EU zou digitale stresstest voor banken overwegen
De Europese Unie zou een digitale stresstest voor banken overwegen om zo de beveiliging te controleren, nadat vorig jaar meerdere banken werden gehackt en aanvallers zodoende tientallen miljoenen euro's wisten te stelen. Dat laten bronnen tegenover persbureau Reuters weten.
Eind december bevestigde Swift, een internationale coöperatieve organisatie voor internationale banktransacties, dat meerdere banken succesvol waren aangevallen. In een brief aan banken waarschuwde de organisatie dat de aanvallers hun methodes om lokale bankomgevingen te hacken hebben verfijnd en de aanvallen nog steeds plaatsvinden. Dezelfde maand stelde de Europese Bankautoriteit (EBA) dat cyberaanvallen toenemen en banken moeite hebben om aan te tonen dat ze hiermee overweg kunnen.
De Europese Commissie kijkt nu of EU-brede tests kunnen helpen bij het aanscherpen van de beveiliging. Hoe die tests er zouden moeten uitzien is nog niet duidelijk. Een functionaris van de EBA laat weten dat de instantie naar cybersecurity kijkt, maar er nog geen beslissing over een mogelijk digitale stresstest is genomen.
In het digitale domein kan je wel testsystemen optuigen en die zwaar belasten. Maar is dat wel wat ze bedoelen als beveilging het onderwerp is? Bedoelen ze niet eerder penetratietests?
Mensen die weten wat er draait weten wel beter..
Dit is allemaal populistisch geneuzel om mensen een minder slecht gevoel te geven over banken.
Straks krijg je :
#1 dat allerlei instanties jouw fininanciele gegevens mogen proxyen
#2 verplicht alles digitaal op bankgebied
#3 extra kosten voor analoog geld (munten briefpapier) want ja.. JIJ wil nog dat gevaarlijke spul hebben, dus moet je betalen
enz enz.
In het digitale domein kan je wel testsystemen optuigen en die zwaar belasten. Maar is dat wel wat ze bedoelen als beveilging het onderwerp is? Bedoelen ze niet eerder penetratietests?
Als je kijkt naar het CBEST programma van de Bank of England, dan gaat het om het testen van de 'cyber resilience' van een financiele instelling. Zie ook hier: http://www.bankofengland.co.uk/financialstability/fsc/Pages/cbest.aspx
Het gaat er bij een dergelijke test om dat o.b.v. Threat Intelligence er realistische scenario's worden opgesteld, die ook daadwerkelijk in de praktijk zullen worden uitgevoerd. Het blue team van de financiële instelling weet niet af van de test. Doel is om de effectiviteit van het blue team te testen (en daarmee de cyber resilience). Daarnaast worden gegevens na afloop van de test gedeeld tussen red en blue team, met als doel inzicht te verkrijgen in de TTP (actics, Techniques and Procedures) van de aanvallers. Dit kan gebruikt worden om de capaciteiten van het blue team te versterken.
Het slaat nergens op,het is niet de bedoeling dat al het ficianciele verkeer zo in derden handen kan belanden,dan enkel waarvoor het bestemd is.
De financiële stesstest van banken keek hoe de bank zich zou houden onder bijzondere economische omstandigheden.
Bij de aanval zoals op die bij het Swiftsysteem werden heel selectief systeemonderdelen besmet. Daar kwam geen stress bij kijken.
Als dat toezicht echter bestaat uit of het insturen van een eigen verklaring van te controleren bedrijf gedaan is. (Horizontaal toezicht). Laat dan maar, het is in dat geval een vorm van newspeak waar de woorden een omgedraaide betekenis kunnen hebben.
Wat de DNB als toezichthouder tot nu toe gedaan heeft op ict vlak tja in 2013 wist ING niet eens wat een ddos was (zie jaarverslag 2014). Bij natwest (rsb) is mijn gewoon weken uit de lucht geweest nav outsourcing. Ik vermoed dat iets dergelijks ook bij abnamro gebeurd is maar die hebben op tijd de klant afhandeling gered.
In deze tijd is een digitale stresstest voor banken een zinvolle overweging die inzichten brengt om de beveiliging van banken te verbeteren. Uit de Breach Level Index blijkt dat de financiële sector in de eerste helft van vorig jaar 12 procent van alle datalekken vertegenwoordigde. Zeker in deze sector is een hack van grote invloed op het vertrouwen van de consument. Ieder inzicht om dit percentage te verlagen, is een waardevol inzicht.
- Dirk Geeraerts, identity and data protection expert bij Gemalto
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
