Vyspělost bezpečnosti informačních systémů · Nařízení COBAC o bezpečnosti IS

Nařízení COBAC o bezpečnosti informačních systémů ukládá povinným subjektům v zóně CEMAC formalizovaný dispozitiv řízení informačního rizika. Zahrnuje správu a řízení IS a odpovědnost statutárního orgánu, bezpečnostní politiku, klasifikaci aktiv a dat, řízení přístupů a oprávnění, bezpečnost infrastruktury a aplikací, kontinuitu a obnovu činnosti, řízení incidentů a jejich oznamování Bankovní komisi, jakož i regulaci dodavatelů IT služeb. Dispozitiv doplňuje periodická kontrola a reporting dohledovému orgánu.

V praxi je požadavek snazší formulovat než řídit. Instituce v regionu obvykle kombinují starší bankovní jádro, externalizovanou monetiku, nedávno zavedené kanály digitálního bankovnictví a pobočky s nesourodými linkami. Opakovaně se objevují tři otázky. Je bezpečnostní politika skutečně uplatňována v pobočkách a dceřiných společnostech, nebo je pouze schválena na centrále? Jsou oprávnění revidována v pevně stanovených termínech, včetně účtů dodavatelů a privilegovaných účtů? Byl plán kontinuity otestován na reálném scénáři, se zápisem použitelným pro periodickou kontrolu?

Je třeba vyvrátit dva omyly. První ztotožňuje soulad s nařízením s existencí IT rozpočtu a firewallu: text se týká dispozitivu řízení, tedy rolí, postupů, důkazů a revizí, nikoli inventáře vybavení. Druhý nahlíží bezpečnost IS jako čistě technické téma, zatímco nařízení zavazuje statutární orgán a propojuje se s dispozitivy vnitřní kontroly, operačního rizika a externalizace, které již COBAC vyžaduje. Mapa informačních rizik musí být součástí mapy rizik instituce.

Audit souladu končí binárním zjištěním: požadavek je splněn, nebo není. Diagnostika vyspělosti odpovídá na jinou otázku. Zařazuje každou praxi na postupnou škálu, od ojedinělého kroku po řízený a revidovaný dispozitiv, a udává konkrétní akci, která umožní postup na vyšší úroveň. Tento pohled potřebuje generální ředitelství, které musí v rámci jednoho účetního období rozhodnout mezi několika projekty a zdůvodnit priority před výborem pro audit.

Referenční rámec je v platformě Datamensio připraven k okamžitému použití a zároveň zůstává přizpůsobitelný. Umělá inteligence upraví tematické oblasti, otázky a úrovně podle vašeho profilu, komerční banka, instituce mikrofinancování nebo platební instituce, nebo vytvoří variantu na základě vaší bezpečnostní politiky a kontrolních zpráv. Zjištěné mezery přímo napájejí prioritizovanou roadmapu, kterou lze konsolidovat napříč několika subjekty skupiny.