Finansų įstaigos privalo užtikrinti nuolatinę infrastruktūros apsaugą, atitiktį griežtiems tarptautiniams standartams ir momentinį grėsmių neutralizavimą. Šioje dinamiškoje aplinkoje strateginė kibernetinio saugumo lyderystė lemia gebėjimą integruoti pažangiausias technologijas bei sukurti atsparią finansinių paslaugų ekosistemą.
Kodėl saugumo standartai yra svarbūs pasirenkant finansinių paslaugų teikėją?
Finansų įstaigos taikomi saugumo standartai tiesiogiai garantuoja lėšų saugumą, asmens duomenų konfidencialumą ir nepertraukiamą paslaugų teikimą bet kokių kibernetinių incidentų metu. Prieš nusprendžiant atidaryti sąskaitą ar pradėti naudotis elektroninių mokėjimų paslaugomis, būtina įvertinti teikėjo turimas licencijas, šifravimo protokolus bei atitiktį Europos Sąjungos finansų priežiūros reikalavimams.
Aukštą finansinių paslaugų teikėjo saugumo lygį patvirtina 3 esminiai kriterijai:
- Tarptautinių mokėjimo kortelių industrijos duomenų saugumo standartų (PCI DSS) sertifikavimas.
- Priežiūros institucijų išduota elektroninių pinigų ar bankinė licencija, įpareigojanti taikyti griežtas rizikos valdymo taisykles.
- Automatizuotas klientų identifikavimo (KYC) ir pinigų plovimo prevencijos (AML) sistemų veikimas.
Kokios kibernetinės grėsmės dažniausiai kyla finansų sektoriuje?
Pagrindinės grėsmės finansų sektoriuje yra automatizuotas sukčiavimas (angl. phishing), išpirkos reikalaujančios programos (angl. ransomware) ir programų sąsajų (API) pažeidžiamumai. Šios atakos siekia perimti prisijungimo duomenis, užšifruoti svarbias duomenų bazes arba neteisėtai pasiekti pinigines operacijas.
Finansų rinkoje išskiriami 3 dažniausiai pasitaikantys kibernetinių atakų vektoriai:
- Tikslingos socialinės inžinerijos atakos: Suklastoti pranešimai ir skambučiai, kuriais bandoma išvilioti klientų ar darbuotojų autorizavimo kodus.
- Mobiliųjų programėlių atakos: Kenkėjiškos programos, skirtos nuskaityti klavišų paspaudimus ir perimti vienkartinius saugumo slaptažodžius.
- Paslaugų trikdymo atakos (DDoS): Dirbtinai sugeneruotas didelis užklausų srautas, siekiantis laikinai paralyžiuoti mokėjimo sistemų veiklą.
Kaip technologijos užtikrina skaitmeninių mokėjimų apsaugą realiuoju laiku?
Momentinę mokėjimų apsaugą garantuoja kelių veiksnių autentifikavimas (MFA), duomenų žetonizacija (angl. tokenization) bei dirbtiniu intelektu paremti sukčiavimo prevencijos moduliai. Šie sprendimai patikrina kiekvieną atliekamą operaciją per mažiau nei kelias šimtąsias sekundės dalis.
Mokėjimo kortelių duomenų saugumui naudojama žetonizacijos technologija pakeičia jautrų kortelės numerį unikaliu skaitmeniniu kodu, kuris yra bevertis trečiosioms šalims. Tuo pat metu mašininio mokymosi algoritmai analizuoja atliekamo mokėjimo parametrus: geografinę lokaciją, sumos dydį, operacijos laiką bei vartotojo įrenginio elgsenos šablonus. Aptikus nukrypimus nuo įprastos elgsenos, operacija nedelsiant sustabdoma papildomam tapatybės patvirtinimui.
Kokie reikalavimai keliami finansų įstaigų skaitmeniniam atsparumui?
Finansų sektoriaus subjektai privalo laikytis griežtų Europos Sąjungos skaitmeninės veiklos atsparumo reglamento (DORA) nuostatų ir reguliariai atlikti sistemų pažeidžiamumo testus. Šie reikalavimai įpareigoja įmones ne tik atremti atakas, bet ir užtikrinti greitą veiklos atkūrimą sisteminių trikdžių atveju.
Skaitmeninio atsparumo strategiją sudaro:
- Nuolatinė trečiųjų šalių informacinių technologijų teikėjų rizikos stebėsena.
- Reguliarūs įsilaužimo testai (angl. penetration testing), imituojantys realias kibernetines atakas.
- Dubliuotos rezervinių duomenų kopijos, saugomos atskirtose ir izoliuotose serverių infrastruktūrose.
Kokių saugumo priemonių turi imtis patys vartotojai ir verslas?
Vartotojai ir įmonės privalo taikyti griežtą prieigų kontrolę, naudoti biometrinius autentifikavimo metodus ir nuolat atnaujinti naudojamą programinę įrangą. Net pažangiausia techninė apsauga nebus efektyvi, jei paskyros valdytojas nesilaikys elementarių skaitmeninės higienos taisyklių.
Kasdienei finansinių operacijų apsaugai būtina taikyti 3 praktines taisykles:
- Niekada neatskleisti prisijungimo duomenų, PIN kodų ar SMS žinutėmis gautų autorizavimo patvirtinimų tretiesiems asmenims.
- Nustatyti individualius mokėjimo ir pavedimų limitus sąskaitose bei kortelėse.
- Naudoti atskirus įrenginius ir saugius ryšio tinklus kritinėms verslo finansinėms operacijoms vykdyti.