تاب‌آوری سایبری در بانکداری
ستون‌های اصلی استراتژی تاب‌آوری سایبری مؤثر برای بانک‌ها چیست؟
در این مصاحبه با Help Net Security، متیو دارلاج، مدیر ارشد امنیت اطلاعات (CISO) بانک Citizens، استراتژی‌های کلیدی برای تقویت تاب‌آوری سایبری در بانک‌ها را بررسی می‌کند.
متیو دارلاج تأکید می‌کند که رعایت چارچوب‌هایی مانند NIST برای بهبود مستمر ضروری است و اقدامات حفاظت از داده‌ها برای حفاظت از عملیات بانک‌ها حیاتی هستند. دارلاج همچنین معتقد است که مدیریت ریسک‌های مرتبط با ثالث‌ها و اعمال شیوه‌های امنیتی سازگار برای حفظ تاب‌آوری ضروری است.
ستون‌های اصلی استراتژی تاب‌آوری سایبری مؤثر برای بانک‌ها چیست؟
دیدگاه کلی من این است که استراتژی مؤثر تاب‌آوری سایبری و دفاع چندلایه به تعداد زیادی از ارکان پایه‌ای نیاز دارد که شامل، اما نه محدود به، داشتن یک برنامه جامع GRC (حاکمیت، ریسک و انطباق) و اجرای شیوه‌های مدیریت ریسک قوی، زیرساخت‌های امنیتی مقاوم و مقاوم در برابر خطا، قابلیت‌های قوی در پاسخ به حوادث، برنامه‌های بازیابی از بحران/تاب‌آوری که به طور منظم آزمایش می‌شوند، شیوه‌های مدیریت آسیب‌پذیری قوی، کمپین‌های آگاهی و آموزش، و برنامه جامع مدیریت ریسک ثالث‌ها است.
مدیریت هویت و دسترسی (IAM) یکی دیگر از بخش‌های کلیدی است، زیرا کنترل‌های دسترسی قوی از اجرای شیوه‌های هویت مدرن و ایجاد نیروی کار و تجربه مشتری امن حمایت می‌کنند. "فایروال" جدید هویت شما است و این هویت باید به طور مداوم به یک سیاست امنیتی سازگار متصل باشد که بتواند شما را به طور لایه‌ای محافظت کند و امیدواریم که به گونه‌ای پیکربندی شود که تا حد ممکن بدون مانع باشد. بخشی از آن ایجاد یک فرهنگ امنیتی است و ساختن یک "فایروال انسانی" در میان کارکنان.
چطور چارچوب‌های جهانی نظارتی مانند چارچوب امنیت سایبری NIST بر نحوه برخورد بانک‌ها با تاب‌آوری تأثیر می‌گذارند؟
چارچوب NIST Cyber Security Framework (CSF) و چارچوب‌های مشابه رویکردی برای بهبود مستمر امنیت IT ترویج می‌دهند و سازمان‌ها را تشویق می‌کنند تا به طور منظم وضعیت امنیتی خود را ارزیابی کرده، شکاف‌ها را شناسایی کرده و اقداماتی برای بهبود تاب‌آوری سایبری خود اتخاذ کنند.
به طور خلاصه، این چارچوب‌ها می‌توانند یک الگوی اجرایی ارزشمند و قابل تنظیم با استفاده از زبان مشترک/استاندارد برای سازمان‌ها فراهم کنند تا برنامه‌های سایبری و تاب‌آوری کلی خود را بهبود بخشند. این چارچوب‌ها اطمینان می‌دهند که سازمان‌ها خطرات خود را درک کرده، کنترل‌ها یا قابلیت‌های امنیتی مؤثر را به کار می‌گیرند و به طور مستمر توانایی خود را برای مقابله با تهدیدات، تاب‌آوری در برابر آنها و بازیابی از حوادث سایبری بهبود می‌بخشند.
متداول‌ترین اشتباهاتی که بانک‌ها هنگام پاسخ به حوادث سایبری مرتکب می‌شوند، چیست؟
تجربه کلی من این است که یکی از اشتباهات رایج در پاسخ به حوادث، اعم از امنیتی یا سایر حوادث، این است که فرض کنید تمام پلتفرم‌های سازمانی شما به همان صورتی که فکر می‌کنید، عمل می‌کنند یا فرض کنید که کتابچه‌های راهنمای پاسخ به حوادث شما به‌روز شده‌اند و شرایط فعلی را منعکس می‌کنند. مهم‌ترین بخش در پاسخ به حوادث، افراد هستند. در حالی که فناوری و فرآیندها مهم هستند، بهترین سرمایه‌گذاری که هر سازمان می‌تواند انجام دهد، استخدام بهترین استعدادها است.
مناطق دیگری که ممکن است اشتباهات باشد شامل عدم وجود برنامه‌های ارتباطی مؤثر، عدم تطبیق با شرایط، فرض اینکه هیچ‌گاه تحت تأثیر قرار نخواهید گرفت و عدم اتصال قوی به دیگر بخش‌های کلیدی سازمان (ریسک، حقوقی، انطباق، حریم خصوصی و غیره) است. ریسک ثالث‌ها منطقه‌ای است که نیاز به حاکمیت و مراقبت مستمر و جامع دارد، به ویژه هنگامی که آسیب‌پذیری‌ها و تهدیدات قابل توجهی وجود داشته باشد.
با توجه به وابستگی به فروشندگان ثالث، چگونه بانک‌ها می‌توانند تاب‌آوری خود را در برابر تهدیدات سایبری زنجیره تأمین حفظ کنند؟
این را به عنوان یک منطقه حیاتی می‌بینم که بانک‌ها باید به سرعت خود را با آن تطبیق دهند و بر نظارت و بهبود مستمر تمرکز داشته باشند. در مورد ریسک‌های زنجیره تأمین و ثالث‌ها، ضمانت‌های قراردادی کلیدی هستند، از جمله بندهای حق بازرسی، توافق‌نامه‌های سطح خدمات (SLAs)، مسئولیت‌های مشترک و غیره، همچنین باید درک مشترکی از تمام ارکان پایه‌ای که قبلاً بحث کردیم (حفاظت از داده‌ها، دسترسی قوی، شیوه‌های مدیریت ریسک و غیره) داشته باشید.
بانک‌ها باید همچنین بررسی‌های لازم در مورد امنیت و دقت ارزیابی‌ها را انجام دهند که به سطوح ریسک، حوادث قبلی، اطلاعات تهدید و امتیازهای اعتماد نظارتی متناسب با آنها مرتبط باشد. فروشندگان یک سازمان به نوعی گسترش شبکه آن هستند و به این ترتیب باید سطح حمله مشترکی را به اشتراک بگذارند که نیاز به آگاهی و حاکمیت مستمر دارد.
اگر یک توصیه کلیدی به مدیران اجرایی بانک‌ها در مورد تاب‌آوری سایبری داشته باشید، آن چیست؟
مدیران اجرایی بانک‌ها باید حفاظت از داده‌ها را به عنوان یک ماموریت اصلی قرار دهند. اکثریت آنچه ما در امنیت سایبری انجام می‌دهیم باید مستقیماً مرتبط با حفاظت از مهم‌ترین دارایی سازمان—داده‌های آن—باشد. این بدان معناست که باید هر کاری که می‌توانید انجام دهید تا اقدامات قوی برای حفاظت از داده‌ها را در طول چرخه زندگی داده‌ها پیاده‌سازی کنید.
بانک‌ها در یک اکوسیستم فناوری وسیع و فوق‌متصل در حال مشارکت هستند و به صورت مداوم در حال نوآوری هستند، بنابراین از سیستم‌های پردازش پرداخت تا زیرساخت‌های اصلی سازمانی، باید حفاظت از داده‌ها را به عنوان اولویت اصلی خود در نظر بگیرند. امنیت در تمام سطوح باید به عنوان یک عامل توانمندساز دیده شود، بنابراین رهبران باید آن را به عنوان یک سرمایه‌گذاری استراتژیک در موفقیت آینده شرکت خود ارزیابی کنند.
این مقاله به بررسی تاب‌آوری سایبری در بانکداری پرداخته و بر اهمیت چارچوب‌هایی مانند NIST برای بهبود امنیت تأکید دارد. متیو دارلاج نقش حیاتی مدیریت ریسک، امنیت زیرساخت‌ها، پاسخگویی به حوادث، مدیریت آسیب‌پذیری‌ها و آموزش کارکنان را برجسته می‌کند. او مدیریت هویت و دسترسی (IAM) را به‌عنوان فایروال جدید معرفی کرده و اهمیت نظارت بر تأمین‌کنندگان خارجی را در کاهش ریسک‌های زنجیره تأمین سایبری گوشزد می‌کند. در نهایت، او توصیه می‌کند که بانک‌ها حفاظت از داده‌ها را در اولویت قرار داده و امنیت را یک سرمایه‌گذاری استراتژیک بدانند.
ستون‌های اصلی استراتژی تاب‌آوری سایبری مؤثر برای بانک‌ها چیست؟
دیدگاه کلی من این است که استراتژی مؤثر تاب‌آوری سایبری و دفاع چندلایه به تعداد زیادی از ارکان پایه‌ای نیاز دارد که شامل، اما نه محدود به، داشتن یک برنامه جامع GRC (حاکمیت، ریسک و انطباق) و اجرای شیوه‌های مدیریت ریسک قوی، زیرساخت‌های امنیتی مقاوم و مقاوم در برابر خطا، قابلیت‌های قوی در پاسخ به حوادث، برنامه‌های بازیابی از بحران/تاب‌آوری که به طور منظم آزمایش می‌شوند، شیوه‌های مدیریت آسیب‌پذیری قوی، کمپین‌های آگاهی و آموزش، و برنامه جامع مدیریت ریسک ثالث‌ها است.
مدیریت هویت و دسترسی (IAM) یکی دیگر از بخش‌های کلیدی است، زیرا کنترل‌های دسترسی قوی از اجرای شیوه‌های هویت مدرن و ایجاد نیروی کار و تجربه مشتری امن حمایت می‌کنند. "فایروال" جدید هویت شما است و این هویت باید به طور مداوم به یک سیاست امنیتی سازگار متصل باشد که بتواند شما را به طور لایه‌ای محافظت کند و امیدواریم که به گونه‌ای پیکربندی شود که تا حد ممکن بدون مانع باشد. بخشی از آن ایجاد یک فرهنگ امنیتی است و ساختن یک "فایروال انسانی" در میان کارکنان.
چطور چارچوب‌های جهانی نظارتی مانند چارچوب امنیت سایبری NIST بر نحوه برخورد بانک‌ها با تاب‌آوری تأثیر می‌گذارند؟
چارچوب NIST Cyber Security Framework (CSF) و چارچوب‌های مشابه رویکردی برای بهبود مستمر امنیت IT ترویج می‌دهند و سازمان‌ها را تشویق می‌کنند تا به طور منظم وضعیت امنیتی خود را ارزیابی کرده، شکاف‌ها را شناسایی کرده و اقداماتی برای بهبود تاب‌آوری سایبری خود اتخاذ کنند.
به طور خلاصه، این چارچوب‌ها می‌توانند یک الگوی اجرایی ارزشمند و قابل تنظیم با استفاده از زبان مشترک/استاندارد برای سازمان‌ها فراهم کنند تا برنامه‌های سایبری و تاب‌آوری کلی خود را بهبود بخشند. این چارچوب‌ها اطمینان می‌دهند که سازمان‌ها خطرات خود را درک کرده، کنترل‌ها یا قابلیت‌های امنیتی مؤثر را به کار می‌گیرند و به طور مستمر توانایی خود را برای مقابله با تهدیدات، تاب‌آوری در برابر آنها و بازیابی از حوادث سایبری بهبود می‌بخشند.
متداول‌ترین اشتباهاتی که بانک‌ها هنگام پاسخ به حوادث سایبری مرتکب می‌شوند، چیست؟
تجربه کلی من این است که یکی از اشتباهات رایج در پاسخ به حوادث، اعم از امنیتی یا سایر حوادث، این است که فرض کنید تمام پلتفرم‌های سازمانی شما به همان صورتی که فکر می‌کنید، عمل می‌کنند یا فرض کنید که کتابچه‌های راهنمای پاسخ به حوادث شما به‌روز شده‌اند و شرایط فعلی را منعکس می‌کنند. مهم‌ترین بخش در پاسخ به حوادث، افراد هستند. در حالی که فناوری و فرآیندها مهم هستند، بهترین سرمایه‌گذاری که هر سازمان می‌تواند انجام دهد، استخدام بهترین استعدادها است.
مناطق دیگری که ممکن است اشتباهات باشد شامل عدم وجود برنامه‌های ارتباطی مؤثر، عدم تطبیق با شرایط، فرض اینکه هیچ‌گاه تحت تأثیر قرار نخواهید گرفت و عدم اتصال قوی به دیگر بخش‌های کلیدی سازمان (ریسک، حقوقی، انطباق، حریم خصوصی و غیره) است. ریسک ثالث‌ها منطقه‌ای است که نیاز به حاکمیت و مراقبت مستمر و جامع دارد، به ویژه هنگامی که آسیب‌پذیری‌ها و تهدیدات قابل توجهی وجود داشته باشد.
با توجه به وابستگی به فروشندگان ثالث، چگونه بانک‌ها می‌توانند تاب‌آوری خود را در برابر تهدیدات سایبری زنجیره تأمین حفظ کنند؟
این را به عنوان یک منطقه حیاتی می‌بینم که بانک‌ها باید به سرعت خود را با آن تطبیق دهند و بر نظارت و بهبود مستمر تمرکز داشته باشند. در مورد ریسک‌های زنجیره تأمین و ثالث‌ها، ضمانت‌های قراردادی کلیدی هستند، از جمله بندهای حق بازرسی، توافق‌نامه‌های سطح خدمات (SLAs)، مسئولیت‌های مشترک و غیره، همچنین باید درک مشترکی از تمام ارکان پایه‌ای که قبلاً بحث کردیم (حفاظت از داده‌ها، دسترسی قوی، شیوه‌های مدیریت ریسک و غیره) داشته باشید.
بانک‌ها باید همچنین بررسی‌های لازم در مورد امنیت و دقت ارزیابی‌ها را انجام دهند که به سطوح ریسک، حوادث قبلی، اطلاعات تهدید و امتیازهای اعتماد نظارتی متناسب با آنها مرتبط باشد. فروشندگان یک سازمان به نوعی گسترش شبکه آن هستند و به این ترتیب باید سطح حمله مشترکی را به اشتراک بگذارند که نیاز به آگاهی و حاکمیت مستمر دارد.
اگر یک توصیه کلیدی به مدیران اجرایی بانک‌ها در مورد تاب‌آوری سایبری داشته باشید، آن چیست؟
مدیران اجرایی بانک‌ها باید حفاظت از داده‌ها را به عنوان یک ماموریت اصلی قرار دهند. اکثریت آنچه ما در امنیت سایبری انجام می‌دهیم باید مستقیماً مرتبط با حفاظت از مهم‌ترین دارایی سازمان—داده‌های آن—باشد. این بدان معناست که باید هر کاری که می‌توانید انجام دهید تا اقدامات قوی برای حفاظت از داده‌ها را در طول چرخه زندگی داده‌ها پیاده‌سازی کنید.
بانک‌ها در یک اکوسیستم فناوری وسیع و فوق‌متصل در حال مشارکت هستند و به صورت مداوم در حال نوآوری هستند، بنابراین از سیستم‌های پردازش پرداخت تا زیرساخت‌های اصلی سازمانی، باید حفاظت از داده‌ها را به عنوان اولویت اصلی خود در نظر بگیرند. امنیت در تمام سطوح باید به عنوان یک عامل توانمندساز دیده شود، بنابراین رهبران باید آن را به عنوان یک سرمایه‌گذاری استراتژیک در موفقیت آینده شرکت خود ارزیابی کنند.
این مقاله به بررسی تاب‌آوری سایبری در بانکداری پرداخته و بر اهمیت چارچوب‌هایی مانند NIST برای بهبود امنیت تأکید دارد. متیو دارلاج نقش حیاتی مدیریت ریسک، امنیت زیرساخت‌ها، پاسخگویی به حوادث، مدیریت آسیب‌پذیری‌ها و آموزش کارکنان را برجسته می‌کند. او مدیریت هویت و دسترسی (IAM) را به‌عنوان فایروال جدید معرفی کرده و اهمیت نظارت بر تأمین‌کنندگان خارجی را در کاهش ریسک‌های زنجیره تأمین سایبری گوشزد می‌کند. در نهایت، او توصیه می‌کند که بانک‌ها حفاظت از داده‌ها را در اولویت قرار داده و امنیت را یک سرمایه‌گذاری استراتژیک بدانند.
مرجع : پلیس فتا
