Finansų sektoriaus kibernetinis saugumas

Finansų organizacijos yra vienas patraukliausių kibernetinių nusikaltėlių taikinių.

Atakų tikslas gali būti:

• finansinių duomenų vagystė;

• vartotojų paskyrų perėmimas;

• mokėjimų inicijavimas ar manipuliavimas;

• konfidencialios klientų informacijos nutekinimas;

• ransomware ataka;

• paslaugų sutrikdymas;

• finansinis sukčiavimas;

• privilegijuotos prieigos perėmimas;

• tiekėjo infrastruktūros kompromitavimas.

Todėl apsauga turi apimti ne vien organizacijos tinklo perimetrą, bet visą skaitmeninę ekosistemą – nuo vartotojo identiteto iki aplikacijų, duomenų, debesijos ir išorinių paslaugų tiekėjų.

DORA – skaitmeninis operacinis atsparumas

Finansų sektoriui ypač svarbus DORA (Digital Operational Resilience Act) reglamentas.

Jo tikslas – užtikrinti, kad finansų organizacijos gebėtų išlaikyti kritines veiklos funkcijas net ir įvykus rimtam IRT sutrikimui ar kibernetiniam incidentui.

DORA apima kelias pagrindines sritis:

• IRT rizikų valdymą;

• IRT incidentų valdymą;

• incidentų klasifikavimą ir pranešimus;

• skaitmeninio operacinio atsparumo testavimą;

• trečiųjų šalių IRT rizikos valdymą;

• informacijos apie kibernetines grėsmes apsikeitimą.

Todėl finansų sektoriaus kibernetinis saugumas turi būti vertinamas ne tik pagal tai, ar organizacija geba užkirsti kelią atakai, bet ir pagal tai, ar ji geba tęsti kritinių paslaugų teikimą incidento metu ir po jo.

IRT rizikų valdymas

Finansų organizacijos turi aiškiai suprasti, nuo kokių technologijų priklauso jų kritinės veiklos funkcijos.

Svarbu identifikuoti:

• kritines informacines sistemas;

• serverius;

• tinklo infrastruktūrą;

• aplikacijas;

• debesijos paslaugas;

• vartotojų identiteto sistemas;

• duomenų saugyklas;

• trečiųjų šalių paslaugas;

• tarpusavio sistemų priklausomybes.

Tik žinant, kurios sistemos yra kritinės, galima tinkamai prioritetizuoti kibernetinio saugumo priemones.

Tinklo saugumas

Finansų organizacijos tinklas turi būti projektuojamas kaip daugiasluoksnė saugumo infrastruktūra.

Svarbios priemonės gali apimti:

• naujos kartos ugniasienes;

• tinklo segmentavimą;

• vidinių sistemų atskyrimą;

• DMZ;

• IDS/IPS;

• saugų nuotolinį prisijungimą;

• tinklo prieigos kontrolę;

• DDoS apsaugą;

• centralizuotą tinklo įrangos valdymą.

Segmentavimas ypač svarbus tam, kad vienos sistemos kompromitavimas nesuteiktų užpuolikui nekontroliuojamos prieigos prie kitų kritinių sistemų.

Identiteto ir prieigos apsauga

Finansų sektoriuje vartotojo identitetas yra vienas svarbiausių kibernetinio saugumo elementų.

Kompromituota darbuotojo ar administratoriaus paskyra gali suteikti užpuolikui prieigą prie kritinių sistemų ir jautrių duomenų.

Todėl prieigos valdymas gali apimti:

• daugiafaktorę autentifikaciją (MFA);

• Single Sign-On (SSO);

• privilegijuotų prieigų valdymą (PAM);

• Zero Trust;

• ZTNA;

• Least Privilege principą;

• periodinę prieigos teisių peržiūrą;

• trečiųjų šalių prieigos kontrolę.

Prieiga turi būti suteikiama pagal realų vartotojo poreikį ir riziką.

Privilegijuotų paskyrų apsauga

Administratorių paskyros yra ypač vertingas kibernetinių užpuolikų taikinys.

Jos gali suteikti prieigą prie:

• Active Directory;

• serverių;

• duomenų bazių;

• tinklo infrastruktūros;

• debesijos platformų;

• saugumo sistemų;

• atsarginių kopijų infrastruktūros.

Todėl privilegijuotoms paskyroms turi būti taikomos griežtesnės kontrolės priemonės.

PAM gali padėti centralizuotai valdyti administravimo prieigas, riboti jų galiojimą, saugoti privilegijuotus prisijungimo duomenis ir registruoti administratorių sesijas.

Galinių įrenginių apsauga

Darbuotojų kompiuteriai ir serveriai yra dažnas pradinis kibernetinės atakos taškas.

Phishing, kenkėjiški failai, pavogti slaptažodžiai ir pažeidžiama programinė įranga gali suteikti užpuolikui pradinę prieigą prie organizacijos infrastruktūros.

Todėl galinių įrenginių apsauga gali apimti:

• EDR;

• XDR;

• antivirusinę apsaugą;

• aplikacijų kontrolę;

• įrenginių kontrolę;

• pažeidžiamumų valdymą;

• saugumo konfigūracijų kontrolę.

EDR/XDR leidžia ne tik blokuoti žinomą kenkėjišką programinę įrangą, bet ir aptikti įtartiną elgseną bei sudėtingesnius atakos scenarijus.

Aplikacijų ir API saugumas

Finansinės paslaugos vis dažniau teikiamos per interneto ir mobiliąsias aplikacijas.

Klientų portalai, elektroninės bankininkystės sistemos, mokėjimų platformos ir API yra tiesiogiai pasiekiami iš interneto, todėl jiems reikalinga papildoma apsauga.

Aplikacijų saugumo architektūra gali apimti:

• WAF;

• API Security;

• Bot Management;

• DDoS apsaugą;

• MFA;

• pažeidžiamumų vertinimą;

• įsilaužimų testavimą;

• saugumo įvykių stebėjimą.

Apsauga turi būti pritaikyta ne tik tradicinėms atakoms, bet ir automatizuotam vartotojų paskyrų perėmimui bei finansiniam sukčiavimui.

DDoS apsauga

Finansinių paslaugų prieinamumas yra kritiškai svarbus.

DDoS ataka gali sutrikdyti interneto bankininkystę, klientų portalus, mokėjimų sistemas, API ar kitas viešai prieinamas paslaugas.

Todėl apsauga gali būti projektuojama keliais lygmenimis:

Tinklo DDoS apsauga → Debesijos srauto valymas → WAF → Aplikacijų lygmens DDoS apsauga → Bot Management.

Kritinėms finansinėms sistemoms gali būti naudojamas hibridinis apsaugos modelis.

SIEM ir saugumo analitika

Finansų organizacijos infrastruktūra generuoja didelį kiekį saugumo įvykių.

Ugniasienės, EDR/XDR, serveriai, identiteto sistemos, aplikacijos ir debesijos platformos kiekvieną dieną generuoja milijonus techninių įrašų.

SIEM leidžia šią informaciją centralizuotai rinkti, koreliuoti ir analizuoti.

Tai padeda aptikti:

• vartotojų paskyrų kompromitavimą;

• privilegijų eskalavimą;

• įtartinus prisijungimus;

• lateral movement;

• kenkėjišką tinklo veiklą;

• galimą duomenų nutekėjimą;

• kitus sudėtingesnius atakos scenarijus.

SOC/MDR

Vien technologijų nepakanka.

Saugumo įspėjimus reikia nuolat stebėti, analizuoti ir atskirti realias grėsmes nuo nereikšmingų įvykių.

SOC/MDR paslaugos gali užtikrinti nuolatinę:

• saugumo įvykių stebėseną;

• grėsmių analizę;

• incidentų identifikavimą;

• incidentų eskalavimą;

• reagavimo koordinavimą;

• grėsmių paiešką.

Tai leidžia sumažinti laiką tarp atakos pradžios ir jos aptikimo.

Reagavimas į incidentus

Finansų sektoriuje kibernetinio incidento pasekmės gali labai greitai tapti reikšmingos.

Todėl reagavimo procesas turi būti parengtas iš anksto.

Svarbu aiškiai nustatyti:

Kas atsakingas už incidento valdymą?

Kaip incidentas klasifikuojamas?

Kokios sistemos turi būti izoliuojamos?

Kaip išsaugomi tyrimui reikalingi duomenys?

Kaip atkuriamos paslaugos?

Kada ir kam turi būti perduodama informacija apie incidentą?

Reguliariai testuojamas incidentų valdymo planas leidžia organizacijai veikti struktūrizuotai net ir sudėtingos kibernetinės atakos metu.

Skaitmeninio atsparumo testavimas

Vien saugumo sprendimų turėjimas neparodo, kaip jie veiks realios atakos metu.

Todėl finansų organizacijoms svarbu reguliariai tikrinti savo atsparumą.

Testavimas gali apimti:

• pažeidžiamumų vertinimą;

• įsilaužimų testavimą;

• tinklo saugumo testavimą;

• aplikacijų testavimą;

• phishing simuliacijas;

• incidentų valdymo pratybas;

• sistemų atkūrimo testus.

Tikslas – nustatyti silpnąsias vietas dar prieš jomis pasinaudojant realiam užpuolikui.

Duomenų apsauga

Finansų sektoriuje saugomi ypač jautrūs klientų ir verslo duomenys.

Duomenų apsauga turi užtikrinti jų:

Konfidencialumą

Vientisumą

Prieinamumą

Tam gali būti naudojama:

• duomenų šifravimas;

• DLP;

• prieigos kontrolė;

• duomenų klasifikavimas;

• privilegijuotų paskyrų valdymas;

• saugumo stebėjimas;

• atsarginės kopijos.

Apsauga turi apimti duomenis tiek organizacijos infrastruktūroje, tiek debesijos paslaugose.

Atsarginės kopijos ir atkūrimas

Ransomware ar kitas rimtas kibernetinis incidentas gali padaryti kritines sistemas nepasiekiamas.

Todėl atsarginės kopijos turi būti projektuojamos kaip svarbi bendro kibernetinio atsparumo dalis.

Svarbu užtikrinti:

• kelias duomenų kopijas;

• geografiškai atskirtą saugojimą;

• nekintamas kopijas;

• izoliuotas ar offline kopijas;

• MFA administravimo prieigai;

• kopijų šifravimą;

• periodinį atkūrimo testavimą.

Svarbiausia ne tai, ar organizacija turi atsargines kopijas, o ar iš jų galima per reikiamą laiką atkurti kritines paslaugas.

Trečiųjų šalių IRT rizika

Finansinės organizacijos vis labiau priklauso nuo išorinių technologijų tiekėjų.

Tai gali būti:

• debesijos paslaugų teikėjai;

• SaaS platformos;

• programinės įrangos tiekėjai;

• duomenų centrai;

• mokėjimų infrastruktūros partneriai;

• IT priežiūros įmonės;

• kiti technologiniai partneriai.

Trečiosios šalies saugumo incidentas gali tiesiogiai paveikti finansų organizacijos paslaugas.

Todėl svarbu vertinti:

• kokius duomenis tiekėjas pasiekia;

• prie kokių sistemų turi prieigą;

• kaip valdoma jo autentifikacija;

• kaip pranešama apie incidentus;

• kaip užtikrinamas paslaugos tęstinumas;

• kaip panaikinama prieiga pasibaigus sutarčiai.

Trečiųjų šalių IRT rizikos valdymas yra viena iš esminių DORA krypčių.

Ransomware atsparumas

Finansų organizacijos turi būti pasirengusios scenarijui, kai užpuolikas jau pateko į infrastruktūrą.

Tikslas – neleisti jam nekontroliuojamai judėti tarp sistemų ir pasiekti kritinių duomenų bei atsarginių kopijų.

Todėl ransomware atsparumo architektūra gali apimti:

MFA → EDR/XDR → Segmentavimas → PAM → Pažeidžiamumų valdymas → SIEM/SOC → Izoliuotos atsarginės kopijos → Incidentų reagavimas.

Debesijos saugumas

Debesijos technologijos leidžia finansų organizacijoms greičiau diegti naujas paslaugas ir didinti infrastruktūros lankstumą.

Tačiau debesija nekeičia poreikio valdyti saugumo riziką.

Svarbu užtikrinti:

• identiteto ir prieigos kontrolę;

• MFA;

• saugias debesijos konfigūracijas;

• tinklo segmentavimą;

• duomenų šifravimą;

• saugumo įvykių rinkimą;

• pažeidžiamumų valdymą;

• atsargines kopijas.

Debesijos saugumas turi būti integruotas į bendrą organizacijos kibernetinio saugumo architektūrą.

Zero Trust finansų sektoriuje

Tradicinis modelis, kai vartotojas laikomas patikimu vien todėl, kad yra vidiniame organizacijos tinkle, nebeatitinka šiuolaikinės finansų infrastruktūros.

Zero Trust principas remiasi nuolatiniu patikrinimu.

Prieš suteikiant prieigą vertinama:

Kas yra vartotojas?

Kokį įrenginį jis naudoja?

Ar įrenginys atitinka saugumo reikalavimus?

Kokią sistemą vartotojas turi teisę pasiekti?

Ar prisijungimas nekelia papildomos rizikos?

Tokiu būdu galima sumažinti kompromituotos paskyros ar įrenginio poveikį.

NIS2 ir finansų sektorius

Finansų sektoriaus organizacijoms reguliacinėje aplinkoje ypač svarbus DORA, kuris veikia kaip sektoriui pritaikytas skaitmeninio operacinio atsparumo reguliavimo pagrindas.

Todėl vertinant NIS2 ir DORA reikalavimų santykį svarbu atsižvelgti į konkrečios finansų organizacijos veiklą ir jai taikomą reguliacinę sistemą.

Techniniu požiūriu abiejų reguliavimo krypčių tikslai daugelyje sričių sutampa – organizacijos turi valdyti kibernetines rizikas, apsaugoti sistemas, aptikti incidentus, užtikrinti veiklos tęstinumą ir kontroliuoti tiekimo grandinės riziką.

Daugiasluoksnė finansų sektoriaus apsauga

Finansų organizacijos saugumas negali priklausyti nuo vienos technologijos.

Efektyvi apsauga kuriama derinant kelis sluoksnius:

Identitetas ir MFA → Tinklo segmentavimas → Endpoint ir serverių apsauga → Aplikacijų ir API apsauga → Duomenų apsauga → SIEM/SOC → Incidentų valdymas → Atsarginės kopijos ir atkūrimas.

Tokiu būdu kuriamas ne tik kibernetinis saugumas, bet ir skaitmeninis operacinis atsparumas.

Kodėl AVEDUS?

Kompleksinis požiūris į finansų sektoriaus saugumą

Vertiname tinklo, identiteto, galinių įrenginių, aplikacijų, duomenų ir saugumo stebėjimo infrastruktūrą kaip vientisą sistemą.

Nuo prevencijos iki incidentų valdymo

Galime apjungti apsaugos technologijas su SIEM, SOC/MDR, pažeidžiamumų vertinimu, įsilaužimų testavimu ir reagavimu į incidentus.

DORA kontekstas

Techninius kibernetinio saugumo sprendimus galime projektuoti atsižvelgdami į finansų sektoriaus skaitmeninio operacinio atsparumo poreikius.

Zero Trust ir identiteto saugumas

Padedame stiprinti MFA, PAM, ZTNA ir kitas tapatybės bei prieigos kontrolės priemones.

Nuo vertinimo iki priežiūros

AVEDUS gali įvertinti esamą saugumo infrastruktūrą, suprojektuoti tikslinę architektūrą, įdiegti reikalingus sprendimus ir užtikrinti jų tolesnę priežiūrą.