Αποφάσεις - Ανακοινώσεις — ΦΕΚ A' 59/2006

να διαθέτει οργανόγραμμα στο οποίο: • απεικονίζονται οι επιχειρησιακές και οργανωτικές ανάγκες της μονάδας και περιγράφονται με σαφήνεια οι αρμοδιότητες των επί μέρους υπηρεσιακών μονάδων που το αποτελούν, • απεικονίζεται ο διαχωρισμός των καθηκόντων προκειμένου να αποκλείεται η ύπαρξη ασυμβίβαστων ρόλων, παρέχεται η δυνατότητα καταλογισμού των ευθυνών και αξιοποιούνται με τον καταλληλότερο τρόπο οι δυνατότητες του προσωπικού. Ειδικότερα, θα πρέπει να διασφαλίζεται ότι διαχωρίζονται πλήρως οι λειτουργίες που σχετίζονται με το σχεδιασμό και την ανάπτυξη των συστημάτων από τις λειτουργίες που αφορούν στην καθημερινή λειτουργία τους, • προβλέπεται, ανάλογα με το μέγεθος του ΠΙ και την πολυπλοκότητα των συστημάτων, υπηρεσιακή Μονάδα Ασφάλειας των ΠΣ. Η συγκεκριμένη υπηρεσιακή μονάδα, μαζί με τον Υπεύθυνο Ασφάλειας των ΠΣ, πρέπει να διαμορφώνουν ολοκληρωμένη εικόνα για το επίπεδο ασφάλειας των συστημάτων και τους κινδύνους που απορρέουν από την ανάπτυξη, ενσωμάτωση και λειτουργία τους. Στις αρμοδιότητές τους περιλαμβάνονται, μεταξύ άλλων, η συμμετοχή στην αξιολόγηση και διαχείριση των κινδύνων των ΠΣ, η σύνταξη και ενημέρωση της πολιτικής ασφάλειας, η συμμετοχή στη διαδικασία εύρεσης λύσεων για την κάλυψη κενών ασφάλειας και την αντιμετώπιση έκτακτων περιστατικών κα. • εξασφαλίζεται η αναπλήρωση του προσωπικού τουλάχιστον στις κρίσιμες μηχανογραφικές λειτουργίες.

να διαθέτει καταγεγραμμένες και επίσημα εγκεκριμένες περιγραφές θέσεων εργασίας στις οποίες θα περιλαμβάνονται οι αρμοδιότητες, οι υπευθυνότητες και οι δεξιότητες που απαιτούνται για κάθε θέση. A3. Σχέσεις με Εξωτερικούς Συνεργάτες Όταν το ΠΙ συνεργάζεται με εξωτερικούς συνεργάτες σε θέματα πληροφορικής (Πάροχοι Υπηρεσιών Πληροφορικής − Π.Υ.Π., προμηθευτές, κ.λπ.) κατά τα προβλεπόμενα στο Παράρτημα 1 της παρούσας Πράξης, θα πρέπει να λαμβάνονται υπόψη ειδικότερα τα εξής:

η χρήση εξωτερικών συνεργατών, ενώ μπορεί να επιλύει σημαντικά προβλήματα, δημιουργεί πεδίο πρόσθετων κινδύνων για το ΠΙ, οι οποίοι πρέπει να εντοπισθούν, εκτιμηθούν και αντιμετωπισθούν αποτελεσματικά. Στους κινδύνους αυτούς περιλαμβάνονται: • η έλλειψη ουσιαστικού ελέγχου στις προσφερόμενες υπηρεσίες, • η εξάρτηση από τρίτους, • η απώλεια εσωτερικής τεχνογνωσίας, ΦΕΚ 59 ΕΦΗΜΕΡΙΣ ΤΗΣ ΚΥΒΕΡΝΗΣΕΩΣ (ΤΕΥΧΟΣ ΠΡΩΤΟ) 619 λοντος, • η αδιαφανής κοστολόγηση των προσφερόμενων υπηρεσιών, • η διαφορά νοοτροπίας μεταξύ ΠΙ και παρόχου, κ.λπ.

σε περίπτωση που αποφασίσει να αναθέσει μέρος ή και το σύνολο των υπηρεσιών πληροφορικής σε εξωτερικούς συνεργάτες, πρέπει να τηρούνται οι αρχές του Παραρτήματος 1 της παρούσας Πράξης για: • την αξιολόγηση των κινδύνων που απορρέουν από μια πιθανή συνεργασία, • τον τρόπο επιλογής των εξωτερικών συνεργατών, • την επάρκεια των προς υπογραφή συμβολαίων, • την εποπτεία και τον έλεγχο της επαρκούς και ασφαλούς λειτουργίας των συστημάτων.

η ανάθεση υλοποίησης σημαντικών για το ΠΙ συστημάτων σε τρίτους, θα πρέπει να αιτιολογείται από την Ειδική Συντονιστική Επιτροπή Πληροφορικής εγγράφως προς τη Διοίκηση, η οποία και παρέχει την τελική έγκρισή της.

κατά το στάδιο της επιλογής του εξωτερικού συνεργάτη, πέραν της αξιολόγησης των προσφερομένων υπηρεσιών θα πρέπει να αξιολογούνται, με βάση το μέγεθος και την κρισιμότητα της συνεργασίας: • η οικονομική κατάσταση και η μακροπρόθεσμη βιωσιμότητά του, • η επίδραση του προς υπογραφή συμβολαίου στον κύκλο εργασιών του, • η φήμη του στην αγορά, το πελατολόγιο και ο βαθμός ικανοποίησης των πελατών του, • η οργανωτική του δομή (για την παροχή και αποτελεσματική υποστήριξη των υπηρεσιών), • η αριθμητική και ποιοτική επάρκεια του στελεχικού δυναμικού, • η ασφαλιστική του κάλυψη, κλπ. Στις περιπτώσεις που ο εξωτερικός συνεργάτης κάνει χρήση συνεργιών για την υλοποίηση των έργων θα πρέπει να αξιολογηθούν ανάλογα και οι συνέργιες αυτές.

από τεχνικής άποψης θα πρέπει να αξιολογούνται: • η ποιότητα και επάρκεια της υπάρχουσας Πολιτικής Ασφάλειας του παρόχου, • η αξιοπιστία των συστημάτων, • η καταλληλότητα της τεχνολογίας που χρησιμοποιείται, • η πληρότητα των διαδικασιών υποστήριξης των παρεχομένων υπηρεσιών, • τα σχέδια συνέχειας εργασιών και ανάκαμψης από καταστροφή του παρόχου. Πορίσματα εσωτερικών και εξωτερικών ελεγκτών για τον εξωτερικό συνεργάτη – εάν είναι διαθέσιμα − αποτελούν πολύτιμες πηγές πληροφόρησης για τη διαμόρφωση πληρέστερης εικόνας.

στο προς υπογραφή συμβόλαιο θα πρέπει – μεταξύ άλλων – να περιγράφονται αναλυτικά και με σαφήνεια: • τα δικαιώματα και οι υποχρεώσεις των συμβαλλομένων μερών, • το συμφωνηθέν επίπεδο παροχής υπηρεσιών (Service Level Agreement − SLA) και ο τρόπος τιμολόγησής τους, • η δυνατότητα επαναδιαπραγμάτευσης του συμβολαίου, • τα θέματα ιδιοκτησίας (ownership), αδειοδότησης (licensing) και πνευματικών δικαιωμάτων, • οι περιπτώσεις υπεργολαβίας (sub−contracting), • οι διαδικασίες επίλυσης διαφορών, • οι διαδικασίες τερματισμού του συμβολαίου (π.χ. οι διαδικασίες παράδοσης του πηγαίου κώδικα και των δεδομένων τους – Escrow Agreement). Ειδική αναφορά θα πρέπει επίσης να γίνεται: • στην ασφάλεια (εμπιστευτικότητα, ακεραιότητα, διαθεσιμότητα και δυνατότητα ανίχνευσης) των πληροφοριών, • στην πιστοποίηση των συναλλασσομένων μερών και στη μη αποποίηση των συναλλαγών, • στην ασφάλεια των διασυνδέσεων μεταξύ του ΠΙ και του εξωτερικού συνεργάτη, • στις ποινικές ρήτρες για τις περιπτώσεις παραβίασης των συμφωνηθέντων, • στη δυνατότητα διενέργειας ελέγχων εκ μέρους του ΠΙ (Right to Audit), • στη δυνατότητα διενέργειας ελέγχων από τρίτους για λογαριασμό του ΠΙ, • στο είδος και τη συχνότητα των αναφορών ή αρχείων που θα ανταλλάσσουν τα δύο μέρη, • στα σχέδια συνέχειας εργασιών και ανάκαμψης από καταστροφή του εξωτερικού συνεργάτη. Β. ΑΝΑΠΤΥΞΗ ΚΑΙ ΠΡΟΜΗΘΕΙΑ ΣΥΣΤΗΜΑΤΩΝ O κύκλος ζωής ενός συστήματος πρέπει να χαρακτηρίζεται από διακριτές φάσεις, οι οποίες θα υλοποιούν πρότυπα, μεθοδολογίες και διαδικασίες επίσημα καταγεγραμμένες και εγκεκριμένες. Τέτοιες φάσεις, συνήθως, είναι η φάση της Μελέτης Σκοπιμότητας, της Ανάλυσης των Επιχειρησιακών Απαιτήσεων και του Καθορισμού των Προδιαγραφών, της Τεχνικής Ανάλυσης και του Σχεδιασμού, της Ανάπτυξης, των Δοκιμών, της Αποδοχής και της Μεταφοράς στην Παραγωγή, της Λειτουργίας και Υποστήριξης και τέλος της Απόσυρσης. Η μετάβαση από τη μία φάση στην άλλη προϋποθέτει την ανασκόπηση και έγκριση των αποτελεσμάτων της προηγούμενης. Η εποπτεία του έργου της ανάπτυξης κάθε σημαντικού συστήματος πρέπει να ανατίθεται στη Συντονιστική Επιτροπή της Πληροφορικής (IT Steering Committee). Με την ολοκλήρωση της ανάπτυξης του συστήματος, η επιχειρησιακή και τεχνική του εποπτεία θα πρέπει να ανατίθεται στις αρμόδιες υπηρεσιακές μονάδες ή στελέχη. Πριν την ανάπτυξη ή προμήθεια ενός σημαντικού συστήματος πρέπει να γίνεται Μελέτη Σκοπιμότητας. Στη φάση αυτή θα πρέπει, μεταξύ άλλων, να ορίζονται οι λειτουργίες που θα καλύπτονται από το νέο σύστημα, να εκτιμάται η σχέση κόστους / οφέλους (μείωση στα τρέχοντα κόστη, αύξηση απόδοσης, βελτίωση της εικόνας του ΠΙ) που θα επιφέρει το νέο σύστημα και να εξετάζεται η δυνατότητα υλοποίησης του συστήματος τόσο από την πλευρά του ανθρώπινου δυναμικού όσο και από αυτή του μηχανογραφικού εξοπλισμού / λογισμικού. Τέλος, θα πρέπει να εκτιμάται το κόστος ανάπτυξης, λειτουργίας, και υποστήριξης του συστήματος και να συγκρίνεται το κόστος εσωτερικής ανάπτυξης με αυτό της προμήθειας ή της ανάθεσης σε τρίτους. Β1. Ανάπτυξη Συστημάτων Στις περιπτώσεις που το ΠΙ επιλέγει την εσωτερική ανάπτυξη ενός Πληροφοριακού Συστήματος, θα πρέπει: την κατάρτιση ενός χρονοδιαγράμματος υλοποίησης. Η Ομάδα Έργου ανάλογα με την κρισιμότητα και το μέγεθος του συστήματος θα πρέπει να απαρτίζεται από τον επικεφαλής της, τον υπεύθυνο για την ασφάλεια του συστήματος, αναλυτές / προγραμματιστές και εκπροσώπους χρηστών ή άλλων εμπλεκόμενων μερών.

το χρονοδιάγραμμα υλοποίησης να προσδιορίζει, μεταξύ άλλων, τις φάσεις, τη διάρκεια τους, και τους υπεύθυνους για την υλοποίηση της κάθε φάσης, καθώς και τα παραδοτέα. Επιπλέον, στο χρονοδιάγραμμα θα πρέπει να προβλέπεται ο ακριβής χρόνος παράδοσης μηχανογραφικού εξοπλισμού και άλλων υπηρεσιών από προμηθευτές εφόσον επηρεάζει τον χρονοπρογραμματισμό του έργου.

να ορίζεται ένα σχέδιο επικοινωνίας, στο οποίο θα καθορίζονται οι διαδικασίες ενημέρωσης των εμπλεκομένων μερών για την πρόοδο του έργου, επικοινωνίας των θεμάτων προς επίλυση προς τα ανώτερα στελέχη, επικοινωνίας του Πιστωτικού Ιδρύματος με προμηθευτές και κοινοποίησης των αλλαγών που θα επιφέρει το νέο σύστημα στον οργανισμό.

να λαμβάνονται υπόψη θέματα αποδοχής και αποτελεσματικής λειτουργίας του νέου πληροφοριακού συστήματος από το προσωπικό του Πιστωτικού Ιδρύματος και να υιοθετείται σχέδιο διαχείρισης των λειτουργικών αλλαγών ώστε να αντιμετωπιστούν φαινόμενα μη αποτελεσματικής εξυπηρέτησης των πελατών λόγω έλλειψης εξοικείωσης με το νέο πληροφοριακό σύστημα.

οι πληροφορίες που συλλέγονται κατά τη διάρκεια της φάσης της Ανάλυσης των Επιχειρησιακών Απαιτήσεων και του Καθορισμού των Προδιαγραφών να αφορούν τα προβλήματα, τις απαιτήσεις και τις ανάγκες βελτίωσης που έχουν εντοπίσει οι χρήστες σχετικά με το σύστημα. Οι απαιτήσεις θα πρέπει να καθορίζουν το τι πρέπει να κάνει το σύστημα και όχι το πώς, ενώ οι προδιαγραφές θα πρέπει να προσδιορίζουν σε γενικές γραμμές το πώς θα μπορέσουν να υλοποιηθούν οι απαιτήσεις των χρηστών. Κατά τη φάση του καθορισμού των προδιαγραφών του νέου συστήματος θα πρέπει να εξεταστεί κατά πόσο αυτό θα πρέπει να συνεργάζεται και σε ποιο επίπεδο με τα υπάρχοντα συστήματα του ΠΙ.

να γίνεται εκτίμηση του όγκου των δεδομένων και του αριθμού των συναλλαγών που θα διαχειρίζεται το νέο σύστημα, λαμβάνοντας υπόψη τις τρέχουσες αλλά και τις μελλοντικές ανάγκες έτσι ώστε να προσδιοριστούν με μεγαλύτερη ακρίβεια οι προδιαγραφές του μηχανογραφικού εξοπλισμού του συστήματος.

να γίνει λεπτομερής σχεδιασμός για τη διαχείριση των δεδομένων του προϋπάρχοντος μηχανογραφικού ή μη συστήματος και να περιλαμβάνει θέματα εκκαθάρισης παλαιών δεδομένων (data cleansing), μετατροπής δεδομένων στην μορφή του νέου συστήματος (data conversion) και μετάπτωσης δεδομένων (data migration).

στις φάσεις της Τεχνικής Ανάλυσης και του Σχεδιασμού να διενεργείται Ανάλυση Κινδύνων και να καθορίζονται με λεπτομέρεια οι απαιτήσεις ασφαλούς λειτουργίας του συστήματος σύμφωνα και με όσα προβλέπει η ισχύουσα Πολιτική Ασφάλειας του ΠΙ, οι τεχνικές προδιαγραφές του (οι οποίες περιλαμβάνουν, μεταξύ άλλων, τον καθορισμό των παραμέτρων της λογικής ασφάλειας του συστήματος), ο έλεγχος και η συμφωνία των δεδομένων και η δομή των απαραίτητων αρχείων καταγραφής (audit trails και logs) για τα οποία θα πρέπει να λαμβάνονται υπόψη οι σχετικές συστάσεις της Ευρωπαϊκής Επιτροπής για τα Τραπεζικά Πρότυπα (“The Use of Audit Trails in Security Systems: Guidelines for European Banks”). Στις συγκεκριμένες φάσεις είναι αναγκαία η συνεργασία με τη Μονάδα Εσωτερικής Επιθεώρησης για τη διαμόρφωση των κατάλληλων δικλείδων ασφαλείας, καθώς και των ελεγκτικών αρχείων καταγραφής και αναφορών που θα παράγονται για τη διευκόλυνση του ελέγχου. Η συνεργασία αυτή δεν επηρεάζει το ελεγκτικό έργο της Μονάδας Εσωτερικής Επιθεώρησης για το εν λόγω σύστημα.

η Ανάπτυξη του Συστήματος να υλοποιείται σε ξεχωριστό μηχανογραφικό περιβάλλον από αυτό της παραγωγής και να ακολουθεί πρότυπα που έχουν τεθεί από το ΠΙ (π.χ. χρήση συγκεκριμένων εργαλείων και μεθοδολογίας ανάπτυξης προγραμμάτων) με στόχο την ομοιογένεια των Πληροφοριακών Συστημάτων και την ευκολία υποστήριξής τους.

οι Δοκιμές του Συστήματος να διενεργούνται σε πρώτη φάση από το προσωπικό της Πληροφορικής σε ξεχωριστό περιβάλλον με προκαθορισμένα σενάρια. Σε δεύτερη φάση θα πρέπει να γίνονται τεκμηριωμένες και ολοκληρωμένες δοκιμές που περιλαμβάνουν: • δοκιμές επαναφοράς (recovery testing) ελέγχοντας την δυνατότητα επαναφοράς του συστήματος σε περιπτώσεις βλάβης του λογισμικού ή του μηχανογραφικού εξοπλισμού, • δοκιμές ασφαλείας (security testing) ελέγχοντας ότι το σύστημα περιλαμβάνει τις δικλείδες ασφαλείας, όπως αυτές προδιαγράφηκαν κατά τον σχεδιασμό του συστήματος, • δοκιμή αντοχής (stress test) του συστήματος σε συνθήκες επεξεργασίας αυξημένου όγκου δεδομένων. Στις δοκιμές αυτές είναι απαραίτητο να συμμετέχουν, πέραν των προγραμματιστών, η Μονάδα Διασφάλισης Ποιότητας (όπου υπάρχει), ο Υπεύθυνος Ασφάλειας (Security Officer) και η Μονάδα Εσωτερικής Επιθεώρησης.

για την Αποδοχή του Συστήματος να διενεργούνται ολοκληρωμένες δοκιμές με όσο το δυνατόν πιο πιστή προσομοίωση των συνθηκών παραγωγής. Στην περίπτωση που νέο σύστημα αντικαθιστά παλαιότερο θα πρέπει τα δύο συστήματα για ένα χρονικό διάστημα να λειτουργήσουν παράλληλα με τα ίδια δεδομένα (parallel run) και να γίνεται σύγκριση των αποτελεσμάτων τους. Οι συμμετέχοντες θα πρέπει να αποφασίζουν για την αποδοχή ή μη του συστήματος και γνωστοποιούν εγγράφως την απόφασή τους.

η Μεταφορά του νέου Συστήματος στην παραγωγή να πραγματοποιείται από εξειδικευμένο προσωπικό (π.χ. librarians) βάσει καταγεγραμμένων οδηγιών, σε χρονική περίοδο που δεν εκτελούνται άλλες σημαντικές εργασίες και με την πρόβλεψη για τη δυνατότητα – σε περίπτωση προβλήματος – επαναφοράς στην αρχική κατάσταση.

το σύστημα, πριν ακόμη τεθεί σε λειτουργία, να διαθέτει πλήρη τεκμηρίωση που θα ακολουθεί συγκεκριμένα ποιοτικά πρότυπα που έχουν τεθεί από το ίδιο το

να πραγματοποιείται εκπαίδευση των χρηστών του συστήματος σε ξεχωριστό μηχανογραφικό περιβάλλον, το οποίο και δεν θα επηρεάζεται από τα μηχανογραφικά περιβάλλοντα ανάπτυξης και παραγωγής. Τα συγκεκριμένα περιβάλλοντα συνιστάται να παραμένουν ενεργά έτσι ώστε να χρησιμοποιούνται στις περιπτώσεις που το σύστημα υφίσταται αλλαγές.

η Λειτουργία και Υποστήριξη του Συστήματος να περιλαμβάνει διαδικασίες ελέγχου των αλλαγών (change control), ελέγχου των εκδόσεων του συστήματος (versioning), ελέγχου ενημερώσεων του συστήματος για την αντιμετώπιση προβλημάτων που εντοπίστηκαν (patching), ελέγχου της απόδοσης του συστήματος, λήψης και φύλαξης εφεδρικών αρχείων, συνέχειας των εργασιών, ενημέρωσης του Help Desk για την υποστήριξη των χρηστών του συστήματος, κα.

η φάση Απόσυρσης του Συστήματος να περιλαμβάνει διαδικασίες για τη διατήρηση των πληροφοριών σύμφωνα με τις νομικές και εποπτικές οδηγίες (information preservation), τη διαγραφή των πληροφοριών από τα μέσα αποθήκευσης (media sanitization), την απόσυρση του υλικού και λογισμικού (hardware & software disposal). Στη συγκεκριμένη φάση πρέπει να διασφαλίζεται η αποτελεσματική συνέχεια της λειτουργίας των συστημάτων που διασυνδέονται με το σύστημα που αποσύρεται. Β2. Προμήθεια Συστημάτων Στις περιπτώσεις που το ΠΙ αποφασίζει την προμήθεια Πληροφοριακών Συστημάτων, θα πρέπει, εκτός των προαναφερθέντων:

η όλη διαδικασία προμήθειας να χαρακτηρίζεται από διακριτές φάσεις, οι οποίες θα υλοποιούν πρότυπα, μεθοδολογίες και διαδικασίες επίσημα καταγεγραμμένες και εγκεκριμένες. Τέτοιες φάσεις, είναι αυτές της πρόσκλησης για υποβολή προτάσεων (Request For Proposal − RFP) με αναλυτική περιγραφή των αναγκών που θα καλύπτει το προς προμήθεια σύστημα, της επιλογής του εξωτερικού συνεργάτη, της σύναψης της συμφωνίας και της υπογραφής του συμβολαίου, της ένταξης και λειτουργίας των συστημάτων στην παραγωγή και, τέλος, της εποπτείας και του ελέγχου τους.

η επιλογή του συστήματος να γίνεται με βάση τις αναλυτικές προδιαγραφές που οφείλει να θέτει το ΠΙ, τις δυνατότητες επέκτασης και προσαρμογής του στις διαρκώς αυξανόμενες επιχειρησιακές ανάγκες, τη φιλικότητα προς τον χρήστη, τις δυνατότητες ασφαλούς λειτουργίας (λογική ασφάλεια, audit trails & logs), το επίπεδο υποστήριξης, το σύστημα αναφορών του κλπ.

το είδος παρέμβασης του ΠΙ στο σύστημα να είναι εκ των προτέρων αυστηρά καθορισμένο. Οι όποιες παρεμβάσεις θα πρέπει να ακολουθούν εγκεκριμένες και καταγεγραμμένες διαδικασίες, να υλοποιούνται από εξειδικευμένο προσωπικό και να διατηρούνται στο ελάχιστο δυνατό επίπεδο έτσι ώστε να μην αλλοιώνεται η φυσιογνωμία του συστήματος και να είναι εύκολη η αναβάθμιση και συντήρησή του. Σημειώνεται ότι, σε περίπτωση σημαντικής απόκλισης των λειτουργικών διαδικασιών του ΠΙ από εκείνες που υποστηρίζει το αγορασθέν σύστημα, το ΠΙ είναι αυτό που συνήθως θα πρέπει να προσαρμόσει τις λειτουργικές του διαδικασίες στα χαρακτηριστικά του συστήματος και όχι το αντίστροφο.

στα κεντρικά συστήματα τραπεζικών εργασιών, η ανάπτυξη περιφερειακών εφαρμογών που θα αντλούν πληροφορίες από το κεντρικό σύστημα και θα υλοποιούν τοπικές αλλά και επιχειρησιακές ιδιαιτερότητες να γίνεται με βάση τα ισχύοντα στο ΠΙ πρότυπα για την ανάπτυξη εφαρμογών, έτσι ώστε να διατηρείται η μηχανογραφική ομοιογένεια.

ο τρόπος υποστήριξης των συστημάτων να είναι αυστηρά προδιαγεγραμμένος, με σαφή καθορισμό των περιπτώσεων στις οποίες απαιτείται υποστήριξη από τον πάροχο αλλά και των χρονικών περιθωρίων ανταπόκρισής του.

οι περιπτώσεις απομεμακρυσμένης πρόσβασης του παρόχου στα συστήματα του ΠΙ για την επίλυση εκτάκτων προβλημάτων, να είναι εξαιρετικά περιορισμένες, να αντιμετωπίζονται με ιδιαίτερη προσοχή, και σε κάθε περίπτωση να υπάρχει πλήρης καταγραφή (logging) των ενεργειών του.

να είναι απαραίτητη η απόκτηση τεχνογνωσίας, όχι μόνον μέσω της κατάλληλης εκπαίδευσης του εμπλεκόμενου στη λειτουργία τέτοιων συστημάτων προσωπικού, αλλά κυρίως μέσω της συμμετοχής του σε όλες τις φάσεις εξέλιξης των συστημάτων, έτσι ώστε η εξάρτηση του ΠΙ από τον προμηθευτή βαθμιαία να ελαττώνεται.

εφόσον έχουν υλοποιηθεί οι απαιτήσεις του ΠΙ − όπως αυτές αναφέρονται στο συμβόλαιο − και μετά το πέρας των απαραίτητων δοκιμών εκ μέρους του παρόχου, να υφίσταται διαδικασία επίσημης αποδοχής και παραλαβής του συστήματος εκ μέρους του ΠΙ με τη συμμετοχή όλων των εμπλεκομένων μερών. Γ. ΛΕΙΤΟΥΡΓΙΑ ΚΑΙ ΥΠΟΣΤΗΡΙΞΗ Η απρόσκοπτη λειτουργία των Πληροφοριακών Συστημάτων και η αποτελεσματική υποστήριξή τους είναι παράγοντες κρίσιμοι τόσο για την εύρυθμη λειτουργία του ΠΙ και τη δημιουργία σχέσεων εμπιστοσύνης με τους πελάτες, όσο και για την αποτελεσματική αντιμετώπιση του λειτουργικού κινδύνου. Η απρόσκοπτη λειτουργία και η αποτελεσματική υποστήριξη των Πληροφοριακών Συστημάτων προϋποθέτουν την τήρηση των πολιτικών, προτύπων και διαδικασιών του ΠΙ από όλες τις εμπλεκόμενες υπηρεσιακές μονάδες, αλλά και τους παρόχους υπηρεσιών πληροφορικής. Γ1. Λειτουργία Συστημάτων Ο όρος «Λειτουργία Συστημάτων» αναφέρεται στο σύνολο των διαδικασιών που απαιτούνται για την καθημερινή λειτουργία των Πληροφοριακών Συστημάτων σε ένα Πιστωτικό Ίδρυμα. Για ένα αποδεκτό επίπεδο ασφαλούς και αποτελεσματικής λειτουργίας τους θα πρέπει να υφίστανται:

πλήρης και λεπτομερής καταγραφή του μηχανογραφικού εξοπλισμού (κεντρικά συστήματα, εξυπηρετητές, προσωπικοί υπολογιστές, περιφερειακά, δίκτυα και τηλεπικοινωνίες), του αρχιτεκτονικού σχεδιασμού, του χρησιμοποιούμενου λογισμικού, καθώς και του ιστορικού των εκδόσεων, των ενημερώσεων, και των αδειών χρήσης. Αρχείο πρέπει να τηρείται επίσης για τα μέσα που αποθηκεύουν και διακινούν ευαίσθητα δεδομένα του οργανισμού (cartridges, ταινίες, δισκέτες, CDs, εκτυπώσεις, microfiche κα). Τα αρχεία καταγραφής θα πρέπει να ενημερώνονται άμεσα στις περιπτώσεις αλλαγών.

τήρηση πλήρους και ενημερωμένης τεκμηρίωσης για κάθε σύστημα με τα επίσημα εγχειρίδια των εται το προσωπικό του ΠΙ.

επαρκής συντήρηση και τεχνική υποστήριξη των συστημάτων με βάση πάντοτε τις προδιαγραφές τους και τις ανάγκες που προκύπτουν.

υποστήριξη των υπαλλήλων−χρηστών εντός, αλλά και των πελατών−χρηστών εκτός του οργανισμού (π.χ. ηλεκτρονική τραπεζική), η οποία και θα πρέπει να ανατίθεται σε κατάλληλα οργανωμένες και στελεχωμένες υπηρεσιακές μονάδες (Help Desk). Στην υποστήριξη θα πρέπει να λαμβάνεται υπόψη το είδος του χρήστη και η φύση του προβλήματος που αντιμετωπίζει. Το πλήθος και το είδος των προβλημάτων θα πρέπει να καταγράφονται και να τυγχάνουν στατιστικής επεξεργασίας.

διαδικασίες διαχείρισης των παραμέτρων λειτουργίας των συστημάτων.

διαδικασίες αποτροπής εγκατάστασης και χρήσης μη εγκεκριμένου από το ΠΙ λογισμικού, καθώς επίσης λογισμικού χωρίς την κατάλληλη αδειοδότηση.

προγραμματισμός των εργασιών προς εκτέλεση, καταγραφή των προβλημάτων που προκύπτουν και των ενεργειών που πρέπει να γίνονται στις έκτακτες περιπτώσεις, κλπ. Η επιτυχής ή μη εκτέλεση των προγραμματισμένων αλλά και έκτακτων εργασιών θα πρέπει να καταχωρείται σε ειδικό ημερολόγιο, το οποίο και θα φέρει τις υπογραφές του προσωπικού που τις εκτέλεσε. Η εκτέλεση έκτακτων εργασιών θα πρέπει να γίνεται κατόπιν ειδικής έγκρισης.

έλεγχος των δεδομένων, για εξασφάλιση της ακεραιότητας, ορθότητας και εμπιστευτικότητάς τους, σε όλες τις φάσεις επεξεργασίας τους. Οι κάθε είδους ασυμφωνίες θα πρέπει να διαπιστώνονται και να αντιμετωπίζονται βάσει καταγεγραμμένων διαδικασιών.

διαδικασίες διαχείρισης της χωρητικότητας, του φόρτου και της απόδοσης των συστημάτων και δικτύων.

συνεχής παρακολούθηση της διαθεσιμότητας των συστημάτων και των δικτύων. Ειδικότερα για τα κρίσιμα συστήματα, το ΠΙ πρέπει να είναι σε θέση να υπολογίζει το ποσοστό διαθεσιμότητάς τους σε επίπεδο έτους και να το συγκρίνει με προκαθορισμένους στόχους. Επιπλέον, το ΠΙ θα πρέπει να διαθέτει διαδικασίες λεπτομερούς καταγραφής των συμβάντων μη διαθεσιμότητας (επηρεαζόμενα συστήματα, χρονική διάρκεια μη διαθεσιμότητας, αιτία προβλήματος, τρόπος και χρονική διάρκεια αντιμετώπισης, συχνότητα εμφάνισης, κόστος για το ΠΙ) και άμεσης ενημέρωσης των αρμόδιων λειτουργικών μονάδων (Εσωτερικής Επιθεώρησης, Διαχείρισης Κινδύνων) και της Διοίκησης.

επαρκείς διαδικασίες διαχείρισης αντιγράφων ασφαλείας (λεπτομερής αναφορά στο κεφάλαιο Γ4).

ειδικότερα, για τα συστήματα και τις υπηρεσίες Ηλεκτρονικής Τραπεζικής θα πρέπει να υφίστανται: i. επαρκής πληροφόρηση στο διαδικτυακό τόπο (web site) του ΠΙ, έτσι ώστε να μπορούν οι εν δυνάμει πελάτες τους να έχουν μια επαρκή γνώση για την ταυτότητα του ΠΙ και την εποπτεύουσα αρχή που παρέχει την άδεια λειτουργίας, πριν πραγματοποιήσουν τις ηλεκτρονικές τους συναλλαγές. Επίσης, γνωστοποίηση του τρόπου με τον οποίο μπορούν να επικοινωνήσουν οι πελάτες με το σχετικό κέντρο υποστήριξης σε περίπτωση πάσης φύσεως προβλήματος, το ψηφιακό πιστοποιητικό του διαδικτυακού τόπου, το οποίο θα πρέπει να έχει εκδοθεί από επίσημη αρχή πιστοποίησης, πληροφορίες για την ασφαλή χρήση των παρεχομένων υπηρεσιών κ.λπ. ii. ενημέρωση των πελατών για την πολιτική εμπιστευτικότητας που εφαρμόζει το ΠΙ σε σχέση με τα προσωπικά τους δεδομένα. Η πληροφόρηση αυτή συνιστάται να παρέχεται και μέσα από το διαδικτυακό τόπο του ιδρύματος. Παροχή επίσης στους πελάτες του δικαιώματος να αρνηθούν την διάθεση – εκχώρηση σε τρίτους δεδομένων που τους αφορούν, για προώθηση προϊόντων ή άλλο λόγο. Τα δεδομένα των πελατών θα πρέπει να χρησιμοποιούνται μόνον για τους σκοπούς για τους οποίους οι πελάτες γνωρίζουν ότι τα διαθέτουν. iii. σαφής σήμανση στο διαδικτυακό τόπο του ΠΙ των συνδέσεων (links) με διαδικτυακούς τόπους άλλων εταιρειών ή οργανισμών. Πρέπει να φαίνεται έκδηλα στον πελάτη ότι, όταν εγκαταλείπει το διαδικτυακό τόπο του ΠΙ, συνδέεται με μια εντελώς ξεχωριστή επιχειρηματική μονάδα ή άλλη νομική οντότητα. iv. αυτοματοποιημένα συστήματα παρακολούθησης των συναλλαγών, τα οποία και θα βασίζουν την αποτελεσματική λειτουργία τους στη δημιουργία εκ μέρους του ΠΙ στατιστικών προτύπων κίνησης λογαριασμού για κάθε πελάτη. Τα συστήματα αυτά, με βάση τα διαμορφωμένα χαρακτηριστικά κίνησης των λογαριασμών των πελατών (profiles), θα πρέπει να εντοπίζουν και να καταγράφουν ασυνήθιστες συναλλακτικές συμπεριφορές και να παράγουν, σε πραγματικό χρόνο, προειδοποιητικά μηνύματα (alerts) για τη διερεύνηση ενδεχόμενων περιπτώσεων απάτης. v. αποτελεσματική αντιμετώπιση των κινδύνων νομιμοποίησης εσόδων από εγκληματικές δραστηριότητες (money laundering) και χρηματοδότησης της τρομοκρατίας. Οι συγκεκριμένοι κίνδυνοι στην ηλεκτρονική τραπεζική είναι ιδιαίτερα αυξημένοι λόγω της ευκολίας χρήσης των υπηρεσιών από οπουδήποτε και οποιαδήποτε χρονική στιγμή, της απρόσωπης φύσης των συναλλαγών και της αυτόματης διεκπεραίωσής τους. Ως εκ τούτου, το ΠΙ θα πρέπει να μεριμνά για την εγκατάσταση αυτοματοποιημένων συστημάτων και εργαλείων διαχείρισης των συναλλαγών, τα οποία κατ’ ελάχιστον θα θέτουν όρια σε συγκεκριμένες ομάδες ή κατηγορίες συναλλαγών, θα παρέχουν τη δυνατότητα καθυστέρησης εκτέλεσης της συναλλαγής μέχρι την εξακρίβωση συγκεκριμένων στοιχείων (filters & monitoring tools/systems) κ.λπ. vi. δυνατότητα εύκολης προσπέλασης και επεξεργασίας στοιχείων παλαιότερων συναλλαγών, έτσι ώστε να γίνεται εφικτός ο εντοπισμός συναλλακτικών ιδιαιτεροτήτων και ανωμαλιών, για να διευκολύνεται η στοιχειοθέτηση αποδεικτικών στοιχείων και η επαρκής πληροφόρηση των εποπτικών αρχών, ειδικά στις περιπτώσεις απάτης και νομιμοποίησης εσόδων από εγκληματικές δραστηριότητες και χρηματοδότησης της τρομοκρατίας, παροχής επενδυτικών υπηρεσιών κλπ. vii. εγχειρίδια σε ηλεκτρονική ή έντυπη μορφή, τα οποία θα ενημερώνουν τους πελάτες για τον τρόπο χρήσης των συστημάτων με έμφαση σε θέματα ασφάλειας. Επιπλέον, το ΠΙ θα πρέπει να εφοδιάζει τους χρήστες με πρακτικές ασφαλούς χρήσης των προσωπικών υπολογιστών μέσω των οποίων προσπελαύνονται ορισμένα συστήματα ηλεκτρονικής τραπεζικής και ηλεκτρονικών πληρωμών. Στις πρακτικές αυτές θα πρέπει να γίνεται αναφορά, μεταξύ άλλων, σε θέματα προστασίας από ιούς και άλλο κακόβουλο λογισμικό, ασφαλούς απο να αποφεύγονται για τέτοια χρήση). viii. επαρκείς διαδικασίες ασφάλειας με έμφαση στη πιστοποίηση των συναλλασσομένων μερών (ψηφιακό πιστοποιητικό διαδικτυακού τόπου ΠΙ, πιστοποίηση δύο επιπέδων για τον πελάτη, με χρήση ψηφιακών πιστοποιητικών, Τ.Α.Ν. lists ή άλλης μεθόδου), τη μη αποποίηση των συναλλαγών, την κρυπτογράφηση της επικοινωνίας, την ασφάλεια των συναλλαγών (αποδεικτικά στοιχεία επιτυχούς ολοκλήρωσης, αποσύνδεση σε περίπτωση ανενεργού χρήστη, εντοπισμός ύποπτων συναλλαγών κ.λπ.), και τέλος τη λειτουργία των συστημάτων που υποστηρίζουν τις εν λόγω υπηρεσίες σε ειδικές περιοχές του δικτύου που παρέχουν υψηλή προστασία από κακόβουλες ενέργειες εσωτερικών ή εξωτερικών χρηστών. Γ2. Φυσική Ασφάλεια Ο όρος «Φυσική Ασφάλεια» αναφέρεται στα μέτρα που πρέπει να λαμβάνονται για την προστασία των συστημάτων και της υποδομής που τα υποστηρίζει, από κινδύνους που προέρχονται από το περιβάλλον. Ανάλυση κινδύνων είναι απαραίτητο να προηγείται της λήψης μέτρων, αφού οι απαιτήσεις φυσικής ασφάλειας δεν είναι δυνατόν να είναι οι ίδιες για όλες τις περιοχές και χώρους που στεγάζουν συστήματα, ούτε και η κρισιμότητα των συστημάτων είναι η ίδια μέσα σε μια συγκεκριμένη περιοχή ή χώρο. Στα μέτρα φυσικής ασφάλειας πρέπει τουλάχιστον να περιλαμβάνονται:

μηχανισμοί ελέγχου φυσικής πρόσβασης (Physical Access Controls). Τέτοιοι μηχανισμοί πρέπει να περιορίζουν, να ελέγχουν και να καταγράφουν, αφ’ ενός μεν την είσοδο και την έξοδο του προσωπικού και των επισκεπτών, αφ’ ετέρου δε τη διακίνηση μηχανογραφικού εξοπλισμού και αποθηκευτικών μέσων. Μηχανισμοί ελέγχου φυσικής πρόσβασης θα πρέπει να υφίστανται, όχι μόνο σε χώρους που στεγάζουν μηχανογραφικό εξοπλισμό, αλλά και σε χώρους ή σημεία στα οποία υπάρχουν καλωδιώσεις που συνδέουν κρίσιμα συστήματα, υποστηρικτικές συσκευές (π.χ. μονάδες παροχής αδιάλειπτης τάσης, γεννήτριες), μαγνητικά μέσα στα οποία φυλάσσονται αρχεία, κλπ. Επιπλέον, η υλοποίηση τέτοιων μηχανισμών δεν θα πρέπει να περιορίζεται μόνο στους χώρους των μηχανογραφικών κέντρων, αλλά να επεκτείνεται και οπουδήποτε αλλού υπάρχει η σχετική ανάγκη (τοπικά συστήματα καταστημάτων και διευθύνσεων). Το είδος των μηχανισμών ελέγχου που υλοποιούνται θα πρέπει να καθορίζεται από την κρισιμότητα των συστημάτων που καλούνται να προστατεύσουν.

μηχανισμοί πρόληψης και αντιμετώπισης καταστροφών από φυσικά αίτια.

μηχανισμοί πρόληψης και αντιμετώπισης κακόβουλων ενεργειών (διάρρηξη / κλοπή, βανδαλισμός, τρομοκρατική ενέργεια, κ.λπ.). Οι συγκεκριμένοι κίνδυνοι, όπως και οι κίνδυνοι από φυσικά αίτια, εκτός του ότι μπορεί να προκαλέσουν ολοσχερή καταστροφή των συστημάτων και των δικτύων, είναι δυνατό να διακυβεύσουν τις ζωές του προσωπικού.

μηχανισμοί πρόληψης και αντιμετώπισης προβλημάτων από διακοπή λειτουργίας και παροχής υπηρεσιών ή βλάβη υποστηρικτικών συσκευών. Τα συστήματα είναι απαραίτητο να λειτουργούν σε ένα αποτελεσματικά υποστηριζόμενο τεχνικά περιβάλλον.

η αποτελεσματική διαχείριση της τηλεπικοινωνιακής και δικτυακής καλωδίωσης για την αντιμετώπιση θεμάτων φθοράς, παρεμβολών και έλλειψης κατάλληλης σήμανσης.

μηχανισμοί ασφάλειας φορητών συστημάτων. Η χρήση των φορητών υπολογιστών και οποιωνδήποτε άλλων φορητών συστημάτων θα πρέπει να λαμβάνεται σοβαρά υπόψη στην ανάλυση κινδύνων. Φορητοί υπολογιστές που αποθηκεύουν ευαίσθητα εταιρικά δεδομένα θα πρέπει, αφενός μεν να φυλάσσονται σε ασφαλή σημεία όταν δεν είναι σε χρήση, αφετέρου δε να αποθηκεύουν τα ευαίσθητα δεδομένα σε κρυπτογραφημένη μορφή.

η ασφαλής μεταφορά και αποθήκευση των ευαίσθητων εγγράφων και μαγνητικών μέσων. Στην πρώτη κατηγορία ανήκουν οι διαβαθμισμένες αναφορές, οι εφεδρικοί κωδικοί εισόδου των διαχειριστών συστημάτων, τα συνθηματικά των πελατών μέχρι να τους αποσταλούν, η τεκμηρίωση των συστημάτων και εφαρμογών, τα Σχέδια Συνέχειας Εργασιών και Ανάκαμψης από Καταστροφή, κα. Στην δεύτερη ανήκουν τα εφεδρικά αντίγραφα αρχείων, το πλαστικό υλικό των καρτών συναλλαγών κ.λπ.

η επιλογή και κατάλληλη διαμόρφωση των χώρων με σκοπό την ελαχιστοποίηση των προαναφερθέντων κινδύνων, σε σχέση πάντοτε με τη χρήση για την οποία προορίζονται και την κρισιμότητα των συστημάτων που στεγάζουν. Γ3. Λογική ασφάλεια Ο όρος «λογική ασφάλεια» αναφέρεται στο σύνολο των μέτρων που λαμβάνονται για τον περιορισμό της πρόσβασης στους πόρους των συστημάτων (system resources). Ως πόροι των συστημάτων θεωρούνται ο μηχανογραφικός εξοπλισμός, τα δίκτυα, το λογισμικό και τα δεδομένα. Τα μέτρα που υλοποιούν την λογική ασφάλεια καθορίζουν όχι μόνον το «ποιος» ή «τι» (π.χ. πρόγραμμα) θα έχει πρόσβαση σε συγκεκριμένους πόρους του συστήματος, αλλά και το είδος της πρόσβασης που επιτρέπεται να έχει. Τα μέτρα αυτά μπορεί να είναι ενσωματωμένα στα λειτουργικά συστήματα, να υλοποιούνται σε προγράμματα εφαρμογών, σε συστήματα διαχείρισης βάσεων δεδομένων, σε συστήματα επικοινωνιών ή ακόμη να υλοποιούνται μέσω πρόσθετων αυτόνομων πακέτων ασφάλειας. Για την διατήρηση ενός αποδεκτού επιπέδου λογικής ασφαλείας, κρίνεται σκόπιμο: (α) για την ασφάλεια των προσβάσεων στα συστήματα

να έχουν όλοι οι χρήστες ένα μοναδικό ατομικό λογαριασμό πρόσβασης σε κάθε σύστημα και μόνο για τους πόρους εκείνους που δικαιούνται πρόσβαση, ώστε κάθε ενέργεια να χρεώνεται μονοσήμαντα. Ως εκ τούτου, κοινοί – ομαδικοί λογαριασμοί πρόσβασης δεν θα πρέπει να χρησιμοποιούνται, και όπου αυτό δεν είναι εφικτό, θα πρέπει οι ενέργειες των κατόχων των λογαριασμών αυτών να καταγράφονται και να ελέγχονται σχολαστικά.

να υπάρχουν καταγεγραμμένες και εγκεκριμένες διαδικασίες για τη διαχείριση των λογαριασμών πρόσβασης, τον καθορισμό και την αναθεώρηση των δικαιωμάτων που παρέχονται στον κάθε λογαριασμό για όλα τα στάδια της εργασιακής πορείας του ιδιοκτήτη του λογαριασμού (πρόσληψη, μετακίνηση, αλλαγή αντικειμένου εργασίας, αποχώρηση κ.λπ.). Να υπάρχει

να καταγράφονται και να ελέγχονται συστηματικά οι ενέργειες που γίνονται με χρήση λογαριασμών πρόσβασης με προνομιακά δικαιώματα, όπως λογαριασμών διαχειριστών συστημάτων και γενικά χρηστών με αυξημένα δικαιώματα.

οι λογαριασμοί πρόσβασης να απενεργοποιούνται άμεσα μόλις παύουν να είναι απαραίτητοι ή σε περίπτωση σημαντικής παραβίασης των κανόνων ασφάλειας.

να υπάρχει συγκεκριμένη διαδικασία που να προβλέπει τη δημιουργία προσωρινών λογαριασμών πρόσβασης, με καθορισμένο επίπεδο εξουσιοδοτήσεων, για συγκεκριμένες εργασίες ή για περιπτώσεις ανάγκης. Η χρήση των λογαριασμών αυτών θα πρέπει να ελέγχεται σχολαστικά, και μόλις εκλείψει η ανάγκη για την οποία δημιουργήθηκαν θα πρέπει να απενεργοποιούνται.

να πιστοποιείται ο ιδιοκτήτης ενός λογαριασμού πρόσβασης, κατά τη διαδικασία εισόδου του στο σύστημα μέσω μιας διαδικασίας υψηλής ασφάλειας (όπως π.χ. κωδικός εισόδου, χρήση «έξυπνης» κάρτας, ψηφιακού πιστοποιητικού κ.λπ.)

να αλλάζονται άμεσα οι κωδικοί πρόσβασης που έχουν τεθεί από τις κατασκευάστριες εταιρίες σε κάθε νέο τεχνολογικό εξοπλισμό μετά την παραλαβή του.

οι κωδικοί πρόσβασης: • να δημιουργούνται και να γίνεται η διαχείρισή τους βάσει προτύπων και διαδικασιών • να είναι δύσκολα προβλέψιμοι • να διατηρούνται μυστικοί με ευθύνη των κατόχων τους • να αλλάζουν σε τακτική βάση και οπωσδήποτε την πρώτη φορά εισόδου του κατόχου τους στο σύστημα. Η αλλαγή των κωδικών να επιβάλλεται από το σύστημα, και να κρατείται ιστορικό αλλαγών για την αποφυγή επανάληψης των ίδιων κωδικών, εφόσον αυτό είναι εφικτό

οι εφεδρικοί κωδικοί των διαχειριστών συστημάτων ή λογαριασμών ειδικών προνομίων θα πρέπει να βρίσκονται αποθηκευμένοι σε ασφαλές σημείο, ώστε να μπορούν να χρησιμοποιηθούν βάσει ειδικής διαδικασίας σε περίπτωση έκτακτης ανάγκης.

όπου κρίνεται αναγκαίο, οι κωδικοί πρόσβασης λογαριασμών ειδικών προνομίων θα πρέπει να μη φυλάσσονται ενιαίοι, αλλά σε τμήματα με ευθύνη διαφορετικών ατόμων.

να χρησιμοποιείται – όπου είναι εφικτό – ειδικό λογισμικό διαχείρισης και ελέγχου των προσβάσεων. (β) για την προστασία των δεδομένων

να υπάρχουν επαρκείς ενσωματωμένοι μηχανισμοί ελέγχου (controls) των δεδομένων στα διάφορα συστήματα, και ειδικότερα, στην προετοιμασία, εισαγωγή, και επεξεργασία τους.

να υπάρχει καταγεγραμμένη και εγκεκριμένη διαβάθμιση των δεδομένων σύμφωνα με το βαθμό ευαισθησίας τους και να προβλέπονται επιπλέον διαδικασίες ασφάλειας των ευαίσθητων δεδομένων μέσω τεχνικών κρυπτογράφησης ή άλλων μεθόδων προστασίας.

για την κρυπτογράφηση: • να καθορίζεται σαφώς το πότε και σε ποιο επίπεδο γίνεται κρυπτογράφηση • να χρησιμοποιείται υψηλής ασφάλειας κλειδί κρυπτογράφησης σε όλο το λογισμικό • να αναπτύσσεται στρατηγική υποδομής Δημόσιου Κλειδιού P.K.I. (public key infrastructure) για τη διαχείριση των ψηφιακών πιστοποιητικών, κυρίως για την επικοινωνία του ΠΙ με τους πελάτες του για παροχή υπηρεσιών ηλεκτρονικής τραπεζικής • να επιδιώκεται η συμμόρφωση με τους εθνικούς και διεθνείς κανονισμούς και πρακτικές κρυπτογράφησης

να γίνονται οι απαραίτητες ενέργειες για τη συμμόρφωση με τη σχετική νομοθεσία και τους κανονισμούς Προστασίας Δεδομένων.

να υπάρχει πολιτική σχετικά με την ενημέρωση των πελατών στην περίπτωση διαρροής εμπιστευτικών προσωπικών τους δεδομένων λόγω παραβίασης της ασφάλειας των συστημάτων.

για τις βάσεις δεδομένων: • να υπάρχει ολοκληρωμένη και ακριβής τεκμηρίωση της βάσης που να περιλαμβάνει τουλάχιστον τον λογικό σχεδιασμό, τον φυσικό σχεδιασμό και το λεξικό δεδομένων • να γίνεται αναδιοργάνωση της βάσης σε τακτά χρονικά διαστήματα • να εξασφαλίζεται η καταχώρηση μόνο ολοκληρωμένων συναλλαγών (commit / rollback) (γ) για την προστασία των συστημάτων

να υπάρχει εγκαταστημένο κατ’ ελάχιστο στα κρίσιμα συστήματα, και όπου αλλού είναι αναγκαίο ειδικό λογισμικό προστασίας από ιούς ή άλλο «κακόβουλο» λογισμικό. Το λογισμικό προστασίας θα πρέπει να ενημερώνεται σε συνεχή βάση και να είναι εγκαταστημένο με τέτοιο τρόπο ώστε να ενεργοποιείται αυτόματα και να μην μπορεί να απενεργοποιηθεί από τους χρήστες των συστημάτων, παρά μόνο από τον αρμόδιο διαχειριστή.

να παρέχεται αποτελεσματική προστασία σε ευαίσθητους πόρους των συστημάτων, όπως τα αρχεία συστήματος και εφαρμογών.

να συντηρείται αρχείο με το εγκεκριμένο από το ΠΙ λογισμικό

να απεγκαθίσταται ή να απενεργοποιείται σε κάθε σύστημα, κάθε λογισμικό ή λειτουργία που δεν κρίνεται απαραίτητη.

να ενεργοποιούνται τουλάχιστον οι βασικές λειτουργίες ελέγχου και καταγραφής (auditing & logging functions) σε κάθε σύστημα και να παραμετροποιούνται κατάλληλα σε συνεργασία με τον εσωτερικό έλεγχο.

να εξασφαλίζεται όπου αυτό είναι αναγκαίο, κατόπιν σχετικής εγκριτικής διαδικασίας, η συνεχής ενημέρωση των συστημάτων με τις τελευταίες εκδόσεις λογισμικού και ενημερώσεων σε θέματα ασφάλειας, ώστε να ελαχιστοποιούνται οι αδυναμίες και τα τρωτά τους σημεία.

να υπάρχουν καταγεγραμμένες διαδικασίες αποκατάστασης της ασφαλούς λειτουργίας ενός συστήματος σε περίπτωση που παραβιαστεί η ασφάλειά του.

να προστατεύεται, όσο αυτό είναι εφικτό, το ηλεκτρονικό ταχυδρομείο από πιθανούς κινδύνους αναξιόπιστης γνησιότητας του αποστολέα, υποκλοπής ή και παραποίησης του περιεχομένου, επικίνδυνων προσαρτημάτων, ανεπιθύμητων μηνυμάτων κ.λπ.

να υπάρχουν περιορισμοί στις ενέργειες των χρηστών του Διαδικτύου (π.χ. στις προσβάσεις σε συγκεκριμένους διαδικτυακούς τόπους, στη διακίνηση αρχείων κ.λπ.).

να γίνεται συνεχής εκπαίδευση και ενημέρωση των χρηστών σε θέματα ασφαλούς λειτουργίας των συστημάτων. εσωτερικών χρηστών. Προς αυτή την κατεύθυνση οφείλουν να υλοποιούνται διάφορες τεχνικές, όπως: • η χρήση ειδικών συστημάτων (firewalls, filtering routers κ.λπ.), τα οποία, ως σημεία ελέγχου των προσβάσεων, θα ρυθμίζουν και θα ελέγχουν την επικοινωνία από και προς περιοχές του δικτύου οι οποίες είναι συνήθως εκτεθειμένες σε αυξημένους κινδύνους • η δημιουργία στο δίκτυο ειδικών περιοχών (Demilitarized Zones – DMZ), ανάμεσα σε σημεία ελέγχου προσβάσεων, οι οποίες να λειτουργούν σαν απομονωμένο δίκτυο για τα προσβάσιμα από εσωτερικούς ή εξωτερικούς χρήστες συστήματα του ΠΙ, προστατεύοντας έτσι αποτελεσματικά το υπόλοιπο δίκτυο από κακόβουλες ενέργειες (δ) για την ασφάλεια της δικτυακής υποδομής και των επικοινωνιών

να είναι σαφώς καθορισμένες, καταγεγραμμένες και ελεγχόμενες οι δίοδοι επικοινωνίας (gateways) με εξωτερικά δίκτυα.

να εκτιμάται η δυνατότητα κατάτμησης (segmentation) του δικτύου σε ελεγχόμενα επί μέρους υποδίκτυα για τον καλύτερο έλεγχο των προσβάσεων.

να μην παραμένουν ανοιχτές λογικές θύρες επικοινωνίας (ports) σε κάθε συσκευή του δικτύου, επιπλέον όσων έχουν καθοριστεί σαφώς ως αναγκαίες για τις υπηρεσίες που υποστηρίζουν και αφού έχει συνεκτιμηθεί ο συνεπαγόμενος κίνδυνος από τη λειτουργία τους.

να περιορίζεται και να ελέγχεται επαρκώς η πρόσβαση στις ειδικές λειτουργίες διαχείρισης και ελέγχου του δικτύου.

να υπάρχει αποτελεσματική διαχείριση των παραμετροποιήσεων των συσκευών του δικτύου.

να υπάρχει η δυνατότητα εντοπισμού από το διαχειριστή του δικτύου λειτουργίας μη εξουσιοδοτημένων συσκευών.

να περιορίζονται στα απολύτως απαραίτητα τα σημεία πρόσβασης στο δίκτυο τα οποία βρίσκονται σε χώρους μη ελεγχόμενης φυσικής πρόσβασης, και εφόσον δε χρησιμοποιούνται να είναι ανενεργά.

να περιορίζεται και να ελέγχεται συστηματικά η δυνατότητα ασύρματης σύνδεσης χρηστών στο δίκτυο, ώστε να αποτρέπεται η παρείσφρηση μη εξουσιοδοτημένων χρηστών σε αυτό.

να μην παρέχεται η δυνατότητα απομεμακρυσμένης πρόσβασης στο δίκτυο, και όπου κρίνεται αναγκαία τέτοια πρόσβαση, να καταγράφεται και να ελέγχεται συστηματικά. Ειδικότερα, σε περίπτωση πρόσβασης στο δίκτυο χρηστών μέσω τηλεφωνικής σύνδεσης (dial up), αυτή να πραγματοποιείται κατόπιν διαδικασίας επιστροφής κλήσης (call back) ή άλλης κατάλληλης μεθόδου επαλήθευσης του καλούντος.

να χρησιμοποιούνται τα κατάλληλα πρωτόκολλα επικοινωνίας ανάλογα με το είδος των δεδομένων που μεταδίδονται, αντιμετωπίζοντας αποτελεσματικά θέματα διαχείρισης και ασφάλειάς τους.

να εξασφαλίζεται η εμπιστευτικότητα και η ακεραιότητα των δεδομένων που μεταδίδονται μέσω του δικτύου καθ’ όλη τη διαδρομή τους σε αυτό.

να γίνεται χρήση ειδικών εργαλείων λογισμικού για τον εντοπισμό κενών ασφαλείας ή σημείων μειωμένης ασφάλειας στο δίκτυο (vulnerability tests).

να υπάρχουν διαδικασίες και συστήματα παρακολούθησης, αποτροπής και αντιμετώπισης προσπαθειών παρείσφρησης στο δίκτυο ή γενικότερα προσπαθειών παραβίασης της ασφάλειας του δικτύου (intrusion detection/prevention systems).

να διενεργούνται σε τακτική βάση, από ειδικευμένες εταιρίες, δοκιμαστικές απόπειρες παραβίασης της ασφάλειας του δικτύου (penetration tests), βάσει καθορισμένων σεναρίων, με στόχο την αξιολόγηση της επάρκειας της ασφάλειας του δικτύου. Γ4. Σχέδια Συνέχειας Εργασιών και Ανάκαμψης από Καταστροφή Το ΠΙ πρέπει να διαθέτει εγκεκριμένα από τη Διοίκηση Σχέδια Συνέχειας Εργασιών (ΣΣΕ) για τα Πληροφοριακά Συστήματα, ενταγμένα στα γενικότερα εταιρικά ΣΣΕ, έτσι ώστε να εξασφαλίζεται η συνέχεια των κρισιμότερων λειτουργιών τους. Επιπλέον, το ΠΙ πρέπει να διαθέτει αποτελεσματικά Σχέδια Ανάκαμψης από Καταστροφή (ΣΑΚ) που θα εφαρμόζονται στις περιπτώσεις καταστροφικών συμβάντων που μπορεί να προκαλέσουν παρατεταμένη διακοπή της λειτουργίας ενός κρίσιμου συστήματος, ή ακόμη και ολόκληρου του μηχανογραφικού κέντρου. Της δημιουργίας ΣΣΕ και ΣΑΚ θα πρέπει να προηγούνται διαδικασίες ανάλυσης επιχειρηματικών επιπτώσεων (business impact analysis) και ανάλυσης κινδύνων (risk assessment). Βάσει αυτών: • θα προσδιορίζονται όλες οι κρίσιμες λειτουργίες καθώς και τα συστήματα−πόροι που χρησιμοποιούν • θα προσδιορίζονται όλοι οι κίνδυνοι που απειλούν τις κρίσιμες λειτουργίες και θα κατατάσσονται σύμφωνα με την πιθανότητα εμφάνισής τους και τις πιθανές επιπτώσεις τους στα συστήματα και τις λειτουργίες • θα σταθμίζεται το λειτουργικό κόστος από ενδεχόμενη διακοπή των κρίσιμων λειτουργιών και το κόστος ενεργοποίησης του ΣΣΕ & ΣΑΚ για να προσδιορίζονται οι συνθήκες που θα θέτουν σε εφαρμογή το αντίστοιχο σχέδιο • θα προσδιορίζεται ο χρόνος ανάκαμψης των κρισίμων λειτουργιών – συστημάτων (recovery time) αλλά και το σημείο ανάκαμψης (recovery point), δηλαδή σε πόσο χρόνο και σε ποια εικόνα χρονικά θα επανέλθουν τα συστήματα μετά την ανάκαμψη Πρώτο επίπεδο εξασφάλισης συνέχειας εργασιών θεωρείται η ύπαρξη σχεδίου λήψης και διαχείρισης αντιγράφων ασφαλείας του λογισμικού, των παραμέτρων λειτουργίας και των δεδομένων, καθώς και η ύπαρξη του αναγκαίου εφεδρικού εξοπλισμού, συσκευών παροχής αδιάλειπτης τάσης, ηλεκτρογεννητριών κ.λπ., στους χώρους λειτουργίας των συστημάτων. Με στόχο την εξασφάλιση της γρήγορης και επιτυχούς ανάκτησης των δεδομένων και του λογισμικού, θα πρέπει για τα αντίγραφα ασφαλείας να υφίστανται συγκεκριμένες διαδικασίες: • δημιουργίας με συχνότητα που υπαγορεύεται από τη κρισιμότητα των πληροφοριών • ασφαλούς φύλαξης στο χώρο των συστημάτων • ασφαλούς μεταφοράς και φύλαξης σε απομεμακρυσμένο χώρο των επιπλέον αντιγράφων • δοκιμών για τη διασφάλιση της ακεραιότητας των δεδομένων • αρχειοθέτησης με αναγραφή στα μέσα αποθήκευσης του περιεχομένου και του χρόνου αποθήκευσης των δεδομένων • ανακύκλωσης των μαγνητικών μέσων και να κοινοποιείται επίσημα σε όλο το προσωπικό. Τυχόν διαβαθμισμένες πληροφορίες του σχεδίου (όπως π.χ. κωδικοί, κλείδες ασφαλείας κ.λπ.), θα πρέπει να γνωστοποιούνται μόνο σε εξουσιοδοτημένο προσωπικό.

αντίγραφό του να φυλάσσεται σε κατάλληλο χώρο σε ασφαλή απόσταση από το μηχανογραφικό κέντρο. Ένα τέτοιο σχέδιο θα πρέπει να περιλαμβάνει:

κατάταξη των συστημάτων βάση λειτουργικής ανάγκης. Στην κατάταξη αυτή θα πρέπει, μεταξύ άλλων, να αναφέρεται ο χρόνος που απαιτείται για την ανάκτηση (recovery time) του κάθε συστήματος καθώς και η ελάχιστη εκτιμώμενη απόδοσή του μετά την ανάκτηση.

τη σαφή ιεραρχική δομή των στελεχών που συμμετέχουν στην εφαρμογή του, τις αρμοδιότητές τους, καθώς και τους υπεύθυνους λήψης αποφάσεων σε κάθε ομάδα έκτακτης ανάγκης.

τις διαδικασίες εκτίμησης του εύρους της καταστροφής, με βάση τις οποίες προσδιορίζονται επακριβώς τα τμήματα του σχεδίου τα οποία θα πρέπει να ενεργοποιηθούν.

τις διαδικασίες ενεργοποίησης του σχεδίου, ειδοποίησης των στελεχών και κινητοποίησης των ομάδων έκτακτης ανάγκης.

τις ενέργειες που θα εκτελούνται σε συγκεκριμένες επείγουσες καταστάσεις, οι οποίες μεταξύ των άλλων θα πρέπει να διασφαλίζουν το προσωπικό σε περίπτωση κινδύνου / καταστροφής (π.χ. φωτιά, σεισμός κ.λπ.).

τους εναλλακτικούς χώρους εργασίας των χρηστών, τον εξοπλισμό που θα χρησιμοποιηθεί, καθώς και τις απαιτούμενες προδιαγραφές τους.

τις διαδικασίες προετοιμασίας και ενεργοποίησης του εναλλακτικού μηχανογραφικού κέντρου.

τα συστήματα του εναλλακτικού κέντρου, την υποδομή τους καθώς και την τοπολογία δικτύου.

λίστα προμηθευτών με τους οποίους υπάρχουν συμβάσεις, οι υπηρεσίες που αυτοί προσφέρουν και οι αναμενόμενοι χρόνοι απόκρισής τους σε περίπτωση έκτακτης ανάγκης.

τις διαδικασίες που εξασφαλίζουν ότι τα σχέδια συντηρούνται, προσαρμόζονται και ενημερώνονται σε κάθε αλλαγή στις διαδικασίες λειτουργίας του ΠΙ.

τις διαδικασίες εκπαίδευσης του προσωπικού σύμφωνα με τις αρμοδιότητες που αναλαμβάνουν κατά την υλοποίηση του Σχεδίου.

τις διαδικασίες εκτέλεσης δοκιμών, σύμφωνα με τις οποίες: • θα προσδιορίζεται η συχνότητά τους (κατ’ ελάχιστο μία φορά το χρόνο) • θα υπάρχουν σαφείς στόχοι εκ των προτέρων, είτε για την εξέταση συγκεκριμένων υποσυστημάτων, είτε για την εξέταση του συστήματος στο σύνολό του. Η εκτέλεση δοκιμών της τελευταίας κατηγορίας συνιστάται να περιλαμβάνει την πλήρη κάλυψη όλων των κρίσιμων λειτουργιών όπως αναγράφονται στο σχέδιο και να κάνει αποκλειστική χρήση του εναλλακτικού χώρου, του εξοπλισμού και των εφεδρικών αντιγράφων • θα διεξάγονται υπό συνθήκες που θα προσομοιώνουν περιπτώσεις έκτακτης ανάγκης • θα εξασφαλίζεται η συμμετοχή της Μονάδας Εσωτερικής Επιθεώρησης • θα συντάσσεται έκθεση των αποτελεσμάτων μετά την ολοκλήρωσή των δοκιμών • θα γίνονται οι απαραίτητες διορθώσεις στα σχέδια για όλα τα προβλήματα που διαπιστώνονται • θα λαμβάνει γνώση των αποτελεσμάτων η Διοίκηση και η Επιτροπή Ελέγχου Τέλος, θα πρέπει:

να εξασφαλίζει την αποτελεσματική λειτουργία εναλλακτικού μηχανογραφικού κέντρου, το οποίο θα πρέπει να βρίσκεται σε κατάλληλη απόσταση, ώστε να μην επηρεάζεται από τους ίδιους κινδύνους που μπορεί να πλήξουν το κύριο μηχανογραφικό κέντρο. Το εναλλακτικό κέντρο θα πρέπει να διαθέτει κατάλληλο (εφεδρικό) εξοπλισμό που να παρέχει όλες τις κρίσιμες υπηρεσίες στους χρόνους που έχουν προκαθοριστεί, καθώς και τα εγχειρίδια των διαδικασιών και χρήσης των συστημάτων. Επιπλέον, θα πρέπει να επιτρέπει την απρόσκοπτη χρήση των εναλλακτικών μέσων μέχρι τη στιγμή της επαναφοράς των λειτουργιών στο κύριο μηχανογραφικό κέντρο.

να διασφαλίζει τη φυσική ασφάλεια του εναλλακτικού κέντρου, καθώς και ένα βασικό επίπεδο λογικής ασφάλειας κατά την εφαρμογή του σχεδίου.

να φροντίζει για την ασφαλιστική κάλυψη του ΠΙ απέναντι σε κινδύνους που είναι δυνατόν να προκαλέσουν διακοπή της λειτουργίας των Πληροφοριακών Συστημάτων.

σε περίπτωση που οι χώροι λειτουργίας του εναλλακτικού κέντρου, ο εξοπλισμός ή οι υπηρεσίες παρέχονται από τρίτους: • να προνοεί, μέσω κατάλληλων συμβάσεων, για την αποτελεσματική συνέχεια των εργασιών σε περίπτωση καταστροφής που θα πλήξει ταυτόχρονα πολλούς οργανισμούς οι οποίοι εξυπηρετούνται από τον ίδιο πάροχο • να φροντίζει για την ενημέρωση του παρόχου για τυχόν αλλαγές στα συστήματα που πιθανό να απαιτήσουν αντίστοιχες προσαρμογές−ενημερώσεις στα ΣΑΚ Δ. ΕΛΕΓΧΟΣ ΣΥΣΤΗΜΑΤΩΝ ΠΛΗΡΟΦΟΡΙΚΗΣ Μια αποτελεσματική ελεγκτική λειτουργία για τα Πληροφοριακά Συστήματα θα πρέπει να εστιάζεται στους κινδύνους που απορρέουν από την ανάπτυξη, ενσωμάτωση και λειτουργία τους, να εξετάζει την επάρκεια των ελεγκτικών μηχανισμών (controls) και διαδικασιών, και να προτείνει, όπου χρειάζεται, τις κατάλληλες τροποποιήσεις. Επιπλέον, θα πρέπει να αξιολογεί το βαθμό συμμόρφωσης με την επιχειρησιακή στρατηγική και τις καταγεγραμμένες επιχειρησιακές πολιτικές, τα πρότυπα και τις διαδικασίες, και να παρακολουθεί το βαθμό συμμόρφωσης με τις διαπιστώσεις των πορισμάτων των ελέγχων. Τέλος θα πρέπει να υπάρχει ολοκληρωμένη εικόνα για τη λειτουργία των Πληροφοριακών Συστημάτων ώστε να δίνεται η δυνατότητα επαρκούς ενημέρωσης σε τακτική βάση της Επιτροπής Ελέγχου. Για τους λόγους αυτούς, η υπηρεσιακή Μονάδα υ Εσωτερικής Επιθεώρησης θα πρέπει:

να διαθέτει την τεχνογνωσία, την ποιοτική και ποσοτική επάρκεια προσωπικού, μέσων και διαδικασιών για τη διενέργεια εξειδικευμένων ελέγχων στα Πληροφοριακά Συστήματα. Η τεχνογνωσία και η εκπαίδευση του προσωπικού θα πρέπει να είναι τέτοιες ώστε να καλύπτονται ελεγκτικά οι τρέχουσες και οι μελλοντικές μηχανογραφικές λειτουργίες του ΠΙ. ΦΕΚ 59 ΕΦΗΜΕΡΙΣ ΤΗΣ ΚΥΒΕΡΝΗΣΕΩΣ (ΤΕΥΧΟΣ ΠΡΩΤΟ) 627 διενεργηθεί στα Πληροφοριακά Συστήματα αλλά και σε ευρήματα προγενέστερων ελέγχων.

να ακολουθεί καταγεγραμμένες διαδικασίες σχεδιασμού, οργάνωσης και διενέργειας των ελέγχων, συγγραφής των πορισμάτων καθώς και διαδικασίες επανελέγχου (follow−up). Οι διαδικασίες αυτές, τα κάθε είδους ερωτηματολόγια που χρησιμοποιούνται στους εξειδικευμένους ελέγχους, καθώς και η χρησιμοποιούμενη μεθοδολογία ανάλυσης μηχανογραφικών κινδύνων, θα πρέπει να αποτελούν την επίσημη τεκμηρίωση της λειτουργίας του ελέγχου των Πληροφοριακών Συστημάτων.

να παρακολουθεί τα θέματα που αφορούν στα Πληροφοριακά Συστήματα του ΠΙ, ώστε να διαμορφώνει εικόνα για τους κινδύνους που υπάρχουν ή ενδέχεται να ανακύψουν. Για τη διαμόρφωση όσο το δυνατόν πληρέστερης εικόνας, συνιστάται η παρακολούθηση της λειτουργίας των Πληροφοριακών Συστημάτων μέσω ειδικών προσβάσεων, η συμμετοχή στις διάφορες επιτροπές έργων και η ύπαρξη διαδικασιών και μηχανισμών άμεσης ενημέρωσης της Μονάδας Εσωτερικής Επιθεώρησης στις περιπτώσεις εμφάνισης σημαντικών προβλημάτων και εκτάκτων περιστατικών.

να κάνει χρήση – ανάλογα με την περίπτωση − ειδικού ελεγκτικού λογισμικού για τον αποτελεσματικότερο έλεγχο της ασφάλειας των συστημάτων και της ακεραιότητας των δεδομένων τους.

να συμμετέχει στη φάση σχεδιασμού των συστημάτων για τη διαμόρφωση των κατάλληλων δικλείδων ασφαλείας, των ελεγκτικών αρχείων καταγραφής και αναφορών που παράγονται για τη διευκόλυνση του ελέγχου, καθώς και στη φάση των δοκιμών.

να ελέγχει και να αξιολογεί τις διαδικασίες παραγωγής των στοιχείων που υποβάλλονται στη Διοίκηση του ΠΙ και τις Εποπτικές Αρχές, ώστε να διασφαλίζεται η πληρότητα και ακρίβειά τους.

να μεριμνά για την άμεση και πλήρη ενημέρωση, στις περιπτώσεις σοβαρών προβλημάτων και έκτακτων περιστατικών στα Πληροφοριακά Συστήματα (περιπτώσεις απάτης, παραβίασης της ασφάλειας σημαντικών συστημάτων, μη διαθεσιμότητας κρισίμων συστημάτων, ενεργοποίησης Σχεδίων Ανάκαμψης από Καταστροφή), της αρμόδιας υπηρεσιακής μονάδας της Διεύθυνσης Εποπτείας Πιστωτικού Συστήματος της Τράπεζας της Ελλάδος, σύμφωνα με τις ισχύουσες διατάξεις.

να ελέγχει και να αξιολογεί την επάρκεια και συμμόρφωση με τις διαδικασίες που διέπουν τις φάσεις συνεργασίας του ΠΙ (επιλογή συνεργάτη, σύναψη και τήρηση συμβολαίου, ποιότητα παρεχόμενων υπηρεσιών) με προμηθευτές και παρόχους μηχανογραφικών υπηρεσιών βάσει των προαναφερθέντων στην ενότητα Α3.

να επιβλέπει το ελεγκτικό έργο στα συστήματα πληροφορικής σε επίπεδο ομίλου. Για το σκοπό αυτό οφείλει να διατηρεί διαύλους επικοινωνίας με στόχο την αποτελεσματική συνεργασία με τις διοικήσεις και τον εσωτερικό έλεγχο των θυγατρικών και του δικτύου καταστημάτων εξωτερικού. Να αξιολογεί την επάρκεια του ελεγκτικού έργου μέσω περιοδικών αναφορών ή και συμμετοχής του στις Επιτροπές Ελέγχου των θυγατρικών, ειδικά σε αυτές που το μέγεθος και η πολυπλοκότητα των συστημάτων το καθιστούν αναγκαίο. Να αξιολογεί την επάρκεια των διενεργούμενων εξειδικευμένων ελέγχων από εσωτερικούς και εξωτερικούς ελεγκτές. Να προβαίνει σε γενικούς ή ειδικούς ελέγχους ανά περίπτωση, για την κάλυψη των ελεγκτικών αναγκών που είτε δεν καλύπτονται επαρκώς από τον εσωτερικό έλεγχο των εν λόγω μονάδων, είτε κρίνονται απαραίτητοι από τη σχετική ανάλυση κινδύνων.

να μελετά, αξιολογεί και εφαρμόζει, όπου κρίνει πρόσφορο, τα διεθνή πρότυπα και μεθοδολογίες ελέγχου Πληροφοριακών Συστημάτων. Σε ό,τι αφορά στους ελέγχους που ανατίθενται σε εξωτερικούς ελεγκτές, το ΠΙ θα πρέπει να διαθέτει πολιτική για το εύρος και το ρόλο του εξωτερικού ελέγχου στα Πληροφοριακά Συστήματα, καθώς και διαδικασίες αξιολόγησης των προσφερομένων υπηρεσιών. Η πολιτική θα πρέπει να τεκμηριώνει τις περιπτώσεις που ο εξωτερικός έλεγχος δρα, είτε παράλληλα με τον εσωτερικό προσφέροντας μια επιπλέον εξειδικευμένη άποψη, είτε συμπληρωματικά προκειμένου να καλύψει εξειδικευμένες ελεγκτικές απαιτήσεις όπου δεν υπάρχει η δυνατότητα να καλυφθούν εσωτερικά, ή και με τους δύο τρόπους. Παράρτημα 3 ΠΕΡΙΕΧΟΜΕΝΟ ΤΗΣ ΕΚΘΕΣΗΣ ΑΞΙΟΛΟΓΗΣΗΣ TOY ΣΕΕ ΑΠΟ ΑΝΕΞΑΡΤΗΤΟΥΣ ΕΞΩΤΕΡΙΚΟΥΣ ΕΛΕΓΚΤΕΣ Η συντασσόμενη έκθεση των ανεξάρτητων εξωτερικών ελεγκτών από εταιρεία ορκωτών ελεγκτών στους οποίους ανατίθεται η αξιολόγηση της επάρκειας του Συστήματος Εσωτερικού Ελέγχου (ΣΕΕ) του πιστωτικού και χρηματοδοτικού ιδρύματος κατά τις διατάξεις της παρ. 4.1 – ενότητα Β2α – Κεφ. ΙV της παρούσας Πράξης περιλαμβάνει τα ακόλουθα: Ι. ΑΝΤΙΚΕΙΜΕΝΟ ΤΗΣ ΑΞΙΟΛΟΓΗΣΗΣ ΚΑΙ ΒΑΣΙΚΕΣ ΔΙΑΠΙΣΤΩΣΕΙΣ ΤΗΣ ΕΚΘΕΣΗΣ

Η αξιολόγηση της επάρκειας του ΣΕΕ πραγματοποιείται με βάση τις βέλτιστες διεθνείς πρακτικές1 με στόχο να διασφαλίζονται τα σχετικά με το ΣΕΕ οριζόμενα στην παρούσα Πράξη. Η αξιολόγηση αφορά τη δεδομένη χρονική στιγμή κατά την οποία πραγματοποιείται.

Η αξιολόγηση της επάρκειας του ΣΕΕ περιλαμβάνει επισκόπηση: (i) του περιβάλλοντος ελέγχου, (ii) της διαδικασίας εκτίμησης των κινδύνων, (iii) των ελεγκτικών μηχανισμών και δικλείδων ασφαλείας, (iv) του συστήματος επικοινωνίας και πληροφόρησης, και (v) του ρόλου και της ευθύνης της Διοίκησης, των εσωτερικών ελεγκτών και του λοιπού προσωπικού.

Πριν την έναρξη του έργου, η Επιτροπή Ελέγχου του πιστωτικού ιδρύματος, θα πρέπει να προσδιορίζει τις μονάδες και θυγατρικές που θα συμπεριληφθούν στο έργο (Scoping). Ο προσδιορισμός θα στηρίζεται στη σημαντικότητα κάθε μονάδας και θυγατρικής, καθώς επίσης και σε άλλα ποιοτικά κριτήρια. Το εύρος του έργου (Scope) θα τίθεται εγκαίρως υπόψη της Τράπεζας της Ελλάδος (Διεύθυνση Εποπτείας Πιστωτικού Συστήματος).

Με την ολοκλήρωση του έργου υποβάλλεται έκθεση με έκφραση γνώμης του ανεξάρτητου εξωτερικού ελεγκτή ως προς την επάρκεια του συστήματος εσωτερικού ελέγχου όπου θα καταγράφονται οι βασικές ΣΕΕ. Θα καταγράφονται τυχόν «ουσιώδεις αδυναμίες», όπως αυτές ορίζονται στα Διεθνή Ελεγκτικά Πρότυπα. II. ΕΙΔΙΚΟΤΕΡΑ ΑΝΤΙΚΕΙΜΕΝΑ ΤΟΥ ΕΡΓΟΥ ΤΗΣ ΑΞΙΟΛΟΓΗΣΗΣ Στο αντικείμενο του έργου θα πρέπει να περιλαμβάνονται μεταξύ άλλων τα παρακάτω: Α. Οργανωτική δομή 1.1 Θα εξετάζεται η οργανωτική δομή του πιστωτικού ιδρύματος (οργανόγραμμα, Διοίκηση, Επιτροπές) και θα γίνονται παρατηρήσεις σχετικά με τη διάρθρωσή της. 1.2 Θα εξετάζεται αν το γενικότερο πλαίσιο εταιρικής διακυβέρνησης είναι σύννομο και εξασφαλίζει την έγκαιρη και ακριβή γνωστοποίηση όλων των σημαντικών θεμάτων που αφορούν το πιστωτικό ίδρυμα. 1.3 Θα εξετάζεται η επάρκεια του συστήματος παραγωγής των απαραίτητων στοιχείων και η συμμόρφωση με το κατά περίπτωση αντίστοιχο θεσμικό πλαίσιο. 1.4 Θα εξετάζεται ο ρόλος του Δ.Σ. ως προς τη διασφάλιση της επάρκειας του ΣΕΕ. 1.5 Θα γίνονται σχόλια σχετικά με την τυχόν σύγκρουση αρμοδιοτήτων, τους μηχανισμούς ελέγχου (four eyes principle) και το διαχωρισμό των λειτουργιών πωλήσεων (front line) από τις λειτουργίες επιβεβαίωσης, λογιστικοποίησης και ελέγχου (back office) σύμφωνα με τις διατάξεις της Πράξης. 1.6 Θα εξετάζεται η διαδικασία κατάρτισης του ετήσιου προϋπολογισμού στα πλαίσια της στρατηγικής του πιστωτικού ιδρύματος και οι διαδικασίες που ακολουθούνται σε περίπτωση αποκλίσεων.

Βάσει του οργανογράμματος, για κάθε μία από τις μονάδες του πιστωτικού ιδρύματος που θα συμπεριληφθούν στο έργο, αφού γίνει αναγνώριση της υφιστάμενης κατάστασης, θα εξετάζεται κατά πόσο το σύστημα εσωτερικού ελέγχου είναι επαρκές και κατάλληλα τεκμηριωμένο. Β. Διαχείριση Κινδύνων 1.1. Θα αξιολογείται ο ρόλος της Επιτροπής Διαχείρισης Κινδύνων (αν υφίσταται). 1.2. Θα εξετάζεται κατά πόσο υπάρχουν μηχανισμοί προσδιορισμού, ανάλυσης, ελέγχου και διαχείρισης κάθε μορφής κινδύνου που ενέχει η λειτουργία του πιστωτικού ιδρύματος (σε επίπεδο πιστωτικού ιδρύματος και Ομίλου κατά το κεφάλαιο Ι παρ. 3 του παρόντος παραρτήματος). 1.3. Ιδιαίτερη αναφορά θα γίνεται στην αντιμετώπιση του κινδύνου έλλειψης ρευστότητας σε κατάσταση εκτάκτου ανάγκης. 1.4. Αναφορά θα γίνεται στην ανεξαρτησία, τις αρμοδιότητες και το έργο της Μονάδας Διαχείρισης Κινδύνων και του επικεφαλής της. 1.5. Αν το πιστωτικό ίδρυμα δραστηριοποιείται και στο εξωτερικό, θα εξετάζεται αν υπάρχουν διαφορετικές διαδικασίες διαχείρισης των κινδύνων σε κάθε χώρα. 1.6. Σε περίπτωση σχεδιασμού νέων προϊόντων θα εξετάζεται η διαδικασία αξιολόγησης των κινδύνων πριν την εμπορική τους προώθηση. 2.1. Κατά την αξιολόγηση μονάδων που εμπλέκονται στη διαδικασία παροχής πίστης, στα πλαίσια αξιολόγησης των διαδικασιών, θα εξετάζεται η αντικειμενικότητα της διαδικασίας αξιολόγησης αιτημάτων και έγκρισης πιστωτικών ορίων στους πελάτες, τα εργαλεία που χρησιμοποιούνται για την αξιολόγηση (συστήματα credit scoring ή credit rating), ο τρόπος παρακολούθησης των εξασφαλίσεων των πιστοδοτικών υπολοίπων, η τήρηση των εγκεκριμένων όρων πιστοδότησης, η λήψη μέτρων για τα μη εξυπηρετούμενα δάνεια και η μεταφορά των υπολοίπων σε λογαριασμούς καθυστερήσεων, καθώς και η δυνατότητα παρακολούθησης των κινδύνων σε επίπεδο συνολικού χαρτοφυλακίου του πιστωτικού ιδρύματος. 2.2. Ειδική αναφορά θα γίνεται στις διαδικασίες πιστοδοτικών διευκολύνσεων προς πρόσωπα που διατηρούν ειδική σχέση με το πιστωτικό ίδρυμα και στη διασφάλιση της μη προνομιακής τους μεταχείρισης. Γ. Λογιστικό Σύστημα

Κατά τον έλεγχο των συστημάτων λογιστικής παρακολούθησης των εργασιών θα αξιολογείται η επάρκεια του ΣΕΕ ως προς την κατάρτιση αξιόπιστων οικονομικών καταστάσεων και ως προς την παροχή, μέσω του συστήματος διοικητικής πληροφόρησης του πιστωτικού ιδρύματος (Management Information System) αξιόπιστων οικονομικών στοιχείων για τη λήψη αποφάσεων. Δ. Συστήματα Πληροφορικής Θα αξιολογείται η επάρκεια των συστημάτων πληροφορικής έχοντας ως βάση το Παράρτημα 2 της παρούσας Πράξης, και ειδικότερα οι περιοχές:

Οργάνωση και Διοίκηση Πληροφορικής.

Ανάπτυξη και Προμήθεια Συστημάτων.

Λειτουργία Συστημάτων.

Φυσική και Λογική Ασφάλεια.

Ηλεκτρονική Τραπεζική.

Σχέδια Συνέχειας Εργασιών και Ανάκαμψης από Καταστροφή. Ε. Κανονιστική συμμόρφωση

Θα αξιολογείται η Μονάδα Κανονιστικής Συμμόρφωσης (αν δεν υφίσταται, το προσωπικό που έχει επιφορτισθεί με τα σχετικά καθήκοντα) ως προς την ανεξαρτησία της, τη δυνατότητα πρόσβασης σε όλες τις απαιτούμενες πηγές πληροφόρησης, την έγκαιρη και έγκυρη επικοινωνία των ευρημάτων της και την αποτελεσματική ενσωμάτωση των αλλαγών που συντελούνται στο κανονιστικό πλαίσιο.

Ειδική αναφορά θα γίνεται ως προς την επάρκεια των διαδικασιών σχετικά με την πρόληψη και καταστολή της νομιμοποίησης εσόδων από εγκληματικές δραστηριότητες και της χρηματοδότησης τρομοκρατίας και ειδικότερα ως προς τη διαδικασία ταξινόμησης κατά βαθμίδα κινδύνου των συναλλαγών και των συναλλασσομένων ή συνδυασμού τους. ΣΤ. Εσωτερικός Έλεγχος

Θα αξιολογείται η Επιτροπή Ελέγχου ως προς την ιδιότητα των μελών της, τις αρμοδιότητές της, την εμπλοκή της στη διαδικασία του ελέγχου, την ετήσια έκθεση για την επάρκεια του ΣΕΕ και την ενημέρωση προς το Δ.Σ. Αναφορικά με τη Μονάδα Εσωτερικής 1 Αναφέρονται ενδεικτικά, τα Διεθνή Ελεγκτικά Πρότυπα (International Standards on Auditing and International Standards of Assurance Engagements), τα Διεθνή Επαγγελματικά Πρότυπα Εσωτερικού Ελέγχου (Standards for Professional Practice of Internal Auditing) και τα υποδείγματα οργάνωσης του Συστήματος Εσωτερικού Ελέγχου COSO (Committee of Sponsoring Organizations of the Treadway Commission) οργανόγραμμα και τη σχέση της τόσο με τη Διοίκηση, όσο και με την Επιτροπή Ελέγχου.

Θα αξιολογούνται οι πρακτικές και η μεθοδολογία εσωτερικού ελέγχου, η οποία θα συγκρίνεται με ενδεδειγμένες πρακτικές.

Θα γίνεται, δειγματοληπτικά, αξιολόγηση της επάρκειας των εκθέσεων ελέγχου της Μονάδας Εσωτερικής Επιθεώρησης της Τράπεζας και των θυγατρικών της.

Θα εξετάζεται η διαδικασία παρακολούθησης της συμμόρφωσης των ελεγχόμενων μονάδων με τις εισηγήσεις των εσωτερικών ελεγκτών. Ζ. Όμιλος Για τις θυγατρικές που θα περιλαμβάνονται στο έργο θα αξιολογείται η επάρκεια του ΣΕΕ τους κατά τον ίδιο τρόπο που θα ακολουθηθεί και για το πιστωτικό ίδρυμα. ΙΙΙ. ΕΥΡΗΜΑΤΑ Την έκθεση έκφρασης γνώμης θα συνοδεύει αναλυτική έκθεση ευρημάτων. Διευκρινίζεται ότι η ως άνω έκθεση αξιολογείται από την Επιτροπή Ελέγχου, η δε ποιότητα αξιολόγηση αυτής αποτελεί κριτήριο για τον έλεγχο της εκπλήρωσης των υποχρεώσεων της εν λόγω Επιτροπής από την Τράπεζα