CREST: Для киберустойчивости финсектора нужна экосистема

Подготовленный глобальной некоммерческой организацией CREST аналитический документ предлагает юрисдикциям формировать киберустойчивость в сфере финансовых услуг в рамках широкой экосистемы, включающей надзорные органы и специализированных ИБ-вендоров, и не рассматривать её исключительно как ответственность каждого учреждения.

По мнению экспертов, слабые места в общей инфраструктуре и устройстве поставщиков технологий, ИТ-компаний или госорганов могут подорвать устойчивость финсектора в целом. Исходя из данного тезиса, регуляторы обязаны заявлять соразмерные ожидания, контролировать отдельные фирмы и понимать системные риски, а вендоры — предоставлять консультации, оценку, анализ угроз, тестирование и возможности реагирования.

Концепция описывает каждую область через последовательность этапов киберзрелости. Финучреждения переходят от неполной базовой гигиены к продвинутой, ориентированной на угрозы системе обеспечения безопасности и постоянному совершенствованию. Надзорные органы следуют от определения своих вотчин и установления полномочий к адаптивному межсекторальному контролю, в то время как поставщики отказываются от непроверенных услуг, отдав предпочтение специализированным возможностям для отрасли финансов.

В CREST пояснили, что тремя её приоритетами являются измерение зрелости в масштабах всей экосистемы, общий язык для всех трёх категорий субъектов и ускорение развития там, где одна часть экосистемы отстаёт. Регуляторам или другим участникам рынка предлагается разработать многолетние планы, чтобы все секторы развивались параллельно, не допуская превышения требований над готовностью.

Документ также описывает процессы, связанные с независимой оценкой и тестированием учреждений на основе рисков, аккредитацией вендоров и проведением соразмерных общесистемных учений. В нём упоминаются и такие меры, как наставничество, партнёрство, обучение и программа ускоренного развития кибербезопасности (CREST CAMP).

Усам Оздемиров