Η Ευρωπαϊκή Κεντρική Τράπεζα (ΕΚΤ) ολοκλήρωσε σήμερα την άσκηση προσομοίωσης ακραίων καταστάσεων σχετικά με την ανθεκτικότητα έναντι κυβερνοαπειλών, με την οποία αξιολογήθηκε ο τρόπος με τον οποίο οι τράπεζες θα αντιμετώπιζαν ένα σοβαρό αλλά αληθοφανές περιστατικό κυβερνοασφάλειας και θα αποκαθιστούσαν τη λειτουργία τους. Συνολικά, η άσκηση προσομοίωσης ακραίων καταστάσεων έδειξε ότι οι τράπεζες διαθέτουν πλαίσια για την αντιμετώπιση κυβερνοαπειλής και την αποκατάσταση της λειτουργίας τους, αλλά εξακολουθούν να υπάρχουν περιθώρια βελτίωσης. Τα αποτελέσματα, τα οποία θα ενσωματωθούν στη Διαδικασία Εποπτικού Ελέγχου και Αξιολόγησης (Supervisory Review and Evaluation Process – SREP) για το 2024, βοήθησαν τις τράπεζες να συνειδητοποιήσουν καλύτερα τα πλεονεκτήματα και τις αδυναμίες των οικείων πλαισίων ανθεκτικότητας έναντι κυβερνοαπειλών.
Η άσκηση, η οποία ξεκίνησε τον Ιανουάριο του 2024, περιλάμβανε ένα υποθετικό σενάριο προσομοίωσης ακραίων καταστάσεων σύμφωνα με το οποίο όλα τα προληπτικά μέτρα των τραπεζών απέτυχαν και η κυβερνοεπίθεση έπληξε σοβαρά τις βάσεις δεδομένων των βασικών συστημάτων τους. Ως εκ τούτου, η άσκηση επικεντρώθηκε στον τρόπο με τον οποίο οι τράπεζες θα αντιμετώπιζαν την κυβερνοεπίθεση και θα αποκαθιστούσαν τη λειτουργία τους και όχι στην ικανότητά τους να την αποτρέψουν.
Ο εντοπισμός και η αντιμετώπιση ανεπαρκειών στα πλαίσια επιχειρησιακής ανθεκτικότητας των εποπτευόμενων τραπεζών, συμπεριλαμβανομένων αυτών που απορρέουν από κυβερνοαπειλές, αποτελεί μία από τις εποπτικές προτεραιότητες της ΕΚΤ εντός του ΕΕΜ για την περίοδο 2024-2026. Αυτό αντανακλά την πρόσφατη έξαρση περιστατικών κυβερνοασφάλειας που οι εποπτευόμενες τράπεζες ανέφεραν στην ΕΚΤ – αύξηση που εν μέρει οφείλεται στις αυξανόμενες γεωπολιτικές εντάσεις και τις προκλήσεις που θέτει ο ψηφιακός μετασχηματισμός του τραπεζικού τομέα.
Στην άσκηση προσομοίωσης ακραίων καταστάσεων συμμετείχαν 109 τράπεζες οι οποίες υπόκεινται στην άμεση εποπτεία της ΕΚΤ. Όλες οι τράπεζες έπρεπε να απαντήσουν σε ερωτηματολόγιο και να υποβάλουν έγγραφα τεκμηρίωσης τα οποία ανέλυσαν οι εποπτικές αρχές, ενώ επιλέχθηκε ένα δείγμα 28 τραπεζών οι οποίες υποβλήθηκαν σε πιο εκτεταμένους ελέγχους. Από αυτές τις 28 τράπεζες ζητήθηκε να διενεργήσουν πραγματικό έλεγχο αποκατάστασης της λειτουργίας των πληροφοριακών συστημάτων τους και να παράσχουν αποδεικτικά στοιχεία για την επιτυχία αυτού του ελέγχου. Σε αυτές τις τράπεζες πραγματοποιήθηκαν επίσης επιτόπιες επισκέψεις από επόπτες. Το δείγμα κάλυψε διαφορετικά επιχειρηματικά μοντέλα και διαφορετικές γεωγραφικές τοποθεσίες ώστε να αντανακλάται το ευρύτερο τραπεζικό σύστημα της ζώνης του ευρώ και να διασφαλίζεται επαρκής συντονισμός με άλλες εποπτικές δραστηριότητες.
Για να ελέγξουν τον τρόπο αντίδρασής τους σύμφωνα με το σενάριο, οι τράπεζες έπρεπε να δείξουν την ικανότητά τους:
Για να ελέγξουν την ικανότητά τους να αποκαταστήσουν τη λειτουργία τους σύμφωνα με το σενάριο, οι τράπεζες έπρεπε να δείξουν ότι θα μπορούσαν:
Η ΕΚΤ έχει δεσμευθεί να συνεχίσει να συνεργάζεται με τις τράπεζες τις οποίες εποπτεύει ούτως ώστε να ενισχύσει το πλαίσιο ανθεκτικότητας τους έναντι κυβερνοαπειλών. Για τον σκοπό αυτό, θα ενθαρρύνει περαιτέρω τις τράπεζες να συνεχίσουν να εργάζονται για την εκπλήρωση των εποπτικών προσδοκιών, μεταξύ άλλων, διασφαλίζοντας ότι διαθέτουν επαρκή σχέδια επιχειρησιακής συνέχειας, επικοινωνίας και αποκατάστασης της λειτουργίας, τα οποία θα πρέπει να λαμβάνουν υπόψη ένα ευρύ φάσμα σεναρίων κυβερνοαπειλών. Οι τράπεζες θα πρέπει επίσης να είναι σε θέση να εκπληρώνουν τους δικούς τους στόχους αποκατάστασης της λειτουργίας, να αξιολογούν δεόντως τις εξαρτήσεις από τρίτους παρόχους υπηρεσιών τεχνολογίας πληροφορικής και επικοινωνιών (ΤΠΕ) κρίσιμης σημασίας και να εκτιμούν επαρκώς τις άμεσες και έμμεσες ζημίες από κυβερνοεπίθεση.
Τα αποτελέσματα της άσκησης θα ενσωματωθούν στη SREP του 2024, η οποία αξιολογεί το προφίλ κινδύνου κάθε τράπεζας. Η άσκηση προσομοίωσης ακραίων καταστάσεων έναντι κυβερνοαπειλών δεν επικεντρώνεται στο κεφάλαιο των τραπεζών. Αυτό σημαίνει ότι τα αποτελέσματά της δεν θα επηρεάσουν το κεφάλαιο των τραπεζών μέσω των κατευθύνσεων του Πυλώνα 2. Οι εποπτικές αρχές υπέβαλαν επιμέρους παρατηρήσεις σε κάθε τράπεζα και θα προβούν αντιστοίχως σε περαιτέρω ενέργειες σε συνεργασία με αυτές. Σε ορισμένες περιπτώσεις, οι τράπεζες έχουν ήδη βελτιώσει ή σχεδιάζουν να διορθώσουν τις ελλείψεις που εντοπίστηκαν κατά τη διάρκεια της άσκησης.
2024-07-26T11:38:05Z dg43tfdfdgfd