FSS exige responsabilização do conselho pelos riscos do outsourcing de TI financeira

A Autoridade de Supervisão Financeira da Coreia do Sul anunciou novas orientações no dia 29, exigindo que os conselhos de administração e a gestão das empresas financeiras assumam a responsabilidade final pelos riscos de subcontratação de serviços de TI, incluindo incidentes de pirataria informática em fornecedores externos. A FSS desenvolveu a estrutura em colaboração com associações do setor, ao longo de todo o setor financeiro, para responder ao aumento dos riscos de TI de terceiros à medida que a digitalização leva mais empresas a subcontratar operações de processamento de informação. As orientações visam reforçar a proteção do consumidor perante a crescente dependência de TI externa, com implementação prevista para novembro ou mais tarde, após a adoção dos códigos específicos por setor.

FSS Estabelece Responsabilização do Conselho pelos Riscos de TI de Terceiros

A FSS designou explicitamente os conselhos de administração como responsáveis finais pela gestão do risco de TI de terceiros. As orientações exigem que as políticas de gestão do risco e os principais temas de supervisão sejam objeto de deliberação e decisão do conselho. A gestão é indicada como a entidade responsável por definir, implementar e manter o sistema de gestão do risco de TI de terceiros, com a exigência de operar um departamento de gestão centralizado. Este departamento deve formular e executar medidas de segurança eficazes, supervisionar o estado da subcontratação do processamento de informação entre as unidades de negócio e avaliar o estado do risco de TI de terceiros e a adequação dos contratos.

As Empresas Financeiras São Obrigadas a Operar um Sistema de Controlo em Três Níveis

As instituições financeiras devem estabelecer e operar um sistema de controlo em três níveis, composto por um departamento de gestão centralizado, um departamento de gestão do risco e um departamento de auditoria interna, para gerir de forma sistemática os riscos de TI de terceiros. As empresas devem identificar a solidez financeira dos terceiros e as informações operacionais fundamentais, incluindo os serviços prestados, os tipos e volumes de informação processada, os métodos de encriptação e comunicação, os sistemas de resposta a incidentes e as instalações informáticas. São exigidas inspeções regulares (pelo menos uma vez por semestre) para manter a informação atualizada. As empresas financeiras devem designar separadamente os “principais terceiros”, que impactam significativamente as operações ou os consumidores, aplicando uma gestão de risco reforçada a estas entidades.

Fonte: Financial Supervisory Service

As orientações disponibilizam itens de avaliação específicos e listas de verificação para avaliar eficazmente os riscos de TI de cada terceiro. Para riscos identificados, as empresas devem aplicar medidas suplementares e, sempre que o controlo seja impraticável, aplicar a mitigação ou a transferência; os contratos devem ser encerrados ou o conselho deve decidir a continuação.

Procedimentos Padronizados de Gestão do Risco ao Longo do Ciclo de Vida do Contrato

A FSS sistematizou os procedimentos de gestão do risco em todas as fases do contrato, para permitir a identificação e a resposta proativas aos riscos de TI de terceiros. Os requisitos pré-contratuais incluem verificar as capacidades de serviço e os sistemas de gestão da proteção da informação através de inspeções no local e refletir nos contratos matérias essenciais, incluindo a repartição de funções entre o subcontratante e o terceiro contratado, bem como as relações de responsabilidade em caso de incidentes. Durante o período do contrato, as empresas devem inspecionar regularmente o estado de implementação (pelo menos uma vez por ano) e preparar planos de contingência para interrupções de sistema, sistemas de gestão de cópias de segurança para a continuidade do negócio e estratégias de saída para encerramento do contrato.

Fonte: Financial Supervisory Service

Os procedimentos após o encerramento do contrato incluem devolver os ativos de informação, revogar privilégios de acesso e garantir a destruição completa dos dados.

Associações do Setor vão Implementar as Orientações a partir de Novembro

As associações do setor, ao longo de todo o setor financeiro, irão estabelecer códigos de boas práticas com base nestas orientações para implementação a partir de novembro ou mais tarde. As orientações apresentam padrões mínimos e princípios para a gestão do risco de TI de terceiros, permitindo que as empresas financeiras os apliquem de forma flexível, reforçando ou abrandando determinados elementos em função da importância e do nível de risco das operações de processamento de informação subcontratadas. Um responsável da FSS afirmou que a agência irá inspecionar e avaliar o estado da implementação das orientações junto das associações do setor, melhorando continuamente e colmatando deficiências para assegurar uma evolução sustentada.

FAQ

O que é que a Financial Supervisory Service anunciou no dia 29 relativamente à subcontratação de TI?

A FSS anunciou novas orientações exigindo que os conselhos de administração e a gestão das empresas financeiras assumam a responsabilidade final pelos riscos de TI de terceiros, incluindo incidentes de pirataria informática em fornecedores externos. A estrutura foi desenvolvida com as associações do setor para abordar riscos resultantes do aumento da subcontratação de TI à medida que a digitalização do setor financeiro se acelera.

Quando é que as empresas financeiras vão implementar as novas orientações de risco de TI de terceiros?

As associações do setor irão estabelecer códigos de boas práticas com base nas orientações da FSS para implementação a partir de novembro ou mais tarde. As empresas devem operar sistemas de controlo em três níveis e realizar inspeções regulares, pelo menos semestralmente para monitorização geral e, pelo menos anualmente, para o estado de implementação dos contratos.