BEC

Finanstilsynet vurderer, at BEC har grundlæggende mangler i sin risiko- og sikkerhedsstyring på IT-området. Manglerne indebærer, at BEC og BEC’s kunder har en forøget risiko på IT-området. Finanstilsynet har undersøgt, om BEC’s arbejde med en ny risikostyringsmodel vil gøre BEC i stand til at udarbejde en tilfredsstillende IT-risikovurdering og til at vurdere, i hvilken grad BEC efterlever sin IT-sikkerhedspolitik. BEC har i en længere periode arbejdet med at implementere den nye risikostyringsmodel. Finanstilsynet vurderer dog, at BEC endnu ikke har de nødvendige forudsætninger til at kunne gennemføre en tilfredsstillende IT-risikovurdering. F.eks. har BEC endnu ikke fastlagt væsentlige metodedele. BEC har fået to påbud. For det første skal BEC sikre, at datacentralens IT-risiko styres tilstrækkeligt. Forudsætningen herfor er bl.a. tilstrækkelige metodekrav til identificering af de IT-risici, der knytter til BEC’s processer, aktiviteter, tjenester, systemer og data. For det andet skal BEC sikre, at datacentralens IT-sikkerhed styres tilstrækkeligt, så BEC’s IT-sikkerhedspolitik modsvarer BEC’s risikotolerance og IT-risici. Det kræver bl.a., at der skal være en tydelig sammenhæng mellem risici og de krav og kontroller, som imødegår/mitigerer risikoen til et acceptabelt niveau. AI-genererede svar baseret på vores hjemmeside. Verificer via links.

IT-sikkerhedsstyring, IT-risikovurderinger, IT-sikkerhedspolitik Det er Finanstilsynets vurdering, at BEC har fokus på IT-sikkerhedsstyring og løbende iværksætter forbedringstiltag på baggrund af trusselsudviklingen og BEC’s IT-risikobillede. Finanstilsynet har dog konstateret, at BEC på enkelte områder opererer med forhøjet risiko i relation til IT-anvendelsen. BEC skal i højere grad forbedre styringen og kontrollen med de outsourcede aktiviteter og sikre, at outsourcingsleverandørernes IT-sikkerhedsstyring er tilstrækkelig betryggende og modsvarer BEC’s krav. Finanstilsynet har ligeledes påbudt BEC at styrke den løbende IT-risikostyring blandt andet ved i højere grad at dokumentere og synliggøre sammenhængen mellem risici og kontroller, samt at styrke dokumentationsgrundlaget for den samlede IT-risikovurdering. BEC skal endvidere forbedre krav og forretningsgange i relation til ændringsstyringen samt forbedre styringen og kontrollen med implementeringen af sikkerhedspatches. AI-genererede svar baseret på vores hjemmeside. Verificer via links.