Bangladesh
Bangladesh Bank ICT Security Guideline
La directive sur la sécurité des TIC pour les banques et les institutions financières non bancaires (Guideline on ICT Security for Banks and Non-Bank Financial Institutions) est publiée par la Bangladesh Bank et s'impose à chaque banque, à chaque institution financière non bancaire et, par leur intermédiaire, aux prestataires de services de paiement et de services financiers mobiles du Bangladesh. Elle fixe des exigences de gouvernance des TIC, de gestion de la sécurité de l'information, d'opérations et d'infrastructure TIC, de centres de données, de continuité d'activité, d'acquisition et de développement des systèmes, et de sécurité des canaux de distribution alternatifs, et la Bangladesh Bank en inspecte la conformité.
L'inspection exige la preuve que chaque domaine est maîtrisé. DECIMA maintient cette preuve à jour chaque jour, et non la semaine précédant l'arrivée de l'inspecteur.
En bref
- Émis par
- La Bangladesh Bank, banque centrale du Bangladesh
- S'applique à
- Les banques agréées et les institutions financières non bancaires du Bangladesh, ainsi que les prestataires de paiement, de services financiers mobiles et d'externalisation qui les servent
- En vigueur
- Publiée en 2005 et révisée depuis ; les institutions se conforment à la version en vigueur
- Supervisé par
- La Bangladesh Bank, par des inspections TIC programmées et spéciales
Ce que la réglementation exige
Les obligations telles que la directive les énonce, dans l'ordre où un programme y répond.
01
Gouvernance des TIC
Une supervision des TIC par le conseil d'administration et la direction, une politique de sécurité des TIC, des rôles définis incluant une fonction de sécurité de l'information, une gestion des risques et un audit des TIC.
02
Gestion de la sécurité de l'information
Contrôle d'accès, gestion des comptes utilisateurs et à privilèges, normes de mots de passe et d'authentification, sécurité du réseau et des terminaux, protection contre les logiciels malveillants, cryptographie et classification des données.
03
Opérations et infrastructure TIC
Gestion des changements et des correctifs, surveillance de la capacité et des performances, journalisation et surveillance, sécurité physique et environnementale des centres de données et des sites de reprise après sinistre.
04
Continuité d'activité et reprise après sinistre
Un plan de continuité d'activité testé, un site de reprise après sinistre et des objectifs de reprise pour les systèmes critiques, avec des exercices réguliers consignés.
05
Canaux de distribution alternatifs
Sécurité de la banque en ligne, des services financiers mobiles, des distributeurs automatiques, des cartes et des passerelles de paiement, y compris la surveillance de la fraude et la déclaration des incidents à la Bangladesh Bank.
Comment DECIMA le prouve
Chaque exigence reçoit une réponse issue des systèmes en production, sous forme d'enregistrement daté et re-vérifiable, et non d'un questionnaire rempli pour l'évaluation.
Les domaines de contrôle lus en continu
Les contrôles d'accès, de correctifs, de journalisation, de sauvegarde, de réseau et de centres de données sont lus selon un calendrier depuis les systèmes qui les exécutent, chaque lecture étant conservée avec son horodatage et la version de la directive appliquée.
Le dossier d'inspection produit à partir de l'enregistrement
L'ensemble des preuves pour une inspection de la Bangladesh Bank est généré domaine par domaine à partir de lectures datées, dans l'ordre que suit l'inspection, plutôt qu'assemblé dans les jours précédant la visite.
Les incidents enregistrés et déclarés
Les incidents de sécurité sur les canaux de distribution sont classifiés à partir des preuves que DECIMA détient et le rapport à la Bangladesh Bank est rédigé à partir de cet enregistrement.
La piste d'audit TIC conservée
Chaque verdict, exception et remédiation est conservé avec son horodatage : l'audit interne des TIC et l'inspection examinent le même enregistrement.
04
Les questions que posent les acheteurs
Des réponses courtes que vous pouvez citer.
Rapprochez cette réglementation de vos propres contrôles
Apportez une exigence et un système ; nous vous montrerons le même contrôle sous forme d'énoncé de politique et sous forme de verdict daté et re-vérifiable.
Parlez-nous