IT alased regulatsioonid finantsasutustele

1. IT alased regulatsioonid finantsasutustele Toomas Kirt Finantsinspektsioon Toomas.Kirt@fi.ee

2. Sisu • Raamistik • IT juhendi eesmärk • IT juhendi loomise ohud • IT juhendi sisu

3. Raamistik • Tegevust reguleerivad seadused (KrAS, isikuandmete kaitse seadus, VÕS jt.) • Rahvusvaheliselt on koostatud palju standardeid, mis kirjeldavad IT korralduse head tava. Võime välja tuua BS7799 või COBIT • Eesti Panga presidendi määrus nr. 23 03. oktoober 1997. a. Nõuded infotehnoloogia ala korraldamiseks krediidiasutustes • Koostamisel on Finantsinspektsiooni soovituslik juhend IT- ala korraldamiseks finantssektori ettevõtetes

4. IT juhendi eesmärk • Tugevdada finantssektori efektiivsust ja vähendada süsteemseid riske, mis seotud IT-ga • Tagada ettevõtetes IT-ga seotud riskide teadvustamine • Enne muudatuste teostamist peavad ettevõtted pöörama piisavalt tähelepanu võimalikele ohtudele ning tagama riskide maandamise • Anda raamistik rollide ja vastuse jaotuseks ettevõttes (äri vs. IT)

5. Ohud IT juhendi loomisel • IT juhend ei saa olla liiga detailne, sest peab olema vastuvõetav erineva suurusega ettevõtetele • IT juhend ei saa olla seotud konkreetse tehnilise lahendusega, sest infotehnoloogia valdkonnas toimuvad muudatused väga kiiresti

6. IT juhendi sisu • Organisatsioon ja juhtimine • Süsteemiarendus ja muudatuste haldus • Süsteemide kasutamine, hooldamine ja turvalisus • Infotehnoloogia audit

7. Organisatsioon ja juhtimine • IT strateegia – lähtub äristrateegiast • Vastutus infovara turvalisuse tagamise eest kuulub infovara omanikule • Infoturbepoliitika – üldised infoturbe põhimõtted fikseeritakse infoturbepoliitikas • Infoturbe teadlikkus – koolitada töötajaid infoturbe valdkonnas • Riskide hindamine – iga olulise muudatusega peab kaasnema riskide hindamine • Väljasttellimine – kuigi teenused on tellitud väljast jääb vastutus ikkagi ettevõttele

8. Süsteemiarendus ja muudatuste haldus • Süsteemiarenduse ja hankimise standardid – peavad tagama loodava süsteemi vastavuse ärivajadustega ning samuti dokumenteerimise • Muudatuste haldus – enne muudatuse juurutamist on vaja hinnata selle mõju, muudatustest peab jääma maha kontrolljälg

9. Süsteemide kasutamine, hooldamine ja turvalisus • Turve – turvameetmed peavad olema vastavuses infovara väärtusega ja olulisusega äritegevuse sisukohast • Juurdepääsuõigused – pääsuõiguste andmise otsuse teeb infovara omanik • Talitluspidevus – plaanid äriprotsesside toimimise tagamiseks • Turvasündmused – tagada teadistus, reageerimine ja registreerimine • Kontrolljäljed – toimingutest tundliku informatsiooniga peab jääma maha kontrolljälg

10. Infotehnoloogia audit • Sisekontroll – peab toimima protsess, mis võimaldaks tuvastada kõrvalekalded IT funktsioonide ootuspärasest täitmisest • Sõltumatu audit – anda sõltumatu hinnang IT ala korraldusele

11. Kokkuvõte • Juhend peab tagama IT-ga seotud riskide teadvustamise ärijuhtkonnas • IT juhendit on vaja, et turul lähtutaks sarnastest IT ala korralduse põhimõtetest • IT juhend on aluseks järelevalve teostamisel

12. Tänud!