Bankdata

Finanstilsynet vurderer, at Bankdata har væsentlige svagheder i sin IT-sikkerhedsstyring og IT-risikostyring, hvilket medfører forøget risiko. Bankdata kan ikke i tilstrækkelig grad opgøre virksomhedens samlede IT-risikoeksponering og ved dermed ikke om virksomhedens IT-risikotolerance er overskredet. Bankdata skal sikre uafhængighed mellem datacentralens 1. og 2. forsvarslinje. I forlængelse heraf skal det sikres, at der er tilstrækkelige kompetencer i 1. forsvarslinje, med henblik på at løfte IT-sikkerhedsarbejdet. Bankdata skal endvidere forbedre sammenhængen mellem politikker, forretningsgange og kontroller samt forbedre kontrol og rapportering på efterlevelsen heraf. Finanstilsynet har givet påbud om at afhjælpe de heraf afledte mangler. Bankdata skal forbedre sin IT-risikostyring og sikre, at IT-risikostyringspolitikken bliver tilstrækkeligt målstyrende, sætter klare rammer for arbejdet med IT-risikostyring og tydeliggør virksomhedens IT-risikotolerance. Endvidere skal Bankdata forbedre IT-risikostyring på tværs af virksomheden samt sikre bedre sammenhæng og dokumentation af arbejdet med IT-risikostyring. Rapporteringen skal forbedres, bl.a. med henblik på at kunne give et tydeligt billede af Bankdatas IT-risici i henhold til Bankdatas IT-risikotolerance. Finanstilsynet har givet påbud om at sikre en bedre IT-risikostyring. Finanstilsynet har set på udvalgte dele af Bankdatas outsourcing. Bankdata skal sikre en bedre kontrol og indsigt i, om de outsourcede aktiviteter udføres tilfredsstillende og overholder Bankdatas krav. Der skal etableres krav og forretningsgange til IT-risikovurderinger, herunder hvordan risici ved outsourcing indgår i Bankdatas IT-risikostyring og overholder Bankdatas IT-risikotolerance. Finanstilsynet har givet påbud om at sikre bedre styring af outsourcing. Bankdata har mangler i beredskabsstyringen. Bankdata skal forbedre overblikket over forretningsprocesser, systemer og afhængigheder som grundlag for beredskabsstyringen. Risikovurderinger og konsekvensanalyser skal forbedres med sammenhæng til tidligere beslutninger, sikringstiltag mv.

Finanstilsynet gennemgik udvalgte dele af it-området, herunder den generelle it-sikkerhedsstyring, it-strategi, organisation, beredskabsplaner, sikkerhedspolitikker og retningslinjer. Endvidere gennemgik Finanstilsynet Bankdatas procedurer for styring af adgange til systemer og data, ændringshåndtering, systemrevision, kontrol med outsourcede it-funktioner samt krav og procedurer til kontrol og rapportering. Det er Finanstilsynets vurdering, at Bankdata har fokus på styring og minimering af risici på it-området, samt at it-sikkerhedspolitik og sammenhængende it-sikkerhedsbestemmelser grundlæggende er på et tilfredsstillende niveau. Det er dog samtidigt Finanstilsynets vurdering, at Bankdata på flere centrale områder skal højne graden af dokumentation og formalisering i relation til it-sikkerheds- og risikostyring. Finanstilsynet har påbudt Bankdata at forbedre metoden for it-risikostyring og ledelsesrapportering samt at sikre en bedre dokumentation af sammenhæng mellem it-risici og de etablerede kontrol- og sikringsforanstaltninger. Grundlaget for den samlede it-sikkerhedsstyring skal i højere grad dokumenteres. Finanstilsynet har endvidere påbudt Bankdata at styrke procedurer og forretningsgange i relation til kontrol med og opfølgning på outsourcingleverandører, herunder at der er udarbejdet tilstrækkelige retningsliner for kontrol, opfølgning og rapportering. Endvidere skal it-risici hos leverandører i højere grad inddrages og synliggøres som led i Bankdatas samlede it-sikkerhedsstyring og ledelsesrapportering. Bankdata har ligeledes fået et påbud relateret til opdatering af systemprogrammel. Finanstilsynet har endvidere påbudt Bankdata at styrke krav i relation til test af it-beredskabet samt sikre en øget dokumentation af centrale elementer relateret til beredskabsplanlægningen. Endelig har Finanstilsynet påbudt Bankdata at forbedre adgangsstyringen til systemer og data, herunder sikre et tilstrækkeligt overblik over tildelte rettigheder og tilstrækkelig kontrol med anvendelse af adgange, samt sikre, at kritiske adgange og kritiske kombinationer af rettigheder dokumenteres og risikovurderes.