Aantoonbaar in control over uw IT én de veiligheid van uw deelnemergegevens! Rocus van Oossanen (DNB) en Jeroen Biekart (NOREA)

Transcriptie

1 Aantoonbaar in control over uw IT én de veiligheid van uw deelnemergegevens! Rocus van Oossanen (DNB) en Jeroen Biekart (NOREA)

2 Agenda Over uw sprekers; De toezichtaanpak van DNB: Focus! IT risico in Focus! Pensioenfondsen en uitbesteding: de Schijf van Vijf ; Informatiebeveiliging 2014; Highlights Informatiebeveiliging Kernboodschappen: Het Pensioenfonds is verantwoordelijk voor IT risico beheersing; Pas tenminste de aangereikte set voor Informatiebeveiliging toe en maak dat aantoonbaar.

3 Over uw sprekers DNB Expertise Centrum ICT: Groep van 15 personen olv Evert Koning; Toezicht op IT risico s bij financiële instellingen; Rocus van Oossanen is belast met het IT toezicht op Pensioenfondsen. Beroepsorganisatie van Register IT-auditors (RE s); RE s in Nederland; Een IT-auditor houdt zich bezig met beheersingsvraagstukken over IT; Jeroen Biekart is voorzitter van de NOREA.

4 De toezichtaanpak van DNB: Focus! Focus! is de toezichtaanpak van DNB Top down aanpak voor beoordeling prudentie le en integriteitsrisico s, het algemene risicobeheer en de toereikendheid van kapitaal en liquiditeit: macro en sectorale risico s; bedrijfsmodel & strategie; gedrag, cultuur & governance; infrastructuur & IT. Wettelijke basis: Artikelen 138 / 143 van de Pensioenwet; organisatie zodanig in te richten dat deze een beheerste en integere bedrijfsvoering waarborgt; Regels zijn gesteld met betrekking tot het beheersen van bedrijfsprocessen en bedrijfsrisico s; Let op: nieuwe Europese privacy wetgeving inzake meldplicht datalekken is in behandeling.

5 IT risico in Focus! Operationeel risico is de kans op onverwachte verliezen in inkomsten of verhoogde onkosten die kunnen ontstaan door het falen van mensen, processen, (IT-)systemen en ten gevolge van externe gebeurtenissen. Conform de Pensioenwet is DNB van oordeel dat ondernemingen dienen te beschikken over adequate procedures en maatregelen ter beheersing van ITrisico's. Agility Accuracy Access Availability Projecten en complexiteit Data kwaliteit Informatiebeveiliging Business Continuity Management

6 Pensioenfondsen en uitbesteding: de schijf van vijf Pensioenfonds is verantwoordelijk Welke IT wordt uitbesteed? Wat zijn de resterende risico s volgens de risicoanalyse? Evaluatie uitbesteding (5) Uitbestedingsbeleid (1) Is een service provider een PUO? Welke belangen spelen hier een rol? Hoe deskundig is het bestuur over de IT? Monitoring uitbesteding (4) Governance uitbesteding (3) Keuze van de uitvoerder (2) Risicomanagement t.a.v. IT? Hoe beheers je uitbestede IT? Sluiten Beleid, Normen, SLA en Rapportage op elkaar aan? Hoe evalueer ik mijn IT-partner? Zat mijn beleid goed in elkaar en is de business case positief?

7 Informatiebeveiliging 2014 Specifiek voor het waarborgen van de beveiliging van informatie heeft DNB een toetsingskader gemaakt met 54 controls gegroepeerd naar: Strategy & Policies; Organization; People; Processes; Technology; Facilities. Instellingen dienen hierbij voor alle maatregelen te voldoen aan een volwassenheidsniveau van minimaal 3 ( aantoonbare werking ). In 2014 is het toetsingskader geactualiseerd en geldt voor drie maatregelen uit de categorie Assess and manage (IT) risks per 1 juni 2015 een minimaal volwassenheidsniveau van 4.

8 0 - Non existent 1 - Ad-hoc, initial 2 - Repeatable, informal 3 - Structured and formalized 4 - Implemented and periodically assessed Not applicable Operational maturity level Assessment status Informatiebeveiliging 2014 Voor Information Security is een Framework ontwikkeld op basis van Cobit en ISO met een Maturity Model. Risk Domain SP Strategy & Policies Open Provide management direction and support for information security in accordance with business requirements, risks and relevant laws and regulations. Back to Assessment Overview Operational Maturity Level Risk Monitoring Processes Organization Strategy & Policies Information Security Management People Internal Control Facility Technology Risk Policy No Standard / Control measure CobiT 4.1 ISO Define an information security plan: Provide direction and support for information security in accordance with business, risks and compliance requirements with involvement of Business and IT so priorities can be mutually agreed. Information Security plan: Business, risk and compliance requirements are translated into an overall IT security plan, taking into consideration the IT infrastructure and the security culture. The plan is implemented in security policies and procedures together with appropriate investments in services, personnel, software and hardware. Security policies and procedures are communicated to stakeholders and users. DS IT Policies Management: Develop and maintain a set of policies to support Information security strategy. These policies should include policy intent; roles and responsibilities; exception process; compliance approach; and references to procedures, standards and guidelines for development, acquisition, maintenance and support. Their relevance should be confirmed and approved regularly. PO Operational maturity level is. Instructions: An 'x' is used to indicate which level is applicable. Please, avoid two x in one row. x x 3 Open 3 Open 0 Non existent 1 Adhoc, initial 2 Repeatable, informal 3 Defined 4 Managed and measurable

9 Informatiebeveiliging 2014 Score Description Points to consider 3 Defined Control is documented, executed in a structured and formalized way. Execution of control can be proved. Formal control is available for any critical process. Critical processes and controls are identified based on risk assessments. There is evidence of implementation of the control Formal test of design effectiveness constitutes evidence for level 3. Formal test of operating effectiveness constitutes evidence for level 3. The test of operating effectiveness should be done over an appropriate period which fits the risk profile. 4 Managed and measurable The effectiveness of the control is periodically assessed and improved when necessary. This assessment is documented. Criteria for level 3 plus the following: The periodic evaluation of the control is documented, including any identified action for improvement. The frequency of the periodic evaluation should be based on the risk profile. The frequency of this assessment should be at least annually.

10 Highlights informatiebeveiliging 2013 Sectorbrede aandacht blijft noodzakelijk Nulmeting 100% 80% afname van het aantal controls dat initieel niet op niveau was. (41% in 2010 naar 28% in 2013) 60% 40% Geen scores meer op niveau 1 20% Aandacht blijft noodzakelijk 0% % controls onder niveau % controls op niveau

11 Highlights informatiebeveiliging 2013 Verschillen tussen sectoren zijn significant Benchmark per sector 100% 90% 80% 70% 60% 50% 92% 83% 76% 71% 64% 59% Nulmeting Eénmeting Banken Verzekeraars Pensioenfondsen Cross-sectoraal: Hogere risico s / meer fraude Meer dienstverlening via Internet Meer media-aandacht Third parties, complicerende factor

12 Highlights informatiebeveiliging 2013 Verschillen tussen sectoren zijn significant Eénmeting domeinen Banken Verzekeraars Verbeteringen bij pensioenfondsen nodig binnen domeinen: Organisatie Mensen Processen Pensioenfondsen

13 Highlights informatiebeveiliging 2013 Best scorende controls Banken Verzekeraars Pensioenfondsen 16.5 Independent assurance 8.2 Personnel competences 10.1 Change standards and procedures 21.1 Physical security measures 10.5 Promotion to production 10.2 Impact assessment, prioritisation and authorisation 10.1 Change standards and procedures 15.2 Incident escalation 5.2 Management of information security 11.1 IT continuity plans 19.1 Malicious software prevention, detection and correction 8.2 Personnel competences 21.1 Physical security measures 7.1 Segregation of duties 10.4 Testing of changes

14 Highlights informatiebeveiliging 2013 Slechtst scorende controls Banken Verzekeraars Pensioenfondsen 13.2 Identification and maintenance of configuration items 16.3 Internal control at third parties 18.3 Cryptographic key management 13.1 Configuration repository 17.2 User Accountmanagement 16.3 Internal control at third parties 16.3 Internal control of third parties 2.2 Data classification scheme 16.1 Security testing, surveillance and monitoring 8.3 Dependence upon individuals 2.1 Enterprise Information Architecture Model 18.5 Exchange of sensitive data 16.1 Security testing, surveillance and monitoring 2.2 Data classification scheme 16.2 Monitoring of internal control framework

15 Vragen? IT-risico Informatiebeveiliging