W styczniu 2013 r. Komisja Nadzoru Finansowego opublikowała „Rekomendację D dotyczącą zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego skierowaną dla Banków”. Po konsultacjach z rynkiem Regulator opublikował 16 grudnia 2014 r. bardzo zbliżony dokument pt. „Wytyczne dotyczące zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego” (dalej „Wytyczne IT KNF”) skierowany do prawie 200 podmiotów sektora finansowego, w tym:

• Towarzystwa ubezpieczeń i reasekuracji,
• Powszechne towarzystwa emerytalne,
• Towarzystwa funduszy inwestycyjnych,
• Firmy inwestycyjne (m.in. biura maklerskie),
• Podmioty infrastruktury rynku kapitałowego (m.in. giełdy towarowe, izby rozliczeniowe i rozrachunkowe).

Zakres dokumentu jest bardzo szeroki i obejmuje większość obszarów szeroko rozumianego zarządzania IT i bezpieczeństwa środowiska teleinformatycznego. Dokument został podzielony przez Regulatora na 4 części i składa się z 22 wytycznych.

Rys. 1. Podział Wytycznych IT KNF na grupy

Nasz zespół podzielił w sposób syntetyczny wymagania wynikające z Wytycznych IT na trzy grupy: „Ludzie”, „Procesy i organizacja” oraz „Narzędzia”.

Rys. 2. Synteza obowiązkowych wymagań wynikających z Wytycznych IT KNF w podziale na obszary ludzi, procesów i organizacji oraz narzędzi

Analiza Wytycznych IT KNF wskazuje, że zdecydowana większość produktów z nich wynikających koncentruje się na zapewnieniu odpowiednich narzędzi zarządczych pod postacią strategii, procesów, procedur i instrukcji. Tylko niewielka części wskazuje na możliwość wsparcia procesów zarządzania oraz bezpieczeństwa poprzez wdrożenie odpowiednich aplikacji i systemów, czy też rozwoju i odpowiedniego dostosowania infrastruktury informatycznej w organizacji.

Należy zdać sobie sprawę, że celem Wytycznych IT KNF nie jest uzyskanie predefiniowanego poziomu bezpieczeństwa środowiska teleinformatycznego, lecz doprowadzenie do punktu, w którym wszystkie decyzje i działania w tym zakresie są realizowane w świadomy i kontrolowany sposób. Taki stan rzeczy ma miejsce w przypadku, gdy wszystkie elementy środowiska teleinformatycznego są zarządzane, monitorowane i systematycznie usprawniane zgodnie z rzeczywistymi wymaganiami organizacji.

Preambuła dokumentu określa w sposób jednoznaczny, że wszystkie wytyczne powinny być zastosowane. Należy jednak zwrócić uwagę, że dokument nie tłumaczy, w jaki sposób należy dokonać implementacji wytycznych i decyzja w tym zakresie należy do podmiotu wdrażającego. Jednakże z lektury preambuły dokumentu wynika również, że przy decyzji co do sposobu implementacji mogą zostać wzięte pod uwagę następujące czynniki:

• Skala działalności (podejście proporcjonalności),
• Profil ryzyka oraz poziom ryzyka,
• Specyfika działalności,
• Charakterystyka środowiska teleinformatycznego,
• Relacja kosztów wprowadzenia wytycznych do korzyści (również w zakresie bezpieczeństwa klientów),
• Przyjęta strategia wsparcia oferowanego przez obszar IT,
• Konieczność przestrzegania przepisów prawa.

Zgodnie z treścią preambuły, sposób realizacji wytycznych powinien zostać poprzedzony pogłębioną analizą i poparty stosowną argumentacją. W związku z tym, dla celów przygotowania argumentacji istnieje możliwość wzięcia pod uwagę wskazanych powyżej czynników. Ponadto część podpunktów w ramach Wytycznych została oznaczona jako „do rozważenia”, co oznacza, że decyzja o ich zastosowaniu należy do podmiotu biorąc pod uwagę powyżej wymienione czynniki.

Inaczej niż w przypadku banków, adresaci omawianych Wytycznych IT KNF charakteryzują się olbrzymią rozpiętością skali działania – od kilku tysięcy zatrudnionych osób i kilkuset osobowych służb IT w przypadku największych firm ubezpieczeniowych do kilku zatrudnionych osób i praktycznie pełnego ousourcingu IT w przypadku wielu Towarzystw Funduszy Inwestycyjnych czy niewielkich Domów Maklerskich. W związku z tym prawdziwym wyzwaniem jest dostosowanie sposobu implementacji wytycznych, projektowanych pierwotnie dla największych podmiotów z sektora bankowego, do rzeczywistych potrzeb średnich i małych przedsiębiorstw. Dobrym przykładem prezentującym różnicę jest produkt Strategii IT, której raport podsumowujący, w zależności od skali działalności organizacji, może liczyć od kilkuset stron dla wielooddziałowego ubezpieczyciela do kilku stron dla najmniejszych podmiotów. W przypadku niewielkich uczestników rynku finansowego Wytyczne IT KNF to z jednej strony poważne obciążenie finansowo-organizacyjne, z drugiej zaś strony doskonała okazja do uporządkowania i profesjonalizacji obszaru IT.