UKNF o zarządzaniu ryzykiem ICT przez instytucje finansowe
Ponadto wskazano, że szczególnej weryfikacji powinny zostać poddane procesy zarządzania podatnościami, zarządzania zmianą, zarządzania ryzykiem dostawców ICT oraz utrzymania odporności operacyjnej.
Wskazano również, że podmioty powinny uwzględnić zagrożenie znaczącego wzrostu liczby wykrywanych podatności, ograniczenia czasu dostępnego na ich analizę i usunięcie oraz konieczność podejmowania decyzji w warunkach zwiększonej niepewności i presji czasowej.
„Proces zarządzania podatnościami powinien opierać się na podejściu uwzględniającym rzeczywisty poziom ryzyka, a nie wyłącznie na ocenie wskaźników klasyfikacji podatności, takich jak CVSS, odzwierciedlających ich techniczną istotność. Przy określaniu priorytetów działań wskazane jest wykorzystywanie informacji z zakresu Threat Intelligence, danych dotyczących aktywnego wykorzystywania podatności, wpływu na realizację funkcji krytycznych oraz zależności pomiędzy aktywami, procesami biznesowymi i dostawcami usług ICT” – napisano.
„Jednocześnie UKNF zaleca rozwój mechanizmów automatycznej identyfikacji podatnych zasobów oraz wykorzystania narzędzi wspierających analizę ekspozycji organizacji na nowe zagrożenia” – dodano.
Zalecane korzystanie ze wsparcia CSIRT KNF
UKNF rekomenduje również aktywne korzystanie ze wsparcia CSIRT KNF, który monitoruje rozwój technologii, w tym modeli Frontier AI, oraz analizuje związane z nimi zagrożenia, podatności i techniki stosowane przez podmioty prowadzące działalność ofensywną.
„Wyniki tych analiz, publikowane w formie ostrzeżeń, komunikatów, rekomendacji i materiałów analitycznych, stanowią istotne źródło wiedzy wspierające ocenę ryzyka i powinny być uwzględniane w procesach zarządzania podatnościami, monitorowania zagrożeń oraz reagowania na incydenty” – napisano.
Dodano, że współpraca z CSIRT KNF nie powinna ograniczać się wyłącznie do korzystania z publikowanych materiałów. Powinna obejmować również bieżącą wymianę informacji o obserwowanych zagrożeniach, podatnościach, incydentach i technikach ataków oraz udział w inicjatywach służących podnoszeniu dojrzałości cyberbezpieczeństwa sektora.
„Sprzyja to szybszej identyfikacji zagrożeń o charakterze sektorowym, skuteczniejszej koordynacji działań oraz wypracowywaniu wspólnych mechanizmów ograniczania ryzyka. Rozwój rozwiązań opartych na sztucznej inteligencji powinien być wykorzystywany również do wzmacniania zdolności obronnych organizacji” – wskazano.
„Wdrażanie tego rodzaju narzędzi powinno jednak odbywać się w sposób kontrolowany i poprzedzony odpowiednią oceną ryzyka. W szczególności należy uwzględnić ryzyka związane z bezpieczeństwem agentów AI, zarządzaniem uprawnieniami, ochroną przetwarzanych danych, zależnością od dostawców usług AI oraz możliwością powstania nowych wektorów ataku. Równocześnie podmioty finansowe powinny zachować ostrożność wobec informacji pojawiających się w przestrzeni publicznej i podejmować decyzje dotyczące bezpieczeństwa w oparciu o zweryfikowane informacje techniczne oraz własną analizę ryzyka” – dodano.
Ryzyko cybernetyczne fundamentalnym ryzykiem biznesowym
Z rekomendacji wynika również, że istotnym elementem przygotowania organizacji do nowych zagrożeń powinno być zwiększenie zaangażowania zarządów w ocenę wpływu rozwoju modeli Frontier AI na profil ryzyka organizacji oraz zapewnienie w szczególności odpowiednich zasobów umożliwiających utrzymanie odporności operacyjnej w warunkach dynamicznego wzrostu liczby podatności i incydentów bezpieczeństwa.
Jak dodano, ryzyko cybernetyczne nie może być traktowane wyłącznie jako kwestia techniczna. UKNF wskazuje, że to fundamentalne ryzyko biznesowe.
„Z uwagi na odpowiedzialność spoczywającą na organach zarządzających, powinny one zagwarantować, że procesy warunkujące odporność cybernetyczną zostaną wdrożone i będą skutecznie funkcjonowały w sytuacjach kryzysowych. Przedstawione rekomendacje mają na celu wsparcie podmiotów rynku finansowego w przygotowaniu do zmian zachodzących w krajobrazie cyberzagrożeń wynikających z rozwoju modeli Frontier AI” – napisano.
W ocenie UKNF, ich wdrożenie powinno przyczynić się do zwiększenia odporności operacyjnej sektora finansowego, usprawnienia procesów zarządzania podatnościami i ryzykiem związanym z ICT oraz lepszego przygotowania organizacji na nowe scenariusze zagrożeń.
