ΗΠΑ – Νέο πλαίσιο για την κυβερνοασφάλεια στις τράπεζες

Οι ρυθμιστικές αρχές των τραπεζών των ΗΠΑ οριστικοποίησαν την Πέμπτη έναν κανόνα που επιβάλει στις τράπεζες να αναφέρουν οποιοδήποτε σημαντικό περιστατικό κυβερνοασφάλειας στην κυβέρνηση εντός 36 ωρών από την ανακάλυψη.

Ξεχωριστά, ο τραπεζικός κλάδος δήλωσε ότι ολοκλήρωσε με επιτυχία μια τεράστια διακλαδική άσκηση για την ασφάλεια στον κυβερνοχώρο που στοχεύει να διασφαλίσει ότι η Wall Street ξέρει πώς να ανταποκριθεί σε περίπτωση επίθεσης ransomware που απειλεί να διαταράξει μια σειρά από χρηματοοικονομικές υπηρεσίες.

Οι εξελίξεις υπογραμμίζουν την αυξανόμενη απειλή μεγάλης κλίμακας περιστατικών στον κυβερνοχώρο για τη χρηματοπιστωτική σταθερότητα.

«Ο κλάδος των χρηματοπιστωτικών υπηρεσιών είναι κορυφαίος στόχος, αντιμετωπίζοντας δεκάδες χιλιάδες κυβερνοεπιθέσεις κάθε μέρα», δήλωσε ο Kenneth Bentsen, Διευθύνων Σύμβουλος του Securities Industry and Financial Markets Association, που διοργάνωσε και ηγήθηκε της βιομηχανικής άσκησης.

Ο νέος τραπεζικός κανόνας ορίζει ότι οι τράπεζες πρέπει να ειδοποιούν την κύρια ρυθμιστική αρχή τους για μια σημαντική παραβίαση ασφάλειας υπολογιστή το συντομότερο δυνατό και το αργότερο 36 ώρες μετά την ανακάλυψη.

Οι τράπεζες πρέπει επίσης να ειδοποιούν τους πελάτες το συντομότερο δυνατό για ένα περιστατικό κυβερνοασφάλειας εάν αυτό οδηγήσει σε προβλήματα που διαρκούν περισσότερο από τέσσερις ώρες.

Η νέα απαίτηση ισχύει για τυχόν περιστατικά κυβερνοασφάλειας που αναμένεται να επηρεάσουν ουσιαστικά την ικανότητα μιας τράπεζας να παρέχει υπηρεσίες, να διεξάγει τις δραστηριότητές της ή να υπονομεύσει τη σταθερότητα του χρηματοπιστωτικού τομέα. Ο κανόνας εγκρίθηκε από την Federal Reserve, την Federal Deposit Insurance Corporation και το Office of the Controller of the Currency.

Θέτει σαφείς προσδοκίες για το πόσο γρήγορα πρέπει οι τράπεζες να κάνουν γνωστές τις παραβιάσεις της κυβερνοασφάλειας, καθώς οι ρυθμιστικές αρχές προσπαθούν να καλύψουν τον ταχέως αναπτυσσόμενο ρόλο που παίζει η τεχνολογία σε κάθε τύπο τραπεζικής υπηρεσίας. Προηγουμένως, δεν υπήρχε συγκεκριμένη απαίτηση για το πόσο γρήγορα μια τράπεζα πρέπει να αναφέρει μια μεγάλη παραβίαση υπολογιστή.