalsta un uztur ārējie piegādātāji vai iekšējie izstrādātāji un vai visi nepieciešamie ielāpi un jauninājumi, pamatojoties uz dokumentētiem procesiem, ir uzstādīti. Tirgus dalībnieks vērtē un mazina riskus, ko rada novecojuši vai neatbalstīti IT aktīvi.

113. Tirgus dalībnieks nodrošina veiktspējas pārbaudes un kapacitātes plānošanas un uzraudzības pasākumus, lai laikus novērstu IT sistēmu veiktspējas un kapacitātes trūkumu.

6.2. Auditācijas pierakstu pārvaldība

114. Lai identificētu lietotāju veiktās darbības un IT kļūdas, tirgus dalībnieks veido, glabā un analizē auditācijas pierakstus.

115. Auditācijas pierakstos tirgus dalībnieks iekļauj vismaz visu veiksmīgu un neveiksmīgu lietotāju pieslēgšanās gadījumu laiku un lietotāju kodus. Papildu auditācijas pierakstus veic par informācijas sistēmu parametru maiņu, t. sk. par darbībām ar lietotāju kontiem, ciktāl to var nodrošināt ar lietoto tehnoloģisko risinājumu. Pierakstos ietver darbību identificēšanai nepieciešamo informāciju tādā apmērā, kādā to var nodrošināt esošais tehnoloģiskais risinājums, t. sk. IP adresi, no kuras ir veikta darbība.

116. Tirgus dalībnieks lieto metodes un rīkus, kas ļauj efektīvi analizēt auditācijas pierakstus, lai atvieglotu anomāliju identificēšanu, laikus konstatētu incidentus un sekmētu to izmeklēšanu.

117. Tirgus dalībnieks nodrošina auditācijas pierakstu integritāti. Piekļuvi auditācijas pierakstiem aizsargā, lai novērstu to neatļautu modifikāciju vai dzēšanu.

118. Auditācijas pierakstus glabā tik ilgi, cik tas ir nepieciešams tirgus dalībnieka biznesa funkcijām vai atbalsta procesiem, kā arī ņemot vērā glabāšanas prasības, kas noteiktas ārējos normatīvajos aktos.

119. Tirgus dalībnieks vismaz 18 mēnešus glabā auditācijas pierakstus par tirgus dalībnieka klientu veiktajiem un atteiktajiem attālināto pakalpojumu pieslēgumiem, kas nodrošina klientu aktīvu, t. sk. naudas līdzekļu, pārvaldību. Auditācijas pierakstos reģistrē vismaz lietotāja veikto transakciju un citu darbību identificēšanai nepieciešamo informāciju, t. sk. avota IP adresi un laiku.

6.3. Datu rezerves kopēšana

120. Tirgus dalībnieks nosaka un ievieš datu un IT sistēmu rezerves kopēšanas un atjaunošanas procedūras sistēmu darbības atjaunošanai nepieciešamības gadījumā. Datu rezerves kopēšanas apjomu un biežumu nosaka atbilstoši biznesa atjaunošanas prasībām, datu un IT sistēmu kritiskajam svarīgumam un risku novērtējumam. Regulāri pārbauda, vai, izmantojot rezerves kopijas, ir iespējams atjaunot sistēmu darbību.

121. Tirgus dalībnieks nodrošina, ka datu un IT sistēmu rezerves kopijas tiek glabātas droši un pietiekami attālināti, lai tās netiktu pakļautas ražošanas vides riskiem. Rezerves kopijas aizsargā pret nesankcionētu lietošanu un bojāšanu.

6.4. Incidentu pārvaldība

122. Tirgus dalībnieks nosaka un ievieš incidentu un problēmu pārvaldības procesus, lai identificētu un novērstu IT un drošības incidentus un ļautu tirgus dalībniekam atjaunot un turpināt biznesa procesus.

123. Tirgus dalībnieks nosaka piemērotus kritērijus un sliekšņus, lai klasificētu notikumu kā IT vai drošības incidentu, kā arī nosaka agrīnās brīdināšanas indikatorus, kuri dotu iespēju incidentus atklāt vai novērst laikus. Lai mazinātu nelabvēlīgu notikumu ietekmi un ļautu laikus atjaunot pakalpojumus, tirgus dalībnieks veido konsekventu un integrētu IT un drošības incidentu pārvaldību un veicina, ka tiek novērsti incidentu cēloņi un ierobežota incidentu atkārtošanās.

124. Incidentu un problēmu pārvaldībai tirgus dalībnieks nosaka vismaz:

124.1. procedūras incidentu identificēšanai, ietekmes mazināšanai un seku likvidēšanai, pierādījumu saglabāšanai, reģistrēšanai un klasificēšanai atbilstoši ietekmei;

124.2. darbinieku lomas un atbildību dažādu incidentu scenāriju gadījumā (piemēram, kļūdas, darbības traucējumi, kiberuzbrukumi);

124.3. problēmu pārvaldības procedūru, lai identificētu, analizētu un novērstu viena vai vairāku incidentu pamatcēloni (root cause). Tirgus dalībnieks ņem vērā incidentu vadības procesā gūtās atziņas un attiecīgi uzlabo drošības pasākumus;

124.4. efektīvus iekšējās saziņas plānus, tostarp incidentu paziņojumus un eskalācijas procedūras, kas aptver arī ar drošības jautājumiem saistītu klientu sūdzību izskatīšanu un ziņojumus augstākajai vadībai par būtiskiem incidentiem, kas ietekmē kritiskos IT pakalpojumus;

124.5. ārējās komunikācijas plānus sadarbībai ar ieinteresētajām personām (klientiem, citiem tirgus dalībniekiem, uzraudzības iestādi), lai efektīvi reaģētu uz incidentu un tā izraisītajiem riskiem un sniegtu savlaicīgu informāciju.

125. Maksājumu pakalpojumu sniedzējs ziņo par būtiskiem maksājumu pakalpojumu incidentiem saskaņā ar Latvijas Bankas noteikumiem, kas regulē par ziņošanu par būtiskiem maksājumu pakalpojumu incidentiem.

7. IT projektu un izmaiņu pārvaldība

7.1. IT projektu vadība

126. Tirgus dalībnieks nosaka IT projektu vadības metodoloģiju, kas efektīvi atbalsta IT stratēģijas īstenošanu un mērķu sasniegšanu, kā arī ietver projekta risku novērtējumu, IT drošības prasību definēšanu, projekta plānu un laika grafiku, projekta vadības organizāciju un atbildīgās personas.

127. Tirgus dalībnieks uzrauga un mazina riskus, kas saistīti ar kopējā IT projektu portfeļa pārvaldību. Vērtēšanā ņem vērā arī riskus, kas var rasties dažādu projektu savstarpējas ietekmes un tirgus dalībnieka ierobežoto resursu dēļ.

7.2. IT sistēmu izstrāde un iegāde

128. Tirgus dalībnieks nosaka un ievieš procesu, kas regulē IT sistēmu iegādi, izstrādi un uzturēšanu. Šo procesu izstrādā, izmantojot uz risku izvērtējumu balstītu pieeju, un tajā ietver vismaz:

128.1. mērķu izvirzīšanu un projekta risku analīzi izstrādes un iegādes posmā;

128.2. tehnisko prasību noteikšanu, ieskaitot drošas programmēšanas vadlīnijas;

128.3. kvalitātes nodrošināšanas standartus;

128.4. IT sistēmu testēšanu, apstiprināšanu un laidienu pārvaldību (release management) neatkarīgi no tā, vai izstrādi veic pats tirgus dalībnieks vai ārējs pakalpojumu sniedzējs.

129. Tirgus dalībnieks nodrošina, lai pirms IT sistēmu izstrādes tehniskajā specifikācijā tiktu skaidri definētas funkcionālās un nefunkcionālās prasības (t. sk. informācijas drošības prasības). Ar definētajām prasībām saistītās kontroles tiek iestrādātas sistēmas arhitektūrā un uzturēšanas procesos. Drošības arhitektūra paredz vairāklīmeņu aizsardzību, kāda drošības līmeņa kompromitēšanas gadījumā saglabājot IT kopējo aizsargspēju.

130. Tirgus dalībnieks nodrošina, ka tiek ieviesti pasākumi, lai izstrādes laikā nepieļautu netīšu neautorizētu izmaiņu vai tīšu ļaunprātīgu manipulāciju veikšanu ar IT sistēmu. Tirgus dalībnieks īsteno pasākumus, lai aizsargātu iekšēji izstrādāto IT sistēmu pirmkodu integritāti.

131. Tirgus dalībnieks apstiprina IT sistēmu testēšanas, noteikto prasību un projektējumu pārbaudes un apstiprināšanas metodoloģiju.

132. Tirgus dalībnieks pirms IT sistēmu ieviešanas nodrošina saistīto IT pakalpojumu un IT drošības kontroļu pārbaudi ar mērķi laikus identificēt iespējamās drošības nepilnības, pārkāpumus un incidentus.

133. Tirgus dalībnieks nodrošina ražošanas (produkcijas) vides nodalīšanu no izstrādes, testēšanas vai citas vides, kas nav ražošanas vide. Tirgus dalībnieks nodrošina ražošanas datu integritāti un konfidencialitāti vidē, kurā nenotiek ražošana. Piekļuve ražošanas datiem visās vidēs ir tikai pilnvarotiem lietotājiem.

134. Tirgus dalībnieks veido un uztur nepieciešamo dokumentāciju. Tajā iekļauj nepieciešamo informācijas apjomu, lai varētu nodrošināt kvalitatīvu IT lietošanu, uzturēšanu un izmaiņu pārvaldīšanu, piemēram, tehniskās sistēmas dokumentāciju, IT administratora un lietotāju instrukcijas u. c.

135. Tirgus dalībnieka noteikto IT sistēmu izstrādes un iegādes procesu un risku vadību piemēro arī sistēmām, kuras izstrādā vai pārvalda biznesa funkciju galalietotāji ārpus uzņēmuma IT organizācijas, piemēram, pašu galalietotāju pārvaldītām vai veidotām lietojumprogrammām. Tirgus dalībnieks uztur šo lietojumprogrammu reģistru, ja tās atbalsta būtiskus biznesa procesus.

7.3. IT izmaiņu vadība

136. Tirgus dalībnieks veido un ievieš IT izmaiņu pārvaldības procesu, lai nodrošinātu, ka visas izmaiņas IT sistēmās tiek reģistrētas, novērtētas, izstrādātas, testētas, dokumentētas, apstiprinātas un ieviestas kontrolētā veidā.

137. Avārijas IT izmaiņu procesā tirgus dalībnieks nosaka personas, kuras ir tiesīgas pieņemt lēmumu par šādām izmaiņām, un veic pasākumus, lai preventīvi samazinātu nepieciešamību veikt avārijas izmaiņas.

8. Darbības nepārtrauktības pārvaldība

138. Tirgus dalībnieks izveido darbības nepārtrauktības pārvaldības procesu, lai maksimāli palielinātu spēju nodrošināt pakalpojumus un ierobežotu zaudējumus nopietnu darbības traucējumu gadījumā.

139. Tirgus dalībnieks ir atbildīgs par tā IT nepārtrauktības politikas noteikšanu un apstiprināšanu, kas ir daļa no tirgus dalībnieka vispārējās darbības nepārtrauktības politikas. Tirgus dalībnieks informē darbiniekus un nepieciešamības gadījumā arī ārpakalpojumu sniedzējus par IT nepārtrauktības politikā noteikto.

8.1. Biznesa ietekmes analīze

140. Darījumdarbības nepārtrauktības pārvaldības ietvaros tirgus dalībnieks veic biznesa ietekmes analīzi (turpmāk – BIA), vērtējot nozīmīgu incidentu vai ārkārtas situāciju ietekmi uz tirgus dalībnieka darbību. Veicot BIA, veic incidenta ietekmes kvantitatīvu vai kvalitatīvu novērtējumu, izmantojot iekšējos un ārējos datus un scenāriju analīzi. BIA ņem vērā arī identificēto un klasificēto biznesa procesu un resursu kritiskumu un to savstarpējo ietekmi saskaņā ar šo noteikumu 4. nodaļu.

141. Tirgus dalībnieks nodrošina, ka tā IT sistēmas, infrastruktūra un pakalpojumi tiek veidoti un uzturēti saskaņā ar BIA, piemēram, tiek izmantota kritisku IT infrastruktūras elementu rezervēšana vai dublēšana, lai novērstu dīkstāvi avārijas gadījumā.

8.2. Darbības nepārtrauktības plānošana

142. Balstoties uz BIA, tirgus dalībnieks veido darbības nepārtrauktības plānu (turpmāk – DNP) un ņem vērā arī riskus, kas nelabvēlīgi ietekmētu IT sistēmas un IT pakalpojumus. DNP apstiprina vadība, un tā mērķis ir aizsargāt un vajadzības gadījumā atjaunot tirgus dalībnieka biznesa procesus un resursu konfidencialitāti, integritāti un pieejamību.

143. Tirgus dalībnieks DNP vērtē iespējamo ietekmi un plāno darbības dažādu scenāriju gadījumos, ieskaitot ārkārtējus, bet iespējamus scenārijus, piemēram, kiberuzbrukumu, terorismu. Balstoties uz šiem scenārijiem, tirgus dalībnieks apraksta, kā tiek nodrošināta IT sistēmu un pakalpojumu nepārtrauktība, kā arī tirgus dalībnieka informācijas drošība.

144. Tirgus dalībnieks ievieš DNP, lai nodrošinātu, ka tas var pienācīgi reaģēt uz iespējamiem dīkstāves scenārijiem atjaunošanas laika mērķa (RTO – maksimālais laiks, kurā sistēma vai process jāatjauno pēc negadījuma) un atjaunošanas punkta mērķa (RPO – maksimālais laika periods, par kuru var zaudēt datus negadījuma rezultātā) ietvaros.

8.3. Darbības atjaunošanas plāni

145. Balstoties uz BIA un identificētajiem scenārijiem, tirgus dalībnieks izstrādā reaģēšanas un atjaunošanas plānus. Šajos plānos nosaka, kādos apstākļos plāns tiek aktivizēts un kādas darbības jāveic, lai nodrošinātu vismaz kritiski svarīgo IT sistēmu un pakalpojumu atjaunošanu un pieejamību. Atjaunošanas plāni ir vērsti uz to, lai sasniegtu tirgus dalībnieka noteiktos operāciju atjaunošanas mērķus.

146. Atjaunošanas plānos ņem vērā gan īstermiņa, gan ilgtermiņa atjaunošanas iespējas un tajos vismaz:

146.1. koncentrējas uz kritiski svarīgo IT pakalpojumu, biznesa funkciju, atbalsta procesu, informācijas resursu un to savstarpēji saistīto darbību atjaunošanu, lai samazinātu nelabvēlīgo ietekmi uz tirgus dalībnieka darbību, tostarp uz maksājumu sistēmām un maksājumu pakalpojumu lietotājiem, un lai nodrošinātu nenokārtoto maksājumu darījumu izpildi;

146.2. dokumentē un nosaka atbildīgos darbiniekus, kuriem jābūt viegli pieejamiem ārkārtas gadījumos, iekļaujot skaidru lomu un atbildības sadalījumu;

146.3. nosaka, ka tie jāatjaunina, ņemot vērā incidentos un pārbaudēs gūto pieredzi, atklātos jaunos riskus un draudus, kā arī mainītos atjaunošanas mērķus un prioritātes.

147. Atjaunošanas plānos apsver alternatīvas rīcības iespējas, ja risku, izmaksu, loģistikas vai neparedzētu apstākļu dēļ atjaunošana paredzētajā termiņā var nebūt iespējama.

148. Atjaunošanas plānu ietvaros tirgus dalībnieks apsver un īsteno nepārtrauktības pasākumus, lai mazinātu ārpakalpojumu sniedzēju, kuru pakalpojumi ir nozīmīgi tirgus dalībnieka IT pakalpojumu nepārtrauktībai, dīkstāves.

8.4. DNP pārbaude

149. Tirgus dalībnieks, pamatojoties uz savu riska profilu, regulāri, t. i., vismaz reizi gadā, veic DNP pārbaudi un pārliecinās, ka tā kritisko biznesa procesu (ieskaitot tos, kurus nodrošina ārpakalpojumu sniedzēji), kā arī resursu pieejamība (ņemot vērā arī to savstarpējo atkarību) tiek nodrošināta.

150. Tirgus dalībnieks regulāri, t. i., vismaz reizi gadā, pamatojoties uz pārbaudes rezultātiem un pieejamo informāciju par draudiem, kā arī ņemot vērā pieredzi, kas gūta no incidentiem, atjaunina DNP. Tajā iekļauj arī visas izmaiņas atjaunošanas mērķos (t. sk. RTO un RPO), kā arī izmaiņas biznesa procesos un resursos.

151. Tirgus dalībnieks dokumentē DNP testu rezultātus un visus trūkumus, kas tiek identificēti testos, analizē, risina un ziņo par tiem vadībai.

8.5. Krīzes komunikācija

152. Tirgus dalībnieks ārkārtas situācijā, kā arī DNP īstenošanas laikā veic efektīvus krīzes komunikācijas pasākumus, lai visas attiecīgās iekšējās un ārējās atbildīgās personas, tostarp ārpakalpojumu sniedzēji, tiktu laikus un pietiekami informētas. Tirgus dalībnieks klientiem sniedz maksimāli plašu un detalizētu informāciju par incidentu, neietverot ierobežotas pieejamības informāciju, lai mazinātu baumu un viltus ziņu izplatīšanos incidenta laikā.

9. Maksājumu pakalpojumu lietotāju attiecību pārvaldība

153. Maksājumu pakalpojumu sniedzējs, lai uzlabotu maksājumu pakalpojumu lietotāju izpratni par maksājumu pakalpojumu drošību, informē tos par riskiem, kas saistīti ar maksājumu pakalpojumu izmantošanu, un sniedz nepieciešamo atbalstu un norādījumus.

154. Maksājumu pakalpojumu sniedzējs piedāvāto informāciju un norādījumus atjaunina, ņemot vērā aktuālos draudus un ievainojamības. Visas drošības informācijas izmaiņas paziņo maksājumu pakalpojumu lietotājam.

155. Ja produkta funkcionalitāte atļauj, maksājumu pakalpojumu sniedzējs ļauj maksājumu pakalpojumu lietotājam atteikt (atspējot) maksājumu funkcijas, kas saistītas ar maksājumu pakalpojumu sniedzēja piedāvātajiem maksājumu pakalpojumiem.

156. Maksājumu pakalpojumu sniedzējs nosaka maksājumu limitus. Maksājumu pakalpojumu sniedzējs var vienoties ar maksājumu pakalpojumu lietotāju par tā riska profilam atbilstošu maksājumu limitu katram maksājuma instrumentam. Maksājumu pakalpojumu lietotājam tiek nodrošināta iespēja mainīt šos ierobežojumus, nepārsniedzot maksimālo saskaņoto robežu, par kuru ir notikusi vienošanās.

157. Maksājumu pakalpojumu sniedzējs nodrošina maksājumu pakalpojumu lietotājam iespēju saņemt brīdinājumus par ierosinātiem maksājumu darījumiem vai neveiksmīgiem mēģinājumiem sākt maksājumu darījumus, ļaujot atklāt krāpniecisku vai ļaunprātīgu kontu izmantošanu.

158. Maksājumu pakalpojumu sniedzējs informē maksājumu pakalpojumu lietotāju par atjauninājumiem drošības procedūrās, kas ietekmē maksājumu pakalpojumu lietotāju attiecībā uz maksājumu pakalpojumu sniegšanu.

10. Noslēguma jautājumi

159. Noteikumi ir spēkā līdz 2025. gada 16. janvārim.

160. Atzīt par spēku zaudējušiem Finanšu un kapitāla tirgus komisijas 2020. gada 8. septembra noteikumus Nr. 150 "Informācijas tehnoloģiju un drošības risku pārvaldības normatīvie noteikumi".

Latvijas Bankas prezidents M. Kazāks