چگونگی امنیت سایبری در خدمات مالی
برای محافظت از بخش خدمات مالی در برابر تهدیدات مختلف امنیت سایبری پیچیده، کاهش خطرات و افزایش امنیت، سازمان ها باید اجرای فرآیندها و اقدامات مختلف امنیت سایبری را آغاز کنند. بهترین قدم اول که هر سازمانی می تواند در این جنگ بردارد این است که امنیت سایبری را به خوبی درک کند و از خطرات آن آگاه باشد.
امنیت سایبری در خدمات مالی یکی از مهمترین دغدغه های جهانی برای بسیاری از بخش ها و صنایع از جمله بخش خدمات مالی بوده است. در واقع، صنعت خدمات مالی یکی از بخش های پیشرو است که توسط عوامل مخرب هدف قرار می‌گیرد و با پیشرفت حملات سایبری، به نظر نمی رسد وضعیت بهتر شود. دلیل اصلی آسیب پذیری بیشتر مؤسسات مالی و سایر سازمان های مرتبط با خدمات مالی به دلیل مقادیر زیاد پول و سایر داده های ارزشمند مرتبط است که مدیریت می کنند.
قرار گرفتن در معرض حملات سایبری می تواند تجربه متفاوتی برای هر سازمانی باشد. اما شکی نیست که می تواند عواقب زیادی را به همراه داشته باشد که از جمله آنها می توان به موارد زیر اشاره کرد. زیان مالی، آسیب به شهرت، از دست دادن اعتماد مشتری و جریمه های احتمالی. سازمان ها باید سرمایه گذاری کرده و کار خود را برای حفاظت از داده ها اختصاص دهند تا از چنین عواقبی جلوگیری شود و از هر گونه رویداد ناخواسته جلوگیری شود.
سازمان ها تنها مسئول حفظ امنیت سایبری نیستند. به منظور پیشگیری، شناسایی و کاهش تهدیدات سایبری، بسیاری از کمیسیون های عالی نظارتی و نهادهای مربوطه در حال توسعه کنترل های امنیتی جدید هستند.
تهدیدات سایبری برای خدمات مالی
رایج ترین تهدیدات سایبری برای خدمات مالی عبارتند از:
باج افزار
بر اساس گزارش Sophos، پنجاه و پنج درصد از سازمان های خدمات مالی حداقل در سال 2021 تحت تأثیر یک حمله باج افزار قرار گرفتند. باج افزار نوعی بدافزار است که برای رمزگذاری داده های دستگاه ها و سیستم ها طراحی شده است تا کاربر نتواند به آن دسترسی پیدا کند. با استفاده از آن، مهاجم قربانی را با انتشار اطلاعات حساس یا مسدود کردن دسترسی آنها تهدید می کند، مگر اینکه باج از جانب قربانی پرداخت شود.
فیشینگ
فیشینگ به عنوان نوعی از مهندسی اجتماعی، به ارسال پیام های جعلی و فریب آنها برای به اشتراک گذاری اطلاعات شخصی اشاره دارد. در بخش مالی، فیشینگ بیشتر برای به دست آوردن اطلاعات شخصی مانند پین، شماره حساب بانکی، شماره کارت اعتباری و غیره استفاده می شود که بعداً می تواند برای اهداف مخرب استفاده شود.
حملات DDoS
Distributed Denial of Service یا DDoS به تلاشی برای از بین بردن ترافیک سرور، سرویس یا شبکه آنلاین از طریق سیل ترافیک اینترنتی اشاره دارد. هکرها از این فعالیت مخرب استفاده می کنند تا یک سرویس آنلاین را برای کاربران اصلی غیر قابل دسترس و غیرقابل دسترس کنند. با مسدود کردن مسیر، حمله DDoS می تواند ورود ترافیک منظم به مقصد را مختل کند.
هک حساب بانکی
مجرمان سایبری به منظور مخفی کردن موقعیت مکانی خود، اغلب وجوه دزدیده شده خود را در حساب های بانکی جعلی نگهداری می کنند که با استفاده از اعتبار مشتری دزدیده شده مانند نام، آدرس، امتیاز اعتباری، اطلاعات تامین اجتماعی و غیره باز می کنند. حساب ها مشروع به نظر می‌رسند تا کلاهبرداران بتوانند فعالیت های غیرقانونی خود را بدون مشکل کامل کنند.
حملات زنجیره تامین
در طول حمله زنجیره تامین، مجرمان آسیب پذیرترین و عناصر زنجیره را با امنیت پایین پیدا کرده و به آن حمله می کنند. در این صورت، آنها می توانند از مسیرهای مداری بیشتری استفاده کنند اما همه برای یک هدف. مؤسسه ملی استانداردها و فناوری سه نوع متداول تکنیک های حمله زنجیره تامین را شناسایی می کند:
- ربودن به روز رسانی ها
- تضعیف امضای کد
- به خطر انداختن کد منبع باز
خطرات مربوط به شخص ثالث
خطرات شخص ثالث خطراتی هستند که توسط طرف های خارجی مانند فروشندگان، تامین کنندگان، ارائه دهندگان خدمات و غیره به سازمان وارد می شود. مسائل مربوط به رعایت استانداردهای امنیتی و کنترل های امنیتی ناکافی بر روی اتصالات شخص ثالث باعث افزایش آسیب پذیری ها و احتمال حمله می شود.
در مورد اخذ گواهینامه ایزو 27001 بیشتر بخوانید.
حفاظت از خدمات مالی در برابر تهدیدات امنیت سایبری
برای محافظت از بخش خدمات مالی در برابر تهدیدات مختلف امنیت سایبری پیچیده، کاهش خطرات و افزایش امنیت، سازمان ها باید اجرای فرآیندها و اقدامات مختلف امنیت سایبری را آغاز کنند. بهترین قدم اول که هر سازمانی می تواند در این جنگ بردارد این است که امنیت سایبری را به خوبی درک کند و از خطرات آن آگاه باشد.
برخی از بهترین شیوه ها و استراتژی ها برای محافظت از سازمان های خدمات مالی در برابر تهدیدات امنیت سایبری عبارتند از:
چارچوب های امنیت سایبری
چارچوب های امنیت سایبری مجموعه ای مستند از بهترین شیوه ها، دستورالعمل ها و استانداردهای توسعه یافته برای مدیریت امنیت سایبری هستند. چارچوب های امنیت سایبری می توانند چارچوب های کنترلی، چارچوب های برنامه و چارچوب های ریسک باشند. برخی از رایج ترین چارچوب های امنیت سایبری عبارتند از:
چارچوب امنیت سایبری NIST – برای محافظت از زیرساخت های حیاتی در برابر حملات سایبری در نظر گرفته شده است. عملکردهای اصلی امنیت سایبری این چارچوب شناسایی، محافظت، شناسایی، پاسخگویی و بازیابی است.
ISO/IEC 27001 و ISO/IEC 27002 – بخشی از سری ISO/IEC 27000، ISO/IEC 27001 الزاماتی را برای استقرار، پیاده سازی، نگهداری و بهبود مستمر سیستم مدیریت امنیت اطلاعات سازمان ارائه می کند. ISO/IEC 27002 دستورالعمل هایی را برای انتخاب و اجرای استانداردها، کنترل ها و شیوه های مرتبط ارائه می دهد.
SOC2 – این استاندارد انطباق یک چارچوب امنیتی است که تضمین هایی را برای اطمینان از حفاظت از داده های مشتری در برابر دسترسی غیرمجاز، تهدیدات امنیتی و سایر حوادث مشخص می کند.
مدیریت ریسک سایبری
مدیریت ریسک سایبری به فرآیندهای سازمان برای شناسایی، نظارت، تجزیه و تحلیل، ارزیابی و برطرف کردن تهدیدات امنیت سایبری آن اشاره دارد. اولین بخش مدیریت ریسک سایبری، ارزیابی ریسک در امنیت سایبری است.
نظارت بر تهدید
نظارت بر تهدید در امنیت سایبری برای نظارت مستمر شبکه ها و نقاط پایانی برای شناسایی تهدیدها، به حداقل رساندن تأثیر آنها و به حداکثر رساندن حفاظت از داده ها استفاده می شود. فناوری ها و ابزارهای مدرن نظارت بر تهدید، دید بهتر شبکه را برای سازمان ها فراهم می‌کند و به آنها اجازه می‌دهد هر گونه بی‌نظمی یا ضعفی را که منجر به محافظت بهتر می‌شود، شناسایی کنند.
مدیریت ریسک شخص ثالث (TRPM)
با توجه به ریسک بالای شخص ثالث، سازمان های مالی باید رویکرد امنیت سایبری جدیدی را اتخاذ کنند که در آن بر اهمیت شناسایی، اندازه گیری و مدیریت همه ریسک ها، از جمله ریسک های ناشی از اشخاص ثالث، تاکید کنند.
فرهنگ امنیت سایبری
وقتی صحبت از امنیت سایبری می شود، عامل انسانی بسیار مهم است. آنها معمولاً اشتباهاتی مرتکب می شوند که می تواند عواقب زیادی برای خدمات مالی داشته باشد. به همین دلیل است که فرهنگ سازی امنیت سایبری در سازمان ها می تواند امنیت سایبری را افزایش دهد.
سازمان ها باید آگاهی را افزایش دهند و بر باورها و نگرش کارکنان خود نسبت به اهمیت امنیت سایبری تأثیر بگذارند. مهم است که چنین تقویت هایی در تمام سطوح سازمان ها از رهبری گرفته تا هر فردی اتفاق بیفتد، زیرا همه مسئولیت های مشترک دارند.
طرح پاسخ
سازمان ها با وجود آمادگی کافی و انجام اقدامات لازم برای محافظت از خود در برابر تهدیدات سایبری، همچنان می توانند با چنین حوادثی مواجه شوند. به همین دلیل است که مانند هر صنعت دیگری، سازمان های بخش مالی نیز باید یک طرح پاسخ را تدوین کنند. در صورت بروز هر گونه رویداد ناخواسته، یک طرح واکنش برای به حداقل رساندن تأثیر حادثه و زمان بهبودی مفید خواهد بود.
امنیت سایبری در خدمات مالی, ISO/IEC 27032
استاندارد بین المللی ISO/IEC 27032 راهنمایی برای بهبود امنیت سایبری و چارچوبی برای اطمینان از اعتماد، همکاری، تبادل اطلاعات و راهنمایی فنی ارائه می دهد.
پیاده سازی ISO/IEC 27032 حفاظت از سازمان را در برابر تهدیدات سایبری مانند کلاهبرداری های فیشینگ، حملات سایبری، نقض اطلاعات، هک و غیره و بهبود سیستم امنیتی کلی سازمان را فراهم می کند.
