infa.lt

Ryte atsibudę sužinote, kad buvo įsilaužta į jūsų banką. Tai nesėkmė. Ką darote?

Kaip ir dauguma kitų banko klientų, skubate atsiimti savo santaupas ir ieškote, kur jas saugiai padėti, tačiau sužinote, kad tokia pati situacija yra ir keliuose kituose bankuose, rašo „Politico“ leidinys.

Visame pasaulyje šis modelis kartojasi. Neveikia kelių mokėjimo bendrovių paslaugos, todėl negalite atlikti operacijų savo kortele ar programėle. Investicinės įmonės pastebi, kad jų klientai tokiu pat sparčiu tempu atsiima savo lėšas.

Dalis pasaulinių prekybos skyrių be šviesos, nes neveikia ištisos finansų rinkų dalys. Daugumos didžiųjų įmonių nuostoliai siekia milijardus.

Naujomis ES taisyklėmis siekiama apsaugoti jūsų pinigus nuo kibernetinių grėsmių

Liepą įvykęs didelis IT paslaugų sutrikimas buvo tarsi įspėjamasis signalas. Tačiau ar ES reguliavimo priemonės gali ką nors pakeisti?

Ekspertų teigimu, toks pražūtingas scenarijus tampa vis labiau tikėtinas, nes finansų pasaulis susipina su technologijomis, o hakeriai tampa vis įmantresni.

Pasaulis išvydo nedidelę galimos katastrofos priešistorę, kai kibernetinio saugumo įmonė „Crowdstrike“ šių metų liepą išplatino klaidingą programinės įrangos atnaujinimą, sukėlusį pasaulinį technologinį kolapsą, dėl kurio neveikė oro linijos, žiniasklaida ir kai kurios finansinės paslaugos. Ši klaida paveikė apie 25 proc. „Fortune 500“ sąrašo įmonių, o tai joms kainavo apie 5,4 mlrd. dolerių nuostolių.

Dabar Briuselis bando užtikrinti, kad tokie ar dar blogesni atvejai nepasikartotų, ir nustato naujas taisykles, kuriomis siekiama priversti finansų įmones daugiau žinoti apie savo technologijų paslaugų teikėjus.

Taip pat norima atlikti tokių paslaugų teikėjų testavimą kritinėmis sąlygomis, kad būtų patikrinta, ar jie pasirengę veikti, jei įvyktų įsilaužimas ar sutrikimas.

„Microsoft“ debesija užklojo pusę pasaulio

ES teisės aktų leidėjai, žinomi kaip Skaitmeninio operacinio atsparumo aktas (Digital Operational Resilience Act, arba DORA), tikisi, kad sausį pradėjus taikyti taisykles finansų sektorius bus geriau apsaugotas.

„DORA nėra sidabrinė kulka, padedanti apsisaugoti nuo tokių sutrikimų, tačiau ji užtikrins, kad mūsų finansinės paslaugos būtų pakankamai atsparios ir pasirengusios, kad išvengtume arba sušvelnintume jų poveikį“, – sakė Billy Kelleheris, Europos Parlamento narys, vadovavęs darbui rengiant DORA įstatymą.

Tačiau jis pripažino, kad „mažai tikėtina“, jog DORA būtų galėjusi užkirsti kelią „Crowdstrike“ griūčiai, net jei ji „neabejotinai būtų galėjusi sušvelninti poveikį finansinių paslaugų sektoriui“.

O reguliavimo institucijų atliekami tyrimai jau dabar rodo tam tikrą susirūpinimą keliantį faktą. Europos Centrinis Bankas paskelbė naujausio 109 pagrindinių ES bankų testavimo kritinėmis sąlygomis rezultatus, praėjus vos savaitei po liepą įvykusios griūties.

Patikrinęs skolintojų gebėjimą išlaikyti operacijas po didelio įsilaužimo, ECB užsiminė apie „tobulintinas sritis“, tačiau nesileido į detales. Gali būti, kad vadovas nenorėjo atkreipti dėmesio į konkrečias pažeidžiamumo vietas, o gali būti, kad rezultatai buvo prastesni, nei tikėtasi.

Pasitikėjimas trečiąja šalimi

Pasak TVF Pinigų ir kapitalo rinkų departamento direktoriaus pavaduotojo Mahvašo Saeedo Qureshi, didėjanti pasaulio skaitmenizacija, technologinė pažanga, pavyzdžiui, dirbtinio intelekto plėtra, ir padidėjusi geopolitinė įtampa – visa tai lemia riziką.

Kalbant konkrečiai apie finansus, įmonės yra vis labiau tarpusavyje susijusios ir vis labiau priklausomos nuo trečiųjų šalių paslaugų teikėjų.

Debesijos paslaugų sektoriuje dominuoja kelios įmonės, o keturi didžiausi paslaugų teikėjai užima 65% rinkos, todėl didėja susirūpinimas, kad rizika koncentruojasi vienoje srityje.

„Rizika, su kuria susiduria finansinių paslaugų teikėjai, panaši į kitų sektorių riziką, – sakė Seánas Doyle’as, vadovaujantis kibernetinių nusikaltimų iniciatyvai Pasaulio ekonomikos forumo Kibernetinio saugumo centre. „Skiriasi tik tai, kad įmonės yra įsitraukusios į viena kitos tiekimo grandines ir priklausomos nuo bendros infrastruktūros, pavyzdžiui, mokėjimų ir kliringo paslaugų.“

Ekspertai mano, kad kibernetinės atakos, technikos gedimai ar kitos nelaimės greičiausiai vyks dažniau, o įvykių sukelti nuostoliai bus daug didesni nei anksčiau.

Remiantis Tarptautinio valiutos fondo ataskaita apie pasaulinę kibernetinę riziką, 2017 m. finansų įmonė dėl kibernetinio incidento būtų patyrusi 285 mln. JAV dolerių „ekstremalių nuostolių“, tačiau iki 2021 m. šis skaičius šoktelėjo iki 2,24 mlrd. dolerių. O remiantis ta pačia ataskaita, tikėtina, kad didelis kibernetinis incidentas, sukėlęs 2,5 mlrd. dolerių nuostolį, įvyks kartą per 10 metų.

Tačiau, nepaisant visų ekspertų pastangų nustatyti riziką, su kuria gali susidurti bankai ir kitos finansų įmonės, jiems sunkiai sekasi surinkti pakankamai informacijos apie riziką, nes įmonės vengia pranešti apie kibernetinius incidentus arba dėl to, kad ilgalaikiai incidentų nuostoliai tampa žinomi tik laikui bėgant ir yra sunkiai išmatuojami, o tai reiškia, kad apie nuostolius gali būti pranešama nepakankamai.

„Esame kitame pasaulyje, – sakė Kurešis. „Grėsmių kraštovaizdis labai pasikeitė. Pakankamų duomenų apie kibernetinius nusikaltimus trūkumas yra tikra kliūtis, daugelį metų trukdanti atlikti gerą jų analizę.“

Tai „didelė rizika“, kad „bankai ir apskritai finansų įstaigos praranda savo IRT išteklių kontrolę“, kurie gali būti „tokie sudėtingi, jog vyresnioji vadovybė ne pilnai kontroliuoja visus išteklius ir mato nepakankamai visuose šiuose grėsmių sektoriuose ir rizikos veiksniuose“, spalio 2 d. POLITICO renginyje sakė Europos Komisijos Finansinių paslaugų departamento patarėjas technologinių inovacijų, skaitmeninės transformacijos ir kibernetinio saugumo klausimais Peteris Kerstensas.

Pažinkite savo priešą

Taisyklės apima bankų ir kitų finansų įmonių IT rizikos valdymą, tai, kaip jos praneša apie bet kokius su IT susijusius incidentus ir kaip valdo ir tikrina trečiųjų šalių teikėjų, pavyzdžiui, debesijos saugyklų teikėjų, riziką.

ES institucijos pilnai neprižiūrės technologijų įmonių, tačiau galės reikalauti informacijos, atlikti tyrimus ir patikrinimus, skirti nuobaudas ir teikti rekomendacijas pagrindiniams IT paslaugų teikėjams, jei jie bus laikomi „itin svarbiais“ finansų įmonių veiklai.

„Jei esate finansų įmonė ir užsakote IRT (trečiųjų įmonių paslaugas) veiklą, galiausiai tai vis tiek yra jūsų veikla… Galiausiai jūs esate atsakingas už tai, kas čia vyksta. Atsakomybė tenka jums“, – sakė Gerry Crossas (Airijos centrinio banko finansų reguliavimo, politikos ir rizikos direktorius).

Reikia dirbti

TVF ataskaitoje rekomenduojama griežčiau pranešti priežiūros institucijoms apie kibernetinius incidentus, o įmonių vyresniajai vadovybei būti atsakingai už kibernetinio atsparumo valdymą, taip pat parengti išsamesnius krizių valdymo planus, jei įvyktų didelių įvykių.

ES tam reikės didelių investicijų į finansų sektoriaus IT atsparumo stiprinimą. ECB valdybos narė Anneli Tuominen sakė, kad bankai turi „teikti pirmenybę kibernetiniam atsparumui ir integruoti jį į savo pagrindines verslo strategijas“.

Tačiau, nors bankai turės sumokėti, kad užtikrintų, jog turi sistemas, skirtas apsisaugoti nuo tokių kibernetinių incidentų, šios išlaidos bus nedidelės, palyginti su TVF prognozuojama 2,5 mlrd. nuostoliais įvykus incidentams.

Kaip sakė kibernetinių nusikaltimų ekspertas Doilas, „finansų įstaigos visada bus patrauklus kibernetinių nusikaltėlių taikinys, nes ten laikomi pinigai“.