Reziliența digitală în industria financiară devine regulă începând cu 1 ianuarie 2025, datorită implementării Directiovei DORA, iar schimbarea majoră vizează furnizorii de servicii critice din această industrie, a declarat Cristiana DECA, Co-fondator & CEO Decalex, la Banking Forum.

“Potrivit unui studiu IBM apărut recent, costul mediu unui atac cibernetic în industria financiară este de 5,72 milioane dolari SUA , și aici ne referim la costurile globale, care includ amenda de la autoritatea de reglementare, costul comunicării de criză, pierderile operaționale aferente atacului, plus echipa de specialiști angrenată în rezolvarea problemei”, a explicat Cristiana Deca, cofondator&CEO Decalex, companie specializată în servicii de cybersecurity și GDPR.

Mai mult, un sfert (25%) dintre atacurile cibernetice din industria financiară vin dinspre așa numiții furnizori-critici ai industriei, ceea ce reprezintă o cifră enormă, apreciază Cristiana Deca, ca expert în securitate cibernetică, având în vedere, de altfel, că una dintre liniile principale de business ale companiei pe care o conduce sunt serviciile de conformitate în securitate cibernetică.

Deși instituțiile bancare tradiționale, care au ajuns la o maturitate în guvernanță corportate, sunt mai aproape de standardul DORA decât ceilalți jucători din zona medie spre mare, către care vine acum directiva și reglementează, poate prin pentru prima dată, cu un act concret, în partea de guvernanță, problema majoră pe care au observat-o experții Decalex, despre care cred că va rămâne o problemă în continuare, este partea de furnizori.

Cea mai mare parte a pieței se bazează pe un număr restrâns de furnizori, aceștia fiind considerați critici, ceea ce înseamnă că reziliența operațională nu există în momentul de față,  pentru că instituțiile financiare nu au pe cine să se bazeze în plus, toți lucrând cu aceiași jucători mari din piață. “Cred că,  din 17 ianuarie, va fi o zonă în care băncile și instituțiile financiare vor trebui să găsească soluții alternative la furnizarea de servicii critice”, a explicat mai departe Cristiana Deca.

Aceasta a dat un exemplu întâlnit în practică, cel al unei platforme de tranzacționare care avea un singur furnizor critic de suport și a fost supusă unui atac de tip DDoS (Distributed Denial of Service). Furnizorul de servicii suport nu a făcut față complexității problemelor de rezolvat,pierderile au fost enorme în 24 de ore, dar nu numai dimensiunea acestora a fost dificil de gestionat, mai greu a fost ca apoi să decidă pe cine ar putea aduce în echipa de suport, un alt furnizor, capabil să preia măcar o parte dintre sarcini atunci când există o astfel de situație de criză.

“Cred că este foarte important să înțelegem că, chiar dacă organizația noastră este matură și pregătită, trebuie să ne uităm un pic mai atent la furnizori. Pe lângă clauzele contractuale este foarte important să testăm reziliența furnizorilor. Sunt o mulțime de studii care arată cât de importantă este educația personalului, pentru că degeaba ai un business continuity plan și un incident response plan, dacă nu le-ai aplicat niciodată sau le-ai testat doar o dată pe an și ție, companie, ți-a plecat un om-cheie de acolo și nu știi ce s-a întâmplat”, este de părere Cristiana Deca.

În urmă cu mai mulți ani, când au intrat în vigoare regulile GDPR, am fost la o masă rotundă cu autoritatea de reglementare și cu una dintre companiile BIG6 de avocatură din lume, și acea companie de avocatură a povestit cum a avut o breșă de securitate și n-a știut nimeni ce să facă. Literalmente, șase luni au stat într-o situație de criză. Eu cred că asta trebuie să încercăm să evităm pregătindu-ne pentru DORA și asta înseamnă să evaluăm, să monitorizăm, să actualizăm cadrul de guvernanță, să testăm și s-o luăm de la capăt de fiecare dată când există un flux organizațional critic care s-a schimbat, a concluzionat CEO-ul Decalex.