AFM doet aanbevelingen voor ICT-beveiligingsmaatregelen kapitaalmarktsector
Kapitaalmarktinstellingen moeten voldoende aandacht besteden aan de opzet van het ICT-risicoregister, service level management bij uitbesteding binnen de groep en het meenemen van scenario’s voor cyberaanvallen bij het testen van het business continuity plan. De AFM doet deze aanbevelingen op basis van een verdiepend onderzoek naar de volwassenheid van ICT-beveiligingsmaatregelen, dat voortvloeit uit het self-assesment kapitaalmarktinstellingen uit 2022.
Het verdiepende onderzoek is uitgevoerd bij een selectie van instellingen op een subset van de beveiligingsmaatregelen. Hoewel het verdiepende onderzoek geen significante tekortkomingen laat zien op de geselecteerde maatregelen, komen er wel enkele punten van aandacht naar voren. De drie voornaamste aanbevelingen met betrekking tot het verbeteren van de ICT-beveiligingsmaatregelen zijn:
• Stel een uitgebreid ICT-risicoregister op
Een ICT-risicoregister bevat een overzicht van alle uitgevoerde risico-analyses, inclusief inherente risico’s en restrisico’s, en de daaraan gekoppelde verbeterplannen. De opzet en diepgang van de risicoregisters die zijn onderzocht verschillen. Hierdoor is het lastig om te bepalen of alle risico’s voldoende gemitigeerd worden en restrisico’s binnen de risicotolerantie van een instelling passen.
• Neem scenario’s voor cyberaanvallen mee in bedrijfscontinuïteitstesten
Het testen van cyberaanval-scenario’s is een belangrijke aanpak om ervoor te zorgen dat een instelling kan herstellen van cyber-aanvallen, zoals een ransomware-aanval. Deze scenario’s maken niet altijd deel uit van de bedrijfscontinuïteitstesten.
• Richt adequaat service level management in bij uitbesteding binnen de groep
Een aantal van de geselecteerde instellingen maakt deel uit van een internationale groep en besteedt aanzienlijke delen van hun ICT-diensten binnen deze groep uit. Ook voor het afnemen van intra-groep diensten dient service level management ingericht te zijn. Het service level management bij uitbesteding binnen de groep was in bepaalde gevallen minder geformaliseerd dan externe uitbestedingsregelingen.
