SDC A/S

Finanstilsynet vurderer, at SDC har mangler i sin IT-sikkerheds- og IT-risikostyring samt IT-beredskabsstyring. Disse mangler indebærer en forhøjet IT-risiko. På den baggrund har Finanstilsynet givet SDC 2 påbud for at sikre en tilstrækkelig styring af områderne. SDC har ikke sikret en tilstrækkelig IT-sikkerhed- og IT-risikostyring. Det skyldes blandt andet, at SDC ikke har en tilstrækkelig klar udmøntning af sin målsætning for det ønskede IT-sikkerhedsniveau . Derudover har SDC ikke i tilstrækkelig grad sikret, at kravene i IT-sikkerhedspolitikken modsvarer de IT-risici, som SDC har identificeret i den årlige risikovurdering SDC har valgt en risikovurderingstilgang, som er centreret omkring risikovurdering af systemer. Som konsekvens af den valgte risikovurderingstilgang, foretages der ikke en tilstrækkelig dokumenteret risikovurdering af forretningsprocesser, som understøtter SDC’s serviceleverancer og de tilsluttede pengeinstitutter Inspektionen har også vist, at SDC mangler en tilstrækkelig styring af sin proces for IT-risikovurdering som grundlag for datacentralens scenariebaserede tilgang til vurdering af IT-risici. SDC’s årlige IT-risikovurderingsproces tager udgangspunkt i risikoscenarier, hvor formålet er at beregne det gennemsnitlige årlige tab ved scenarierne gennem en Monte Carlo-simulering af hændelser. Finanstilsynet har identificeret en række mangler i IT-risikostyringsprocessen i forhold til eksempelvis kvalitetssikring af datagrundlaget, parametre, forudsætninger samt tabsberegninger Manglerne medfører en risiko for, at SDC’s ledelse ikke har et tilstrækkeligt og retvisende beslutningsgrundlag til at risikostyre og prioritere sikkerhedsindsatsen og løbende evaluerer sikkerhedsniveauet. SDC har derfor fået påbud om at sikre tilstrækkelige metoder og processer for IT-sikkerheds- og IT-risikostyring, som grundlag for rapportering om IT-risici.

Styring af IT-sikkerhed og -risici, herunder sikkerhedspolitikken Adgangsstyring og udvalgte aktiviteter vedr. drift og udvikling Finanstilsynet vurderer, at SDC A/S (herefter SDC) har væsentlige svagheder i sin IT-risikostyring og organisering af IT-sikkerhedsarbejdet. På enkelte områder opererer SDC med en forhøjet risiko. Grundlæggende skal SDC forbedre sin generelle IT-risikostyring, hvor SDC skal sikre, at IT-risikostyringsfunktionen og krav til arbejdet med IT-risikostyring forbedres. SDC mangler en efterlevelse af den vedtagne opgavebeskrivelse for området. Finanstilsynet har givet påbud om at efterleve opgavebeskrivelsen og i forlængelse heraf at forbedre kontrolfunktionen og kvalitetssikringen. SDC skal forbedre IT-sikkerhedsstyring, hvor SDC i højere grad skal sikre, at opgaver, ansvar og organisering af IT-sikkerhedsarbejdet styrkes og er i overensstemmelse med de fastsatte krav. SDC mangler en klar adskillelse mellem 1. og 2. forsvarslinje. Finanstilsynet har givet påbud om at afhjælpe de deraf afledte mangler i de uafhængige kontroller. SDC skal forbedre efterlevelsen af de interne krav og forretningsgange i relation til outsourcing samt forbedre bestyrelsesrapporteringen. SDC mangler operationelle exit-planer samt faste procedurer for dele af bestyrelsesrapporteringen. Finanstilsynet har givet påbud om, at SDC skal sikre exit-planer samt procedurer for den generelle outsourcingrapportering til bestyrelsen. Endvidere skal SDC forbedre forretningsgange i relation til adgangsstyring til systemer og data. SDC mangler at risikovurdere adgange til systemer og data. Finanstilsynet har givet påbud om, at SDC skal sikre risikovurderinger på området. SDC har mangler i beredskabsplanlægningen. SDC har i forbindelse med beredskabsplanlægningen ikke en fast ensartet metode og krav til at udvælge, hvilke testscenarier der skal udføres i forbindelse med beredskabstestene.