IKT drošības un kiberrisku uzraudzība
IKT drošības un kiberrisku uzraudzības mērķis
Informācijas un komunikācijas tehnoloģiju (IKT) drošības un digitālās darbības uzraudzības mērķis ir sekmēt drošu, stabilu, uzticamu, bet tajā pašā laikā arī inovatīvu finanšu pakalpojumu pieejamību. Tāpēc finanšu tirgus digitālās darbības noturība ir viena no Latvijas Bankas uzraudzības prioritātēm.
Tirgus dalībnieku uzdevums ir attīstīt un pilnveidot savas spējas, lai aizsargātos pret pieaugošajiem un mainīgajiem kiberdraudiem, stratēģiski plānojot IKT aizsardzību un efektīvi reaģējot uz IKT ievainojamībām un drošības incidentiem, šādā veidā nodrošinot IKT aizsardzību un spēju funkcionēt, gan atjaunot darbību krīzes situācijās.
Tas ietver gan nepieciešamos tehnoloģiskos resursus, gan pārvaldību, izpratni un zināšanas par iespējām sevi aizsargāt – kā pašai finanšu iestādei, tā sabiedrībai kopumā.
Eiropas Savienības Kiberdrošības aģentūras (ENISA) skatījumā (skat. Threat Landscape — ENISA) aktuāli ir šādi galvenie kiberdraudi, kas var radīt riskus arī finanšu tirgus dalībniekiem:
DORA – jaunais IKT drošības regulējums finanšu vienībām
DORA ieviešanas nepieciešamība
DORA jeb Digital Operational Resilience Act ir Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 par finanšu nozares digitālās darbības noturību, kas stājās spēkā 2023. gada 17. janvārī.
Tehnoloģiju pastiprināta izmantošana digitalizācijas procesā ne tikai sniedz biznesa iespējas esošajiem un jauniem tirgus dalībniekiem, bet arī veicina risku pieaugumu. Regulējuma mērķis ir mazināt riskus, kas saistīti ar finanšu nozares digitālo pārveidi, nosakot vienotus noteikumus visiem tirgus dalībniekiem.
Noteikumi attiecas uz plašu finanšu iestāžu loku, tai skaitā uz nozīmīgiem IKT trešo pušu pakalpojumu sniedzējiem, piemēram, mākoņpakalpojumu sniedzējiem, telekomunikāciju operatoriem, programmatūras izstrādātājiem un citiem digitālo pakalpojumu sniedzējiem.
Kritisko trešo pušu pakalpojumu sniedzējiem ar pārrobežu darbības tvērumu un augstu koncentrācijas risku un sistēmisku ietekmi tiks piemērota centralizēta Eiropas līmeņa uzraudzība.
Precīzas DORA tvēruma definīcijas tiks noteiktas Finanšu tirgus digitālās darbības noturības likumā (skat. Tiesību aktu projekti). Katra finanšu vienība apzina un kategorizē savus IKT piegādātājus, ievērojot ieviešanas tehniskos standartus, piemēram: Precīzas tvēruma definīcijas tiks noteiktas finanšu tirgus digitālās noturības likumā. Tiesību aktu projekti
DORA noteiktā regulējuma ietvars
DORA prasības ir sadalītas piecos blokos, un tās detalizēti noteiks regulatīvi tehniskie standarti (RTS) un ieviešanas tehniskie standarti (ITS), kas atrodas publiskās apspriešanas fāzē, un to apstiprināšana plānota 2024. gadā.
Pirmais standartu bloks ir pēc būtības pilnveidotas esošās regulatīvās prasības, un tajās detalizēti tiek definētas divas standartu grupas.
IKT riska pārvaldības RTS nosaka harmonizētas prasības saistībā ar jau esošo risku regulējumu finanšu vienībām, balstoties uz Eiropas Banku iestādes izdotajām IKT un drošības risku vadlīnijām.
IKT riska pārvaldības RTS paredz harmonizēt incidentu ziņošanas ietvaru, tai skaitā incidentu klasifikācijas un ziņošanas prasības, un noteikt vienotu ziņojuma formātu.
| IKT riska pārvaldības ietvars | IKT incidentu ziņošana |
| RTS "Risku pārvaldība" RTS "Vienkāršota risku pārvaldība" Vadlīnijas IKT radīto zaudējumu aprēķināšanai |
RTS "Incidentu klasifikācija" RTS "Būtisku incidentu ziņošana" ITS "Incidentu ziņojumu specifikācija" |
Finanšu vienības, kurām piemēro Eiropas Parlamenta un Padomes 2022. gada 14. decembra Regulā (ES) 2022/2554 par finanšu nozares digitālās darbības noturību (DORA) noteiktās prasības, saskaņā ar šīs regulas 19. pantu ziņo Latvijas Bankai par būtiskiem ar IKT saistītiem incidentiem un nozīmīgiem kiberdraudiem. Ziņojumu saturs un veidnes ir noteiktas tehniskajos un īstenošanas standartos (RTS/ITS). Incidentu un kiberdraudu ziņošanai ir izmantojamas atšķirīgas veidnes: Finanšu vienības ziņo Latvijas Bankai par būtiskiem ar IKT saistītiem incidentiem un nozīmīgiem kiberdraudiem XLSX (Microsoft Excel Open XML) faila formātā saskaņā ar Latvijas Bankas tīmekļvietnē publicētām XLSX failu sagatavēm (nemainot abu sagatavju failu darblapu secību un tabulu novietojumu tajās). Finanšu vienības incidentu un nozīmīgu kiberdraudu ziņojumus nosūta uz Latvijas Bankas oficiālo e-adresi. Kredītiestādes, kuras klasificētas kā nozīmīgas, ziņojumus iesniedz, izmantojot Latvijas Bankas failu apmaiņas servisu (FAS). Sākotnējā ziņojuma sniegšanas termiņš ir 4 stundas pēc incidenta klasificēšanas un 24 stundas pēc incidenta atklāšanas, 72 stundas paredzētas starpposma ziņošanai un 1 mēnesis gala ziņojuma sniegšanai. Finanšu vienības pēc incidenta informācijas ievākšanas, analīzes un klasificēšanas, izmantojot veidnes (Excel fails), sagatavo sākotnējo ziņojumu, kā arī tam sekojošu starpposma ziņojumu un gala ziņojumu un iesniedz tos Latvijas Bankai saskaņā ar noteiktajiem termiņiem. Iesniedzot starpposma ziņojumu vai noslēguma ziņojumu, veidnē saglabā informāciju, kas iepriekš sniegta sākotnējā ziņojumā vai starpziņojumā. Ja nepieciešams, tad iepriekš iesniegto informāciju attiecīgajās tabulās precizē. Ziņojumu failu veidnes ir lejupielādējamas šeit: Faila nosaukuma formāts ir aaa_v_nn_ggggmmdd.xlsx (aaa_ggggmmdd.p7m – sapakota, šifrēta un elektroniski parakstīta faila paplašinājums), kur: aaa – faila nosaukuma prefikss: "DORA_IR" – būtisku incidentu ziņojumiem; "DORA_CYB" – nozīmīgu kiberdraudu ziņojumiem; v – iesniegtā incidenta ziņojuma versijas numurs (kiberdraudu ziņojumiem izmanto tikai ''1''), kur: "1" – sākotnējais; "2" – starpposma; "3" – gala ziņojums; nn – ziņojuma kārtas numurs, ja iesniegšanas dienā ir vairāk nekā viens ziņojums (sastāv no diviem cipariem, piemēram, 01, 02 utt.); ggggmmdd – incidenta sākotnējā ziņojuma iesniegšanas datums, kur: gggg – gads; mm – mēnesis; dd – diena. Incidenta ziņojuma veidnes finanšu vienības var aizpildīt latviešu vai angļu valodā. Ziņojumā norādīto kontaktpunktu vai darbinieku pieejamība jānodrošina visā incidenta apstrādes cikla laikā. Ziņojums ir uzskatāms par saņemtu, kad Latvijas Banka ir nosūtījusi atbilstošu apstiprinājumu. Pēc kļūdas paziņojuma saņemšanas ir jāveic atbilstošas korekcijas laukos, kuros identificēta kļūda, un ziņojums jānosūta atkārtoti. Ja incidenta ziņojuma iesniegšana, izmantojot minētos kanālus, tehniski nav iespējama saistībā ar incidenta radītiem darbības traucējumiem, finanšu vienība sākotnējo ziņojumu nosūta šifrētā veidā uz e-pasta adresi Ja finanšu vienība incidenta ziņojumu ir nosūtījusi arī Nacionālās kiberdrošības centram vai ir konsultējusies ar to par incidenta ierobežošanas risinājumiem, sākotnējā ziņojumā ir jāiekļauj atbilstoša informācija. Ja finanšu vienība plāno deleģēt vai ir deleģējusi ziņošanas pienākumu trešajai pusei vai IKT piegādātājam, par to vispārējā saziņas kārtībā ir jāpaziņo Latvijas Bankai.
DORA ietvertas arī trīs jaunas regulējuma jomas ar nozīmīgu ietekmi uz finanšu vienībām:
- trešo pušu IKT piegādātāju risku pārvaldība – šis virziens paredz pakļaut regulatīvajām prasībām arī finanšu vienību trešo pušu kritisko IKT pakalpojumu sniedzējus;
- operacionālās noturības testēšana – šis virziens paredz digitālās operacionālās noturības testēšanas prasību harmonizāciju un standartizāciju – ievērojot uz risku balstītu pieeju, uzņēmumiem būtu jāievieš novērtēšana, testēšana, metodoloģijas, risinājumi un rīki, kas atbilst uzņēmuma lielumam, biznesa un riska profilam;
- Eiropas pārraudzības ietvars – tas nodrošinās vispārīgu mehānisma darbību pārrobežu skatījumā un kritisko trešo pušu pakalpojumu sniedzēju uzraudzību, ko īstenos vienotais uzraugs, sadarbojoties ar nacionālajām kompetentajām iestādēm.
| Digitālās noturības testēšana | Trešo pušu IKT piegādātāju risku pārvaldība | Kritisko pakalpojumu sniedzēju pārraudzības ietvars |
| RTS "Draudu vadītas ielaušanās testēšana" | ITS "Piegādātāju informācijas reģistra forma" RTS "Piegādātāju izmantošanas politika" RTS "Piegādātāju kritiskuma noteikšana" |
RTS "Pārraudzības nosacījumu harmonizācija" Vadlīnijas sadarbībai starp nacionālajām kompetentajām iestādēm un Eiropas uzraudzības iestādēm |
DORA tiek piemērota tiešā veidā, bet, lai dotu likumisku pamatu uzraudzības veikšanai, noteiktu uzraugošās iestādes un to pienākumus, Latvijā 2024. gadā tiks veikti atbilstoši nacionālā regulējuma grozījumi, kurus plāno izstrādāt un virzīt apstiprināšanai Finanšu ministrija (Normatīvie akti | Finanšu ministrija (fm.gov.lv)).
DORA tiek piemērota tiešā veidā, bet, lai dotu tiesisku pamatu uzraudzības veikšanai un noteiktu uzraugošās iestādes un to pienākumus, Finanšu ministrija izstrādā Finanšu tirgus digitālās darbības noturības likumu (skat. Normatīvie akti | Finanšu ministrija (fm.gov.lv); Tiesību aktu projekti). Līdz 2025. gada 17. janvārim ir spēkā Latvijas Bankas 2024. gada 2. decembra noteikumi Nr. 360 "Informācijas tehnoloģiju un drošības risku pārvaldības noteikumi". Jaunās IKT drošības prasības ir noteiktas DORA regulējumā. Finanšu vienībām, kuras ir ārpus DORA tvēruma, 2025. gadā būs jānodrošina digitālās darbības noturības prasības atbilstoši vienkāršotiem IKT risku pārvaldības noteikumiem. Noteikumus Latvijas Banka plāno izdot pēc atbilstoša deleģējuma saņemšanas. Līdz 2025. gada 17. janvārim ir spēkā Latvijas Bankas 2024. gada 2. decembra noteikumi Nr. 361 "Noteikumi par ziņošanu par būtiskiem maksājumu pakalpojumu incidentiem". Incidentu ziņošana un pārvaldība pēc 2025. gada 17. janvāra būs jāveic atbilstoši DORA prasībām. Trīs Eiropas uzraudzības iestādes – Eiropas Banku iestāde, Eiropas Vērtspapīru un tirgu iestāde un Eiropas Apdrošināšanas un aroda pensiju iestāde – apkopo jautājumus un atbildes, lai atbalstītu Eiropas Savienības regulējuma konsekventu un efektīvu piemērošanu finanšu pakalpojumu jomā. Ar jautājumu un atbilžu datubāzi par DORA iespējams iepazīties Eiropas Apdrošināšanas un aroda pensiju iestādes tīmekļvietnē (skat. Joint Q&As - EIOPA), izvēloties atbilstošus filtrus. Publicētie jautājumi ir tie, kas tirgus dalībniekiem visbiežāk radījuši neskaidrības. Ja jūs interesējošais jautājums nav atrodams Eiropas uzraudzības iestāžu vai Latvijas Bankas resursos, aicinām nosūtīt jautājumu uz e-pasta adresi Jautājums. Kādos gadījumos un kā Latvijas Banka plāno izmantot tiesības pieprasīt finanšu iestādēm veikt draudu vadītu ielaušanās testēšanu (threat-led penetration testing; TLPT)? Jautājums. Kā notiks Latvijā reģistrēto finanšu vienību filiāļu uzraudzība? Jautājums. Vai pareizi saprotam, ka līdz ar DORA stāšanos spēkā par incidentiem vairs nebūs jāziņo Eiropas Centrālajai bankai, bet tikai Latvijas Bankai? Jautājums. Cik tālu DORA prasības trešo pušu IKT pakalpojumu sniedzējiem attiecināmas uz programmatūras licenču distributoriem? Virkne prasību, mūsuprāt, nav īsti piemērojamas, jo distributors neveic nekādu finanšu institūcijas datu apstrādi, kā arī distributora esamība vai neesamība nekādi neietekmē pašas programmatūras darbību. Jautājums. Vai, turpinot pilnveidot Finanšu tirgus digitālās darbības noturības likumu, ir plānots pārskatīt to finanšu vienību sarakstu, kurām piemēro vienkāršotas digitālās darbības noturības prasības, lai salāgotu prasības starp Baltijas valstīm, proti, neuzliktu atsevišķām finanšu vienībām stingrākas prasības? Jautājums. Vai sanāk, ka nebanku kreditētāji (ātrie kredīti) nav nedz DORA, nedz NIS2 (Nacionālās kiberdrošības likuma) subjekti? Jautājums. Lūdzam precizēt, vai esam pareizi sapratuši, ka būtu jāpārjauno (jāgroza) esošie IKT pakalpojumu līgumi, kas atbalsta kritiskas vai svarīgas funkcijas, proti, nebūtu jāgroza vai jāpārjauno visi esošie IKT pakalpojumu līgumi, bet tikai tie, kas atbalsta kritiskas vai svarīgas funkcijas. Attiecībā uz pārējiem IKT līgumiem ir jāvērtē to atbilstība ar trešo personu saistītu IKT risku pārvaldības principiem un saistītajiem riskiem (DORA 28. pants). Nepieciešamības gadījumā arī šajos līgumos jāveic izmaiņas, piemēram, lai nodrošinātu auditēšanas tiesības, piekrišanu sadarbībai ar kompetentajām iestādēm un prasības, kas minētas DORA 30. panta 1. un 2. punktā par svarīgākajiem līguma noteikumiem.
Atbilde. DORA paredz plašu to finanšu vienību tvērumu, kam uzraugs var pieprasīt testa veikšanu, bet kompetentā iestāde var piemērot izņēmumu, balstoties uz proporcionalitātes principu. TLPT subjekti tiks izraudzīti, vērtējot to IKT pārvaldības un procesu brieduma pakāpi un kritiskumu saistībā ar finanšu sistēmu kopumā, primāri fokusējoties uz sistēmiski nozīmīgiem tirgus dalībniekiem. Par iekļaušanu testēšanā iestādes vadībai tiks savlaicīgi paziņots, lai tā varētu sākt plānošanas procesu un testa vadības komandu formēšanu.
Atbilde. Kompetentā iestāde filiāļu uzraudzībai ir tās dalībvalsts finanšu tirgus uzraudzības iestāde, kurā reģistrēta mātes finanšu vienība.
Atbilde. Finanšu vienības, kas par nozīmīgiem incidentiem ziņoja Eiropas Centrālajai bankai, turpmāk ziņos Latvijas Bankai.
Atbilde. Ieviešanas tehniskie standarti par informācijas reģistru nosaka prasības līgumiem, kas jāreģistrē trešo pušu IKT reģistrā. Prasība ir pamatota ar informācijas nepieciešamību kritisko IKT piegādātāju noteikšanai un uzraudzībai Eiropas Savienības līmenī. Informācijas reģistrā ir jābūt informācijai par programmatūras licencēm. Lai atbildētu uz jautājumu, vai licenču distributors ir IKT pakalpojumu sniedzējs, jāvērtē saistības, ko nosaka attiecīgais piegādes līgums. Aicinām iepazīties ar Eiropas Vērtspapīru un tirgu iestādes skaidrojumu (skat. ESMA_QA_2103).
Atbilde. Ir ierosināts vienkāršotas digitālās darbības noturības prasības piemērot finanšu vienībām, kuras ir ārpus DORA regulējuma. Nacionālā līmenī DORA tvērumu var paplašināt vai sašaurināt tikai attiecībā uz atsevišķām tirgus dalībnieku kategorijām, piemēram, krājaizdevu sabiedrībām. Attiecībā uz citiem tirgus segmentiem šādas iespējas nav.
Atbilde. Nebanku kreditētāju licencēšanu un uzraudzību veic Patērētāju tiesību aizsardzības centrs. Lai noskaidrotu statusu attiecībā uz Nacionālās kiberdrošības likuma prasībām, iespējams izmantot interaktīvo rīku "NKDL tests".
Atbilde. IKT līgumos, kas atbalsta kritiskas un būtiskas funkcijas, ir jāiekļauj obligātie nosacījumi atbilstoši Komisijas 2024. gada 13. marta Deleģētās regulas (ES) 2024/1773, ar ko Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 papildina attiecībā uz regulatīvajiem tehniskajiem standartiem, sīkāk precizējot politikas detalizēto saturu saistībā ar līgumisku vienošanos par tādu IKT pakalpojumu izmantošanu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, ko nodrošina trešās personas, kas sniedz IKT pakalpojumus, prasībām, un jāizveido un jāievieš atbilstoša pārvaldības politika. Šādu līgumu izvērtēšana un pārjaunošana ir prioritāra atbilstības nodrošināšanai.
Pašreizējais ar DORA saistīto regulatīvo dokumentu statuss
Eiropas Parlamenta un Padomes 2024. gada 14. decembra Regula (ES) 2022/2554 par finanšu nozares digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 Komisijas 2024. gada 13. marta Deleģētā regula (ES) 2024/1774, ar ko Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 papildina attiecībā uz regulatīvajiem tehniskajiem standartiem, kuri nosaka IKT riska pārvaldības rīkus, metodes, procesus un politiku, un vienkāršoto IKT riska pārvaldības sistēmu Komisijas 2024. gada 13. marta Deleģētā regula (ES) 2024/1773, ar ko Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 papildina attiecībā uz regulatīvajiem tehniskajiem standartiem, sīkāk precizējot politikas detalizēto saturu saistībā ar līgumisku vienošanos par tādu IKT pakalpojumu izmantošanu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, ko nodrošina trešās personas, kas sniedz IKT pakalpojumus Komisijas 2024. gada 13. marta Deleģētā regula (ES) 2024/1772, ar ko Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 papildina attiecībā uz regulatīvajiem tehniskajiem standartiem, kuros precizēti kritēriji ar IKT saistītu incidentu un kiberdraudu klasifikācijai, nosakot būtiskuma robežvērtības un precizējot sīkāku informāciju, kas ietverama ziņojumos par būtiskiem incidentiem Komisijas 2024. gada 22. februāra Deleģētā regula (ES) 2024/1502, ar ko Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 papildina, precizējot kritērijus, saskaņā ar kuriem trešās personas, kas sniedz IKT pakalpojumus, izraugās par finanšu vienībām kritiski svarīgām Komisijas 2024. gada 29. novembra Īstenošanas regula (ES) 2024/2956, ar ko nosaka īstenošanas tehniskos standartus Eiropas Parlamenta un Padomes Regulas (ES) 2022/2554 piemērošanai attiecībā uz standarta veidnēm informācijas reģistram Komisijas 2024. gada 22. februāra Deleģētā regula (ES) 2024/1505, ar ko Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 papildina, nosakot pārraudzības maksu summu, ko galvenais pārraugs iekasē no kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, un veidu, kādā minētās maksas ir jāmaksā Komisijas 2024. gada 22. februāra Deleģētā regula (ES) …/.., ar ko papildina Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554, precizējot kritērijus, saskaņā ar kuriem trešās personas, kas sniedz IKT pakalpojumus, izraugās par finanšu vienībām kritiski svarīgām Eiropas uzraudzības iestāžu 2024. gada 8. novembra lēmums par termiņiem un nosacījumiem, kuri informācijas reģistri nacionālajām uzraudzības iestādēm jāsniedz Eiropas uzraudzības iestādēm, lai tās noteiktu īpaši svarīgus IKT trešo pušu pakalpojumu sniedzējus saskaņā ar Digitālās darbības noturības aktu (DORA) Otrās grupas regulatīvo standartu un vadlīniju projekti – pieejami angļu valodā Eiropas Vērtspapīru un tirgu iestādes tīmekļvietnē RTS un ITS par saturu, formātu, veidnēm un termiņiem būtisku ar IKT saistītu incidentu un nozīmīgu kiberapdraudējumu ziņošanai RTS par draudu vadītu ielaušanās testēšanu (TLPT) RTS par nosacījumu harmonizāciju uzraudzības darbību veikšanai RTS par kritērijiem kopējo pārbaudes komandu (JET) sastāva noteikšanai Vadlīnijas par pārraudzības sadarbību Vadlīnijas par būtisku ar IKT saistītu incidentu izraisīto kopējo izmaksu/zaudējumu novērtēšanu Finanšu tirgus digitālā pārveide un digitalizācijas procesi ir nenovēršami saistīti ar tādiem izaicinājumiem kā: Uzņemoties ambiciozus digitalizācijas projektus, organizācijas vadības struktūrai jānodrošina risku pārvaldības kultūra, kas ietver attīstību, balstoties uz jaunām un inovatīvām tehnoloģijām, piemēram, mākslīgo intelektu. Šādas risku kultūras stūrakmens ir efektīva komunikācija visos organizācijas līmeņos, kas saistīti ar digitālās pārveides projektiem. Tas ietver skaidru atbildību par riskiem, to pārvaldīšanu un uzraudzību atbilstoši definētiem kritērijiem, tajā pašā laikā dodot iespēju pārbaudīt digitālās pārveides iniciatīvas. Risku pārvaldības kultūru var uzlabot, ieviešot mērķētas programmas, piemēram, inovāciju laboratorijas, kurās dalībnieki var tieši novērtēt tehnoloģiju iespējas un riskus. Finanšu tirgus pakalpojumiem kļūstot arvien vairāk digitalizētiem, palielinās apdraudējumi un kaitējums, ko iespējams nodarīt, izmantojot kiberuzbrukumus. Efektīva risku pārvaldība un atbilstošas riska apetītes noteikšana var palīdzēt līdzsvarot attīstību un ierobežot iespējamos zaudējumus.
Latvijas Bankas un Aizsardzības ministrijas seminārs par kiberdrošību finanšu nozarē
IKT pārvaldības izaicinājumi un iespējas
Finanšu tirgus digitālā pārveide
Digitalizācijas procesi ir nenovēršami saistīti ar tādiem izaicinājumiem kā:
- organizācijas spēja pārvaldīt apjomīgu IKT projektu portfeli;
- jaunu nepārbaudītu tehnoloģiju testēšana;
- darbinieku pieredzes un zināšanu trūkums;
- novecojušo tehnoloģiju dzīves cikla pārvaldīšana;
- pārrobežu sadarbība ar piegādātājiem.
Uzņemoties ambiciozus digitalizācijas projektus, organizācijas vadības struktūrai jānodrošina risku pārvaldes kultūra, kas ietver attīstību, balstoties uz jaunām un inovatīvām tehnoloģijām, piemēram, mākslīgo intelektu.
Šādas risku kultūras stūrakmeņi ir efektīva komunikācija visos organizācijas līmeņos, kas saistīti ar digitālās transformācijas projektiem. Tas ietver skaidru atbildību par riskiem, to pārvaldīšanu un monitorēšanu atbilstoši definētiem kritērijiem, tajā pašā laikā dodot iespēju pārbaudīt digitālās transformācijas iniciatīvas.
Risku pārvaldes kultūru var uzlabot, ieviešot mērķētas programmas, piemēram, inovāciju laboratorijas, kurās dalībnieki var tieši novērot tehnoloģiju iespējas un riskus.
Finanšu tirgus pakalpojumiem kļūstot arvien vairāk digitalizētiem, palielinās apdraudējumi un kaitējums, ko iespējams nodarīt, izmantojot kiberuzbrukumus. Tomēr, lai arī kādi resursi tiktu ieguldīti IKT infrastruktūras drošībā, jāpieņem, ka tā nekad nebūs pilnīgi droša un iespēja atrast ievainojamības pastāvēs vienmēr.