Điều hướng khả năng phục hồi hoạt động trong lĩnh vực tài chính: Hướng dẫn dành cho CISO

Lĩnh vực tài chính không còn xa lạ với các quy định nghiêm ngặt, nhưng Đạo luật Khả năng phục hồi hoạt động kỹ thuật số (DORA) của EU đại diện cho một sự thay đổi mô hình đáng kể. Nó nâng khả năng phục hồi hoạt động kỹ thuật số lên một cấp độ quan trọng chiến lược, bắt buộc các khuôn khổ toàn diện để quản lý rủi ro ICT, báo cáo sự cố, kiểm tra khả năng phục hồi và giám sát bên thứ ba. Đối với các CISO và kỹ sư bảo mật trong các tổ chức tài chính, DORA không chỉ là một mục kiểm tra tuân thủ khác; đó là một sự đánh giá lại cơ bản về cách các rủi ro kỹ thuật số được xác định, quản lý và giảm thiểu trên toàn bộ hệ sinh thái hoạt động. Bối cảnh pháp lý đang phát triển, thúc đẩy các công ty chứng minh khả năng phục hồi hữu hình, có thể kiểm tra được thay vì chỉ các chính sách dựa trên giấy tờ.

Chuyện đã xảy ra

Đạo luật Khả năng phục hồi hoạt động kỹ thuật số (DORA) của EU là một quy định mang tính bước ngoặt đã trở thành tâm điểm chú ý của các tổ chức tài chính trên khắp Liên minh Châu Âu. Các yêu cầu của nó đang dần được áp dụng cho các công ty này, có nghĩa là các tổ chức tài chính thuộc đối tượng đã hoạt động dưới ảnh hưởng trực tiếp của nó. Quy định này nhằm mục đích hài hòa và tăng cường khả năng quản lý rủi ro ICT của ngành tài chính, đảm bảo rằng các công ty có thể chịu đựng, ứng phó và phục hồi sau tất cả các loại gián đoạn và mối đe dọa liên quan đến ICT.

DORA áp dụng rộng rãi cho nhiều tổ chức tài chính, bao gồm các ngân hàng, tổ chức thanh toán và tiền điện tử, công ty đầu tư, công ty bảo hiểm, công ty tái bảo hiểm, nhà quản lý quỹ, nhà cung cấp dịch vụ tài sản tiền điện tử và các địa điểm giao dịch. Quan trọng hơn, nó cũng mở rộng phạm vi của mình đến các nhà cung cấp bên thứ ba ICT quan trọng, khiến họ phải chịu sự giám sát chuyên biệt của EU. Phạm vi rộng lớn này nhấn mạnh tính chất liên kết của hệ sinh thái tài chính và tiềm năng rủi ro hệ thống bắt nguồn từ một điểm lỗi duy nhất trong chuỗi cung ứng kỹ thuật số.

Các nguyên lý cốt lõi của DORA yêu cầu các tổ chức tài chính thiết lập và duy trì một khuôn khổ quản lý rủi ro ICT mạnh mẽ. Khuôn khổ này phải bao gồm các chiến lược, chính sách và quy trình được lập thành văn bản, được cơ quan quản lý phê duyệt và xem xét thường xuyên. Các yêu cầu chính cũng bao gồm một quy trình có cấu trúc để xử lý các sự cố ICT, với các tiêu chí phân loại rõ ràng và báo cáo bắt buộc các sự cố lớn cho các cơ quan có liên quan. Hơn nữa, DORA bắt buộc phải có một chương trình kiểm tra khả năng phục hồi tương xứng, bao gồm kiểm tra thâm nhập dẫn đầu bởi mối đe dọa (TLPT) đối với một số tổ chức nhất định, và kiểm soát chặt chẽ các nhà cung cấp bên thứ ba ICT, bao gồm việc duy trì sổ đăng ký thông tin về các hợp đồng ICT và các điều khoản hợp đồng bắt buộc.

Trong khi các mốc quan trọng của DORA đang đến gần, tác động đầy đủ của nó vẫn đang diễn ra. Các thay đổi quy định quan trọng khác cũng đang định hình lại việc tuân thủ trong những năm tới, với nhiều thời hạn khác nhau trên các quy định khác nhau. Điều này cho thấy một bối cảnh pháp lý phức tạp và đang phát triển, nơi các công ty tài chính phải đồng thời điều hướng nhiều nghĩa vụ tuân thủ, thường chồng chéo. Thách thức không chỉ là đáp ứng các yêu cầu riêng lẻ mà còn là xây dựng một hệ thống bằng chứng hoạt động tích hợp có thể giải quyết đồng thời các khuôn khổ đa dạng này, bao gồm NIS2 và Đạo luật Khả năng phục hồi mạng.

Tại sao mô hình này cứ lặp lại

Mô hình áp lực pháp lý leo thang về khả năng phục hồi hoạt động kỹ thuật số không phải là ngẫu nhiên; đó là phản ứng trực tiếp trước tần suất, sự tinh vi và tác động ngày càng tăng của các sự cố mạng đối với lĩnh vực tài chính. Khi các dịch vụ tài chính ngày càng được số hóa và kết nối với nhau, sự phụ thuộc của chúng vào các hệ thống ICT phức tạp và các nhà cung cấp bên thứ ba tăng lên theo cấp số nhân. Sự phụ thuộc này giới thiệu các vectơ tấn công mới và khuếch đại tiềm năng gián đoạn trên diện rộng, khiến khả năng phục hồi kỹ thuật số trở thành vấn đề ổn định tài chính hệ thống.

Các phương pháp tuân thủ truyền thống thường tập trung vào tài liệu và chính sách, tạo ra một cảm giác an toàn sai lầm mà không nhất thiết cải thiện khả năng phục hồi hoạt động thực tế. Các cơ quan quản lý đã nhận ra rằng việc tuân thủ dựa trên giấy tờ là không đủ khi đối mặt với các mối đe dọa năng động, thích ứng. Do đó, DORA chuyển trọng tâm từ việc tuân thủ lý thuyết sang bằng chứng hoạt động, có thể kiểm chứng về khả năng phục hồi. Nó tìm cách đảm bảo rằng các tổ chức tài chính không chỉ có thể xác định rủi ro mà còn chủ động quản lý, kiểm tra và ứng phó với chúng trong các tình huống thực tế.

Sự liên kết của hệ sinh thái tài chính có nghĩa là một sự cố tại một tổ chức hoặc một nhà cung cấp bên thứ ba ICT quan trọng có thể có tác động dây chuyền trên toàn thị trường. DORA giải quyết rõ ràng điều này bằng cách làm cho rõ ràng những nhà cung cấp nào có liên quan đến thị trường tài chính đến mức khả năng phục hồi của họ trở thành vấn đề giám sát quy định. Sự công nhận về rủi ro chung và các hoạt động phụ thuộc lẫn nhau này thúc đẩy nhu cầu về các quy định toàn diện hơn, có thể thực thi được trên toàn bộ chuỗi cung ứng kỹ thuật số, đảm bảo rằng khả năng phục hồi không chỉ là mối quan tâm nội bộ mà còn là trách nhiệm chung.

Kỷ nguyên 'tuân thủ theo kiểu tích chọn' đối với khả năng phục hồi kỹ thuật số đã kết thúc. Các cơ quan quản lý hiện yêu cầu bằng chứng hoạt động, có thể chứng minh được rằng các hệ thống tài chính có thể chống chịu và phục hồi sau các cuộc tấn công mạng, thúc đẩy các CISO tích hợp sâu bảo mật vào quản lý tính liên tục kinh doanh và quản lý bên thứ ba.

Cẩm nang của kẻ tấn công từng bước

Những kẻ tấn công nhắm vào các tổ chức tài chính hoạt động với sự hiểu biết rõ ràng về các phụ thuộc quan trọng và áp lực quy định của mục tiêu. Cẩm nang của chúng thường bắt đầu bằng việc trinh sát rộng rãi, xác định các nhà cung cấp bên thứ ba ICT quan trọng phục vụ nhiều tổ chức tài chính. Các nhà cung cấp này đại diện cho một mục tiêu có giá trị cao do tiềm năng gây ra tác động rộng khắp của chúng.

Sự xâm nhập ban đầu thường tận dụng các lỗ hổng đã biết trong các hệ thống của bên thứ ba này hoặc các chiến thuật kỹ thuật xã hội tinh vi chống lại nhân viên của họ. Một khi đã xâm nhập vào mạng lưới của một nhà cung cấp quan trọng, kẻ tấn công sẽ tìm cách thiết lập sự tồn tại dai dẳng và leo thang đặc quyền. Điều này cho phép chúng di chuyển ngang, có khả năng truy cập vào các hệ thống và dữ liệu của nhiều khách hàng tài chính phụ thuộc vào nhà cung cấp bị xâm nhập đó.

Bước tiếp theo liên quan đến việc đánh cắp dữ liệu hoặc gây gián đoạn. Đánh cắp dữ liệu nhắm vào thông tin khách hàng nhạy cảm, hồ sơ tài chính hoặc tài sản trí tuệ, sau đó có thể được bán hoặc sử dụng cho các cuộc tấn công tiếp theo. Gây gián đoạn, thường thông qua ransomware hoặc phần mềm độc hại phá hoại, nhằm mục đích làm tê liệt khả năng hoạt động, dẫn đến ngừng dịch vụ và tổn thất tài chính. Mục tiêu là gây ra tác động tối đa, khai thác chính những sự phụ thuộc lẫn nhau mà DORA tìm cách giảm thiểu.

Cuối cùng, kẻ tấn công thường sẽ cố gắng xóa dấu vết, xóa nhật ký và triển khai các công cụ chống điều tra pháp y để cản trở các nỗ lực ứng phó sự cố. Thành công của chúng phụ thuộc vào việc khai thác các kẽ hở giữa các tổ chức và nhà cung cấp của họ, và sự phức tạp cố hữu của việc quản lý rủi ro ICT trên một chuỗi cung ứng kỹ thuật số mở rộng. Sự nhấn mạnh của DORA vào báo cáo sự cố và quản lý rủi ro bên thứ ba trực tiếp chống lại các chiến thuật này bằng cách yêu cầu sự minh bạch và các biện pháp kiểm soát chủ động.

Những gì các nhà phòng thủ đã bỏ lỡ

Trong nhiều trường hợp, các nhà phòng thủ đã bỏ lỡ sự tương tác quan trọng giữa quản lý rủi ro ICT nội bộ của họ và các lỗ hổng hiện có trong hệ sinh thái bên thứ ba của họ. Mặc dù các tổ chức tài chính thường có các biện pháp kiểm soát an ninh nội bộ mạnh mẽ, nhưng việc tập trung vào tài sản trực tiếp đôi khi đã làm lu mờ các rủi ro gián tiếp do các nhà cung cấp dịch vụ thiết yếu gây ra. DORA giải quyết rõ ràng điều này bằng cách yêu cầu kiểm soát chặt chẽ các nhà cung cấp bên thứ ba ICT, bao gồm sổ đăng ký thông tin về các hợp đồng ICT và các điều khoản hợp đồng bắt buộc, làm nổi bật một lĩnh vực rủi ro trước đây bị đánh giá thấp.

Một thiếu sót phổ biến khác là thiếu kiểm tra khả năng phục hồi thực sự trong hoạt động. Nhiều tổ chức đã thực hiện đánh giá lỗ hổng và kiểm tra thâm nhập, nhưng những thử nghiệm này thường thiếu cách tiếp cận dựa trên kịch bản, dẫn đầu bởi mối đe dọa được DORA quy định cho một số tổ chức nhất định. Điều này có nghĩa là mặc dù các thành phần riêng lẻ có thể an toàn, nhưng khả năng tổng thể để chống lại một cuộc tấn công tinh vi, đa giai đoạn và phục hồi hiệu quả đã không được xác thực đầy đủ. Yêu cầu của quy định về các chương trình kiểm tra tương xứng, bao gồm TLPT, trực tiếp nhắm vào khoảng trống này.

Hơn nữa, việc phân loại và báo cáo các sự cố lớn liên quan đến ICT đôi khi thiếu các tiêu chí chung và cơ chế báo cáo kịp thời hiện được yêu cầu. Điều này đã ngăn chặn một sự hiểu biết thống nhất về bối cảnh mối đe dọa và cản trở các nỗ lực ứng phó tập thể. Động thái của DORA nhằm chuẩn hóa các quy trình xử lý sự cố và báo cáo tìm cách khắc phục điều này, đảm bảo rằng các cơ quan quản lý và các tổ chức tài chính khác có một bức tranh rõ ràng hơn về các mối đe dọa mới nổi và tác động của chúng.

Cuối cùng, các kế hoạch liên tục và phục hồi, mặc dù thường tồn tại, nhưng không phải lúc nào cũng được kiểm tra nghiêm ngặt hoặc tích hợp với khuôn khổ quản lý rủi ro ICT rộng lớn hơn. Sự nhấn mạnh của quy định vào các chính sách liên tục kinh doanh ICT, kế hoạch ứng phó và phục hồi, và sao lưu nhấn mạnh tầm quan trọng của việc không chỉ ngăn chặn các sự cố mà còn đảm bảo sự trở lại nhanh chóng và hiệu quả với các hoạt động bình thường khi chúng không thể tránh khỏi xảy ra. Việc không tích hợp đầy đủ các yếu tố này có nghĩa là việc phục hồi thường mất nhiều thời gian hơn và hỗn loạn hơn mức cần thiết.

Danh sách kiểm tra phòng thủ thực tế

Đối với các CISO và kỹ sư bảo mật đang vật lộn với DORA, một cách tiếp cận chủ động và có cấu trúc là điều cần thiết. Dưới đây là các hành động cụ thể để củng cố khả năng phục hồi hoạt động kỹ thuật số:

• Chính thức hóa Khuôn khổ quản lý rủi ro ICT: Đảm bảo các chiến lược, chính sách và quy trình được lập thành văn bản của bạn về rủi ro ICT được cơ quan quản lý phê duyệt và xem xét thường xuyên, phù hợp với các điều khoản DORA liên quan. Khuôn khổ này phải xác định rõ ràng các vai trò, trách nhiệm và trách nhiệm giải trình trong toàn tổ chức.
• Thực hiện xử lý sự cố mạnh mẽ: Thiết lập và kiểm tra một quy trình xử lý sự cố ICT toàn diện, bao gồm các tiêu chí phân loại rõ ràng cho các sự cố lớn. Phát triển khả năng báo cáo kịp thời và chính xác các sự cố lớn cho các cơ quan có liên quan, tuân thủ các yêu cầu báo cáo sự cố của DORA.
• Tăng cường quản lý rủi ro bên thứ ba: Tạo và duy trì sổ đăng ký thông tin chi tiết về tất cả các nhà cung cấp bên thứ ba ICT quan trọng. Bắt buộc và thực thi các điều khoản hợp đồng phù hợp với các yêu cầu của DORA, bao gồm các chiến lược thoát và quyền kiểm toán, đảm bảo giám sát liên tục tình hình khả năng phục hồi của họ.
• Tiến hành kiểm tra khả năng phục hồi tương xứng: Phát triển và thực hiện một chương trình kiểm tra tương xứng, kết hợp kiểm tra thâm nhập dẫn đầu bởi mối đe dọa (TLPT) cho các tổ chức áp dụng. Điều này phải vượt ra ngoài việc quét lỗ hổng cơ bản để mô phỏng các kịch bản tấn công trong thế giới thực và xác nhận khả năng phục hồi.
• Phát triển và kiểm tra các kế hoạch liên tục: Xem xét và nâng cao các chính sách liên tục kinh doanh ICT, kế hoạch ứng phó và phục hồi, và chiến lược sao lưu. Thường xuyên kiểm tra các kế hoạch này thông qua các bài tập thực tế, đảm bảo chúng được cập nhật, hiệu quả và có khả năng khôi phục các chức năng quan trọng một cách nhanh chóng.
• Thiết lập cơ chế chia sẻ thông tin: Thực hiện các thỏa thuận để trao đổi thông tin về mối đe dọa mạng giữa các tổ chức tài chính. Điều này thúc đẩy một môi trường bảo mật hợp tác và cho phép phòng thủ chủ động chống lại các mối đe dọa mới nổi, như được DORA khuyến khích.
• Ánh xạ DORA với việc tuân thủ hiện có: Xác định các điểm chồng chéo và khoảng trống giữa DORA và các quy định khác (ví dụ: NIS2, Đạo luật Khả năng phục hồi mạng). Xây dựng một hệ thống bằng chứng hoạt động tích hợp có thể đáp ứng nhiều yêu cầu tuân thủ một cách hiệu quả, tái sử dụng các sự kiện và bằng chứng khi thích hợp trong khi vẫn bảo toàn các quyết định quy định riêng biệt.

Cách kiểm tra tấn công hiện đại sẽ phát hiện ra điều này

Kiểm tra thâm nhập truyền thống thường cung cấp một cái nhìn tổng quan về các lỗ hổng, nhưng nó hiếm khi mô phỏng các cuộc tấn công đa vectơ, kéo dài định nghĩa các mối đe dọa hiện đại. Đây là nơi kiểm tra tấn công tự động, đặc biệt khi được tích hợp vào một nền tảng dựa trên khung, mang lại lợi thế đáng kể. Một nền tảng như vậy, được trang bị các Bằng chứng khái niệm (PoC) có thể thực thi, sẽ chủ động xác định và xác thực chính những điểm yếu mà DORA nhằm giải quyết.

Nền tảng của chúng tôi, tận dụng kiểm tra tấn công tự động với các PoC có thể thực thi, sẽ thăm dò một cách có hệ thống cơ sở hạ tầng kỹ thuật số của tổ chức tài chính, bao gồm các phụ thuộc bên thứ ba ICT quan trọng của nó. Nó sẽ vượt ra ngoài việc phát hiện lỗ hổng đơn giản để tự động khai thác các điểm yếu đã xác định, chứng minh tác động và phạm vi thực sự của một vụ vi phạm tiềm năng. Ví dụ, nó có thể mô phỏng một kẻ tấn công giành quyền truy cập ban đầu thông qua một nhà cung cấp bên thứ ba bị xâm nhập và sau đó cố gắng di chuyển ngang vào các hệ thống cốt lõi của công ty tài chính.

Loại kiểm tra này sẽ làm lộ ra những khoảng trống quan trọng trong khuôn khổ quản lý rủi ro ICT bằng cách xác thực liệu các chính sách được lập thành văn bản có chuyển thành các biện pháp kiểm soát hiệu quả hay không. Nó sẽ kiểm tra hiệu quả của các cơ chế phát hiện và ứng phó sự cố bằng cách kích hoạt các cảnh báo thực tế và quan sát phản ứng của công ty. Quan trọng là, nó sẽ cung cấp bằng chứng cụ thể, có thể hành động về khả năng phục hồi hoạt động (hoặc thiếu khả năng phục hồi) bằng cách chứng minh cách một kẻ tấn công có thể làm gián đoạn dịch vụ hoặc đánh cắp dữ liệu, cho phép công ty khắc phục trước khi bị cơ quan quản lý giám sát hoặc xảy ra sự cố trong thế giới thực.

Bản chất tự động của loại kiểm tra này đảm bảo xác thực liên tục, vượt ra ngoài các đánh giá định kỳ sang một tư thế bảo mật luôn bật. Các PoC có thể thực thi cung cấp bằng chứng không thể chối cãi về khả năng khai thác, loại bỏ sự mơ hồ và thúc đẩy khắc phục có mục tiêu. Cách tiếp cận này sẽ cung cấp cho các CISO bằng chứng hoạt động cần thiết để đáp ứng các yêu cầu nghiêm ngặt của DORA về kiểm tra khả năng phục hồi, giám sát bên thứ ba và chuẩn bị ứng phó sự cố, biến việc tuân thủ lý thuyết thành sức mạnh bảo mật có thể kiểm chứng.

Những gì cần theo dõi tiếp theo

Bối cảnh pháp lý cho các dịch vụ tài chính liên tục phát triển, và DORA chỉ là một phần của bức tranh rộng lớn hơn. Các tổ chức tài chính phải dự đoán việc thắt chặt các quy định hơn nữa, đặc biệt liên quan đến rủi ro chuỗi cung ứng và tính toàn vẹn của dữ liệu. Sự tương tác giữa DORA, NIS2 và Đạo luật Khả năng phục hồi mạng sẽ ngày càng trở nên quan trọng, đòi hỏi một cách tiếp cận thống nhất đối với khả năng phục hồi hoạt động vượt qua các khuôn khổ riêng lẻ. Trọng tâm sẽ chuyển sang xây dựng một hệ thống bằng chứng duy nhất, có thể kiểm tra được có thể đáp ứng đồng thời các nghĩa vụ đa dạng này, thay vì giải quyết từng cái một cách riêng lẻ.

Hãy mong đợi sự giám sát chặt chẽ hơn về khía cạnh 'hoạt động' của khả năng phục hồi. Các cơ quan quản lý sẽ không chỉ yêu cầu các chính sách được lập thành văn bản mà còn là bằng chứng có thể chứng minh được rằng các hệ thống và quy trình có thể chống lại các mối đe dọa trong thế giới thực. Điều này có thể sẽ liên quan đến các yêu cầu quy định cụ thể hơn đối với kiểm tra thâm nhập dẫn đầu bởi mối đe dọa và báo cáo bắt buộc các sự cố, thúc đẩy các công ty đầu tư vào khả năng kiểm tra nâng cao và các kế hoạch ứng phó sự cố mạnh mẽ. Vai trò của các nhà cung cấp bên thứ ba ICT quan trọng cũng sẽ vẫn là một lĩnh vực trọng tâm chính, với tiềm năng có thêm quy định và giám sát để đảm bảo khả năng phục hồi của họ phù hợp với các tổ chức tài chính mà họ phục vụ.

Cuối cùng, sự nhấn mạnh vào việc chia sẻ thông tin giữa các tổ chức tài chính liên quan đến các mối đe dọa mạng có thể sẽ tăng cường. Các cơ chế phòng thủ hợp tác, được tạo điều kiện bởi các quy định bắt buộc, sẽ trở nên phổ biến hơn khi ngành công nghiệp nhận ra lợi ích tập thể của việc chia sẻ thông tin tình báo. Đối với các CISO, những năm tới sẽ được định nghĩa bởi thách thức liên tục của việc chuyển đổi các yêu cầu quy định phức tạp thành các chiến lược khả năng phục hồi hoạt động thực tế, có thể kiểm chứng và liên tục phát triển.