Ocena ryzyka ICT przez KNF wypadła słabo. Co teraz?

 

Ocena ryzyka ICT w banku została zakończona.

Wynik oceny przeprowadzonej przez KNF nie jest dobry.

Pojawiają się obszary wysokiego ryzyka, zaległe działania, podatności, problemy z dostawcami albo zabezpieczenia, których skuteczność trudno potwierdzić.

Pierwsza reakcja?

„Musimy poprawić wynik przed kolejną oceną.”

I właśnie tutaj łatwo popełnić podstawowy błąd.

Celem nie powinno być poprawienie tabeli.

Celem powinno być realne zmniejszenie ryzyka ICT w banku.

Nie poprawiajmy wszystkiego jednocześnie

Słaby wynik oceny często oznacza długą listę problemów.

Nie wszystkie mają jednak takie samo znaczenie.

W pierwszej kolejności warto odpowiedzieć na kilka pytań:

• które ryzyka dotyczą procesów krytycznych,
• które systemy są najbardziej eksponowane,
• gdzie występują podatności Critical i High,
• które zabezpieczenia nie zostały przetestowane,
• gdzie bank jest najbardziej zależny od ZDU,
• które problemy mogą realnie zatrzymać działanie banku.

Dopiero na tej podstawie należy ustalać kolejność działań.

Nie chodzi o wykonanie największej liczby zadań. Chodzi o redukcję najważniejszych ryzyk.

Od wyniku KNF do konkretnego planu redukcji ryzyka

Dobra ocena ryzyka nie powinna kończyć się raportem.

Powinna uruchamiać konkretny plan:

ryzyko → priorytet → działanie → właściciel → termin → miernik → dowód

Przykład:

Zamiast:

„Należy poprawić bezpieczeństwo backupu.”

lepiej określić:

„Do końca kwartału wykonać pełny test odtworzenia krytycznej usługi i potwierdzić osiągnięcie RTO wynikającego z BIA.”

Pierwszy zapis jest deklaracją.

Drugi można zmierzyć i zweryfikować.

Zarząd powinien widzieć nie tylko problemy, ale postęp

Jeżeli ocena KNF wskazała istotne ryzyka ICT, Zarząd powinien otrzymywać regularną informację:

• co zostało poprawione,
• co nadal pozostaje otwarte,
• które działania są po terminie,
• czy poziom ryzyka się obniżył,
• które problemy wymagają decyzji Zarządu.

Najlepiej pokazywać postęp za pomocą kilku prostych KPI/KRI.

Nie kilkudziesięciu wskaźników.

Kilku, które rzeczywiście odpowiadają na pytanie:

czy bank jest dziś bezpieczniejszy niż kilka miesięcy temu?

Najważniejsze pytanie: czy działania naprawdę są skuteczne?

Samo zamknięcie zadania nie oznacza jeszcze redukcji ryzyka.

Jeżeli wdrożono zabezpieczenie – trzeba je sprawdzić.

Jeżeli usunięto podatność – wykonać retest.

Jeżeli zmieniono procedurę – przeprowadzić ćwiczenie.

Jeżeli poprawiono backup – przetestować odtworzenie.

Jeżeli rozwiązano problem z ZDU – zweryfikować, czy bank rzeczywiście posiada rozwiązanie alternatywne.

Dopiero wtedy można stwierdzić:

działanie wykonano i potwierdzono jego skuteczność.

Jak w 12 miesięcy realnie obniżyć ryzyko ICT w banku?

Słaby wynik oceny KNF nie musi oznaczać porażki.

Może być bardzo dobrym punktem startowym.

Warunek jest jeden: bank powinien wykorzystać wynik do budowy realnego programu redukcji ryzyka, a nie do kosmetycznego zamykania pozycji w rejestrze.

Po 12 miesiącach Zarząd powinien móc zobaczyć:

było → zaplanowaliśmy → wykonaliśmy → sprawdziliśmy → ryzyko spadło.

To jest rzeczywista i mierzalna poprawa.

Nie wiesz, od którego ryzyka zacząć?

To jeden z najczęstszych problemów po słabej ocenie.

Lista działań może być długa, a czasu, ludzi i budżetu zawsze jest mniej niż potrzeb.

Właśnie wtedy szczególnie ważne jest oddzielenie:

działań pilnych od ważnych, a ważnych od takich, które mogą poczekać.

Pomocna może być niezależna ocena, która połączy wynik KNF z:

• BIA,
• krytycznością procesów,
• ekspozycją systemów,
• podatnościami,
• zależnościami od ZDU,
• wynikami testów,
• realnymi możliwościami banku.

Podsumowanie

Słaba ocena ryzyka ICT nie powinna prowadzić do pytania:

„Jak poprawić wynik przed kolejną oceną?”

Lepsze pytanie brzmi:

„Co musimy zrobić, aby za 12 miesięcy ryzyko naszego banku było rzeczywiście niższe?”

To zmienia całe podejście.

Zamiast poprawiać dokumentację, bank zaczyna poprawiać odporność.

Pytania i odpowiedzi

Co zrobić po słabej ocenie ryzyka ICT przez KNF?

Najpierw ustalić priorytety. Należy skoncentrować się na ryzykach dotyczących procesów krytycznych, najbardziej eksponowanych systemów oraz obszarów o największym potencjalnym wpływie na bank.

Czy wystarczy przygotować plan działań naprawczych?

Nie. Plan powinien mieć właścicieli, terminy, mierniki oraz sposób potwierdzenia skuteczności wykonanych działań.

Jak pokazać Zarządowi realną poprawę?

Poprzez porównanie poziomu ryzyka, status działań, KPI/KRI, wyniki retestów oraz ponowną ocenę skuteczności zabezpieczeń.

Czy zamknięcie działania oznacza zmniejszenie ryzyka?

Nie zawsze. Działanie powinno zostać zweryfikowane poprzez test, retest, kontrolę lub ponowną ocenę ryzyka.

Jak często kontrolować realizację planu?

Częstotliwość powinna wynikać z poziomu ryzyka, krytyczności procesu i metodologii przyjętej przez bank. Obszary wysokiego ryzyka powinny podlegać częstszemu nadzorowi.

Jak długo powinien trwać plan poprawy?

W wielu przypadkach praktycznym rozwiązaniem jest 12-miesięczny program redukcji ryzyka, z miesięcznymi lub kwartalnymi kamieniami milowymi oraz okresową weryfikacją skuteczności.

Ocena KNF wypadła słabo? Nie czekaj do kolejnego przeglądu

Jeżeli wynik oceny ryzyka ICT wskazał wiele problemów i trudno ustalić, od czego zacząć, warto przełożyć ocenę na konkretny, mierzalny plan działania.

Skontaktuj się bezpośrednio ze specjalistami Servus Comp Kraków.

Pomagamy bankom spółdzielczym:

• analizować wyniki oceny ryzyka ICT,
• ustalać priorytety działań,
• tworzyć 12-miesięczne plany redukcji ryzyka,
• powiązać ryzyka z BIA i procesami krytycznymi,
• definiować KPI/KRI,
• przypisywać właścicieli i terminy,
• wykonywać retesty i weryfikację skuteczności,
• przygotować Zarząd do kolejnego przeglądu.

Servus Comp Kraków
Bezpieczeństwo • Odporność • Ryzyko ICT • Zgodność

Nie chodzi o to, żeby kolejna ocena wyglądała lepiej. Chodzi o to, żeby bank był rzeczywiście bezpieczniejszy.

Zapraszamy Państwa do zapoznania się z innymi wpisami na naszm blogu:

1. Strategia ICT to za mało. KNF pyta o operacyjną odporność cyfrową Banku:

   https://premiumbank.zadbajobezpieczenstwo.pl/strategia-ict-to-za-malo-knf-pyta-o-operacyjna-odpornosc-cyfrowa-banku/

2. Backup jest? To za mało. KNF zapyta, czy Bank potrafi się odtworzyć:
   https://premiumbank.zadbajobezpieczenstwo.pl/backup-jest-to-za-malo-knf-zapyta-czy-bank-potrafi-sie-odtworzyc-strategia-ciaglosci-dzialania-ict-po-ocenie-knf-ryzyka-ict-za-2025-r/

3. Skan to za mało. KNF zapyta, czy Bank naprawdę testuje odporność ICT:
   https://premiumbank.zadbajobezpieczenstwo.pl/skan-podatnosci-to-nie-test-odpornosci-knf-zapyta-czy-bank-naprawde-testuje-ict/

4. Jeden dostawca, wiele systemów, jedno duże ryzyko. KNF pyta o koncentrację ICT:
   https://premiumbank.zadbajobezpieczenstwo.pl/jeden-dostawca-wiele-systemow-jedno-duze-ryzyko-knf-pyta-o-koncentracje-ict/

5. Audyt ZDU — czy wiesz, kogo naprawdę powinien kontrolować Bank?:
   https://premiumbank.zadbajobezpieczenstwo.pl/audyt-zdu-w-banku-spoldzielczym-jak-kontrolowac-dostawcow-zewnetrznych-zgodnie-z-dora/

6. Zarząd musi wiedzieć. KNF zapyta, kto naprawdę nadzoruje ryzyko ICT w Banku:
   https://premiumbank.zadbajobezpieczenstwo.pl/raport-ict-do-zarzadu-knf-pyta-kto-nadzoruje-ryzyko-ict-w-banku/

7. Znalazłeś podatność? KNF zapyta, kiedy ją usunąłeś:
   https://premiumbank.zadbajobezpieczenstwo.pl/znalazles-podatnosc-knf-zapyta-kiedy-ja-usunales-zarzadzanie-podatnosciami-ict-po-ocenie-knf-ryzyka-ict-za-2025-r/

8. Masz procedury DORA? KNF zapyta: kiedy ostatnio naprawdę je przeczytałeś?:
   https://premiumbank.zadbajobezpieczenstwo.pl/coroczny-przeglad-dokumentacji-ict-dora-w-banku-spoldzielczym-po-ocenie-nadzorczej-knf-ryzyka-ict-za-2025-r/

9. DORA nie zna wymówki: pracownik nie miał czasu na szkolenie:
   https://premiumbank.zadbajobezpieczenstwo.pl/szkolenia-ict-dora-po-ocenie-knf-ryzyka-ict-za-2025-r-czy-bank-przeszkolil-wszystkich-czy-tylko-ma-plan-szkolenia/

10. Dokument jest? KNF zapyta o dowód, że działa:
    https://premiumbank.zadbajobezpieczenstwo.pl/dokument-jest-knf-zapyta-o-dowod-ze-dziala/

Zadzwoń lub napisz do Servus Comp, aby omówić temat.

• Strona główna: https://premiumbank.zadbajobezpieczenstwo.pl

Servus Comp Data Security, Świętokrzyska 12/403, 30-015 Kraków

tel. +48 608 407 668, +48 12 631 91 22 • biuro@servus-comp.pl

PODEJMIEMY DLA PAŃSTWA KAŻDE WYZWANIE!

JESTEŚ ZAINTERESOWANY? ZADZWOŃ, NAPISZ DO NAS

#OcenaRyzykaICT #KNF #RyzykoICT #BankSpółdzielczy #ZarządzanieRyzykiem #DORA #Cyberbezpieczeństwo #PlanRedukcjiRyzyka #DziałaniaNaprawcze #KPI #KRI #BIA #Podatności #ZDU #OdpornośćCyfrowa #ZarządBanku #ServusCompKraków