THREAT-WATCHΧΡΗΜΑΤΟΟΙΚΟΝΟΜΙΚΕΣ ΥΠΗΡΕΣΙΕΣ
Κυβερνοασφάλεια για τον Χρηματοπιστωτικό Τομέα
Ο τραπεζικός τομέας και οι υποδομές χρηματοπιστωτικών αγορών βρίσκονται στον πυρήνα του πεδίου βασικών οντοτήτων του NIS2, με κίνδυνο απάτης και ακεραιότητας δεδομένων επιπλέον.
Γιατί αυτός ο κλάδος είναι διαφορετικός
Ο τραπεζικός τομέας και οι υποδομές χρηματοπιστωτικών αγορών κατονομάζονται ως τομείς βασικών οντοτήτων στο NIS2, ενώ ο DORA εφαρμόζεται επιπλέον για τις ευρωπαϊκές χρηματοπιστωτικές οντότητες, συμπεριλαμβανομένων των ασφαλιστικών εταιρειών. Οι επιτιθέμενοι αντιμετωπίζουν επίσης διαφορετικά τους χρηματοοικονομικούς οργανισμούς. Ο στόχος είναι συχνά άμεση απάτη ή μεταφορά κεφαλαίων, όχι μόνο κλοπή δεδομένων, κάτι που αλλάζει το τι πρέπει να εντοπίζει η ανίχνευση και πόσο γρήγορη πρέπει να είναι η απόκριση.
NIS2, DORA, και ποιο σας δεσμεύει
Οι χρηματοπιστωτικές οντότητες υπάγονται σε δύο επικαλυπτόμενα ευρωπαϊκά καθεστώτα και η αλληλεπίδραση έχει σημασία. Το NIS2 κατονομάζει τις τράπεζες και τις υποδομές χρηματοπιστωτικών αγορών ως τομείς βασικών οντοτήτων. Ο DORA (Κανονισμός 2022/2554) καλύπτει την ψηφιακή επιχειρησιακή ανθεκτικότητα ειδικά για χρηματοπιστωτικές οντότητες και εφαρμόζεται από τον Ιανουάριο 2025. Όπου ισχύει ο DORA, υπερισχύει ως lex specialis, οπότε μια τράπεζα δεν κάνει και τα δύο παράλληλα: οι απαιτήσεις διαχείρισης κινδύνου ΤΠΕ και αναφοράς περιστατικών του DORA υποκαθιστούν τα αντίστοιχα άρθρα του NIS2. Το πρακτικό ερώτημα για μια ελληνική χρηματοπιστωτική εταιρεία είναι επομένως ποιο καθεστώς διέπει ποια υποχρέωση, και αυτό εξαρτάται από τον τύπο της οντότητας και όχι από το μέγεθος. Το λάθος εδώ σημαίνει είτε διπλή προσπάθεια συμμόρφωσης είτε ένα κενό που δεν το κατέχει κανείς.
Πώς μοιάζει η κάλυψη στις χρηματοπιστωτικές υπηρεσίες
Δύο πράγματα καθορίζουν τον σχεδιασμό. Πρώτον, οι προθεσμίες αναφοράς είναι σύντομες και αποδεικτικές: και τα δύο καθεστώτα απαιτούν γρήγορη αρχική γνωστοποίηση και στη συνέχεια δομημένη λεπτομέρεια, που σημαίνει ότι η ανίχνευση πρέπει να παράγει υπερασπίσιμο χρονολόγιο και όχι απλώς μια ειδοποίηση. Η διατήρηση logs, η αλυσίδα επιμέλειας και η δυνατότητα ανασύστασης του τι συνέβη γίνονται έλεγχοι συμμόρφωσης και όχι προαιρετικά καλά. Δεύτερον, το προφίλ απειλής κυριαρχείται από την ταυτότητα και όχι από malware: business email compromise κατά της έγκρισης πληρωμών, κλοπή διαπιστευτηρίων με στόχο προνομιούχο οικονομικό προσωπικό, και απάτη που μοιάζει με νόμιμη δραστηριότητα. Αυτό ωθεί την κάλυψη προς την αυθεντικοποίηση, την προνομιακή πρόσβαση και την ασφάλεια email και όχι μόνο στα τερματικά.
Απάτη μέσω παραβιασμένου εταιρικού email (BEC)
Δόλιες εντολές πληρωμής από παραβιασμένους ή πλαστογραφημένους λογαριασμούς παραμένουν από τους πιο άμεσους φορείς οικονομικής ζημιάς.
Κατάληψη λογαριασμού μέσω διαπιστευτηρίων
Phishing και credential stuffing σε λογαριασμούς εργαζομένων ή πελατών μπορούν να οδηγήσουν άμεσα σε μεταφορά κεφαλαίων.
Πίεση κανονιστικής αναφοράς περιστατικών
Το NIS2 και κλαδικοί κανόνες επιβάλλουν σύντομες προθεσμίες αναφοράς μετά από σημαντικό περιστατικό, που απαιτεί γρήγορη ανίχνευση και τεκμηρίωση.
Συγκέντρωση τρίτων παρόχων ΤΠΕ
Ο DORA δίνει ρητό βάρος στον κίνδυνο τρίτων παρόχων ΤΠΕ, και οι ρυθμιστικές αρχές ενδιαφέρονται για τη συγκέντρωση: πολλές κρίσιμες λειτουργίες να στηρίζονται σε έναν πάροχο. Πρέπει να γνωρίζετε ποιοι πάροχοι είναι κρίσιμοι, τι συμβαίνει λειτουργικά αν κάποιος αστοχήσει, και να μπορείτε να το τεκμηριώσετε.
Μιλήστε μας για ασφάλεια χρηματοπιστωτικού τομέα
Πείτε μας για το περιβάλλον και τις κανονιστικές σας υποχρεώσεις και θα σας εξηγήσουμε τι ισχύει.