A működés folytonossága lesz a kiberbiztonság új igazgatósági mércéje

Egy bank sikeresen megakadályozza a behatolást, de három napig nem tudja kifizetni a beszállítóját. A biztonsági csapat sikerről számol be, az igazgatóság azonban már elbukott az új mérce szerint. A különbség a támadás megállítása és a működés fenntartása között az, ami miatt érdemes komolyan venni a Limassolban elhangzottakat.

A Philenews október 13-án számolt be a Forbes Cyprus Next Gen Banking & Fintech Summit eseményéről. A kerekasztal résztvevői egyértelművé tették: a behatolások megelőzése mellett immár az üzletmenet működési zavarokkal szembeni ellenálló képessége is elvárás, és egyre inkább ez alapján ítélik meg a pénzügyi intézményeket.

A legtöbb beszámoló a banki szektorra helyezi a hangsúlyt. A fontosabb tanulság azonban az, hogy a bankszektor csupán az első, ahol egy új mérőszámot kezdenek alkalmazni: a működés folytonosságának időben meghatározott, tesztekkel igazolt küszöbértékét. Ez a szemlélet más ágazatokban is el fog terjedni.

A mérce a megállított támadásokról a folyamatos szolgáltatásra helyeződik át

Nicholas Kattirtzis, az Odyssey Cybersecurity képviselője a DORA rendelet kapcsán világította meg a változás lényegét. A pénzügyi intézményeknek nemcsak informatikai rendszereik védelmét kell biztosítaniuk, hanem azt is bizonyítaniuk kell, hogy képesek ellenállni a működési zavaroknak, helyreállítani a működésüket, és továbbra is biztosítani az alapvető szolgáltatásaikat. Mint fogalmazott: „Nem csupán az informatikai rendszer helyreállításáról van szó. Arról kell gondoskodni, hogy maga a szolgáltatás is folyamatosan működjön.”

Ezt a mondatot érdemes lenne minden igazgatósági tárgyalóterem falára kifüggeszteni. Azt jelenti ugyanis, hogy egy helyreállítási teszt nem tekinthető sikeresnek pusztán azért, mert az alapul szolgáló informatikai platform ismét elérhető, ha az ügyfelek által ténylegesen használt fizetési szolgáltatás továbbra sem működik.

A vezetésnek pontosan tudnia kell, hogy a kritikus szolgáltatások mennyi ideig maradhatnak elérhetetlenek, milyen gyorsan állíthatók helyre, és a tesztek során sikerült-e teljesíteni a kitűzött helyreállítási célokat. A tavalyi üzletmenet-folytonossági terv megnyugtató megállapításai önmagukban már keveset érnek. A tesztek mérhető eredménye számít.

Mielőtt mindezt egyszerű ellenőrzőlistaként kezelnék, érdemes tisztázni, hogy az intézményükre pontosan milyen DORA-követelmények vonatkoznak, hiszen a kötelezettségek az érintett szabályozott szolgáltatás jellegétől függnek. A DORA hatályáról és követelményeiről szóló összefoglaló jó kiindulópontot jelent ennek feltérképezéséhez.

A működés folytonosságát bizonyítani is kell

Kattirtirtisz a biztonsági kontrollok működését igazoló dokumentáció, valamint a szabályozói megfelelés összehangolásának fontosságát is hangsúlyozta. Ez utóbbi csökkentheti a biztonsági csapatokra nehezedő adminisztratív terheket.

A működés folytonossága így a dokumentált ígéretből dátummal ellátott, teszteredményekkel alátámasztott gyakorlattá válik. Ezt vizsgálják majd a szabályozó hatóságok, az auditorok és az ügyfelek is. A megfelelően rendszerezett bizonyítékok ráadásul azt is megakadályozhatják, hogy ugyanazt a munkát háromszor kelljen elvégezni.

Andreas Michaelides a jogi következményekre is rámutatott: a vállalatok és az igazgatók megítélése attól is függ majd, hogy egy incidens előtt mit tettek meg, illetve mit mulasztottak el. Az igazgatóság kérdései és a rájuk adott, dokumentált válaszok a későbbiekben bizonyítékként szolgálhatnak.

Ennek a dokumentációs háttérnek a kialakítása olyan kiberbiztonsági tanácsadási együttműködés keretében is elvégezhető, amely a vezetőség tényleges döntéseiből indul ki, és visszafelé haladva tárja fel az azokat alátámasztó bizonyítékokat.

Egy kis létszámú biztonsági csapat számára a legnagyobb akadály az erőforráshiány. Nincs külön szabályozási osztály, amely átvehetné a DORA-követelmények feltérképezését, és nincs felesleges kapacitás olyan szolgáltatások tesztelésére, amelyekre az üzletmenet ritkán gondol.

A gyakorlati megoldás az, hogy különválasztják azokat a szolgáltatásokat, amelyek kiesése azonnal bevételkiesést okoz, a kevésbé kritikus területektől. Ezután minden szolgáltatáshoz helyreállítási célt rendelnek, és először a legfontosabbakat tesztelik.

Ugyanez az elv a beszállítói kapcsolatokra is érvényes

Solon Houtris arra figyelmeztetett, hogy a kiszervezés nem szünteti meg a kockázatot, és nem helyezi át a szabályozói felelősséget. A pénzügyi intézmények akkor is felelősek maradnak, ha a működés egy részét felhőszolgáltatók, szoftverbeszállítók vagy más külső partnerek végzik.

A biztonsági felméréseknek már a szerződéskötés előtt el kell kezdődniük, és a teljes partnerkapcsolat során folytatódniuk kell. Ehhez megfelelő szerződéses biztosítékokra, folyamatos felügyeletre és arra az esetre kidolgozott vészforgatókönyvekre van szükség, ha egy beszállító hirtelen kiesik.

Ha szervezetük bank vagy fintech vállalat beszállítója, számíthatnak olyan kérdőívre, amely határidőre kéri a tesztekkel igazolt helyreállítási időt és az utolsó gyakorlat dátumát. Ha pedig olyan felhőszolgáltatásokat vesznek igénybe, amelyekre egy bank is támaszkodik, ugyanez az elv rájuk is vonatkozik: saját működésük folytonosságának küszöbértékét nekik is ismerniük kell, mert a bank mérhető eredményeket fog kérni tőlük.

A mesterséges intelligencián alapuló modellek és az automatizált rendszerek terjedése tovább bővíti a beszállítói hálózatot. Minden új függőség megnehezíti a felügyeletet, és még fontosabbá teszi a szerződéskötés előtti kockázatfelmérést.

Egy kérdés, amelyet érdemes az igazgatóság elé vinni

A negyedév egyik leghasznosabb lépése az lehet, ha a vezetőség feltesz egy egyszerű kérdést: minden, általunk kritikusnak minősített szolgáltatás esetében ismerjük-e a maximálisan elfogadható kiesési időt, a legutóbbi teszt során mért helyreállítási időt és a teszt dátumát?

Ha ezekre a kérdésekre nincs válasz, akkor a teszt finanszírozásáról szóló döntést az igazgatóságnak kell meghoznia.

A Philenews beszámolója szerint Cipruson a DORA végrehajtására és a szankciók alkalmazására vonatkozó hazai jogszabályokat még nem fogadták el. Ezt az átmeneti időszakot érdemes arra használni, hogy a szervezetek meghatározzák a működés folytonosságának küszöbértékeit, és összegyűjtsék a tesztek bizonyítékait még azelőtt, hogy a szabályok végrehajtását ténylegesen számon kérnék. Maguk a kötelezettségek ugyanis már meghatározottak.

Ha az igazgatóság munkáját nem támogatja kiberbiztonsági szakember, egy virtuális CISO szolgáltatás is felelősséget vállalhat a folytonossági küszöbértékek meghatározásáért és nyomon követéséért, valamint azért, hogy az eredmények a vezetőség számára értelmezhető, döntéseket támogató formában jelenjenek meg.

Amikor egy működésfolytonossági küszöbértéket először vizsgálnak hatósági ellenőrzés keretében, az incidens előtti dokumentáció döntheti el, hogy csupán további kérdések merülnek-e fel, vagy hivatalos megállapítás születik.

Ha ma még nincs ilyen dokumentáció, a munkát egyetlen kritikus szolgáltatással és egy dátummal ellátott teszttel érdemes elkezdeni.