Wall Street’i Hacklemek

(mtag101705)

(mtag101706)

(mtag101703)

(mtag101703)

(mtag101708)

(mtag101708)

Mayıs ayındaki bir Kongre oturumunda, Wall Street’in en büyük altı bankasının genel müdürlerinden, şirketleri ve daha geniş finansal sistem için en büyük tehdidi belirlemeleri istendi. Küresel salgından, iklim değişikliğinden veya 2008 mali krizine katkıda bulunan faktörlerden bahsetmediler. Bunun yerine en popüler cevap “siber güvenlik” oldu. ”

(mtag101706)

(mtag101702)

Banka yöneticileri, güvenlik uzmanları ve federal yetkililer, en az on yıldır finans sektörüne karşı potansiyel olarak yıkıcı siber saldırılar planlıyorlar. Ancak, Rusya’nın Ukrayna’nın elektrik şebekesinin bir bölümünü ortadan kaldıran siber saldırıları ve Kuzey Kore’ye bağlı WannaCry solucanı gibi kritik altyapıya yönelik ulus devlet siber saldırılarındaki artış nedeniyle bu konu son yıllarda daha acil hale geldi. nakliye endüstrileri. Federal Rezerv Başkanı Jerome Powell kısa süre önce “60 Dakika”ya “Şu anda en çok göz önünde bulundurduğumuz risk siber risktir. ”

(mtag101706)

(mtag101708)

(mtag101708)

(mtag101703)

(mtag101703)

Federal hükümet ve finans kurumları bilgi paylaşım grupları oluşturdu, masa başında tatbikatlar gerçekleştirdi ve siber güvenliğe büyük yatırımlar yaptı. JPMorgan Chase tek başına siber güvenlik çabalarına her yıl yaklaşık 600 milyon dolar harcıyor ve bir şekilde bu konu üzerinde çalışan “3.000’den fazla çalışanı” var.

(mtag101706)

(mtag101702)

Yine de uzmanlar, Wall Street’e yönelik bir siber saldırı için farkındalık ve hazırlık konusunda önemli boşluklar olduğunu ve odak noktasının, bir bütün olarak sisteme yönelik tehditlerden ziyade bireysel kurumlara yönelik tehditlere odaklandığını söylüyor. Son zamanlardaki fidye yazılımı saldırıları, bireysel şirketlerin sistemlerinin güvenlik açığının altını çizdi.

(mtag101706)

(mtag101702)

Ulusal Güvenlik Konseyi eski siber güvenlik direktörü ve JPMorgan’ın eski bilgi güvenliği şefi Greg Rattray, “Bence herkes bir kurumun ortadan kaldırılabileceğine inanıyor” dedi. Ancak, “Risk derecesinin sistematik olarak gerçekten iyi anlaşılmadığını düşünüyorum. ”

(mtag101706)

(mtag101702)

(mtag101709)Provalar yeterli değil

(mtag101706)

(mtag101702)

Kilit finans kurumları, siber saldırı senaryolarına karşı tepkilerin provasını yapıyor. Ancak Bay Rattray, bu egzersizlerin hazır olma konusunda olması gerekenden daha fazla güven sağladığını söyledi.

(mtag101706)

(mtag101702)

Bay Rattray, ilk müdahale ekiplerinin ve askerlerin kasırgalar, orman yangınları ve savaşlar için hazırlanmasına yardımcı olan ayrıntılı simülasyonların aksine, siber saldırılarla “yıkımın ölçeğini simüle etmiyoruz ve asla süreyi simüle etmiyoruz” dedi. “Bilmediğimiz şey, ne kadar kötüleşeceği ve ne kadar hızlı olacağı. ”

(mtag101706)

(mtag101708)

(mtag101708)

(mtag101703)

(mtag101703)

Finansal sistem muhtemelen büyük bir kurumun devrilmesine dayanabilir, ancak birden fazla büyük finansal kurum bir siber saldırı tarafından kapatılırsa, aksama haftalarca sürebilir, dedi.

(mtag101706)

(mtag101702)

Ek olarak, saldırganlar piyasalarda özellikle dalgalı bir dönemde – örneğin, hisse senedi opsiyonları, hisse senedi endeksi vadeli işlemleri ve hisse senedi endeksi opsiyonlarının hepsinin aynı gün sona erdiği her çeyrekte gerçekleşen “üçlü cadı” Cumalarından birinde saldırırsa – bunun etkileri amplifiye edilebilirdi.

(mtag101706)

(mtag101702)

Böyle bir saldırı, şimdiye kadar rakiplerin göstermediği beceri, kaynak ve muazzam koordinasyon gerektirecektir. Bugüne kadar finans kurumlarına yönelik çoğu siber saldırı, banka kartı numaralarının ve hesap kimlik bilgilerinin cezai olarak çalınmasını içeriyordu; Ulus destekli aktörlerin dahil olduğu birkaç olay meydana gelmesine rağmen, bunlar kapsam ve etki açısından kontrol altına alındı.

(mtag101706)

(mtag101702)

Adalet Bakanlığı belgelerine göre, 2011 yılının sonlarında, İslam Devrim Muhafızları ile bağlantılı İranlı bilgisayar korsanları, American Express, JPMorgan ve Wells Fargo da dahil olmak üzere düzinelerce ABD finans kurumuna karşı aylarca süren bir hizmet reddi kampanyası başlattı. Saldırı bankacılık web sitelerini devre dışı bıraktı ve yüz binlerce müşteriyi çevrimiçi hesaplardan kilitledi. Ve 2016’da, Kuzey Kore ile bağlantılı bilgisayar korsanları, Bangladeş Bankası’na girdi ve finans kurumları tarafından kullanılan bir mesajlaşma sistemi olan Swift ağı üzerinden 951 milyon dolar çalmak amacıyla çalışan kimlik bilgilerini ele geçirdi. 81 milyon doları ele geçirmeyi başardılar.

(mtag101706)

(mtag101702)

Bununla birlikte, daha sofistike ve yıkıcı saldırılar söz konusu değil. New York Siber Görev Gücü – Columbia Üniversitesi tarafından toplanan ve Bay Rattray tarafından yönetilen bir grup hükümet ve özel sektör uzmanı – birden fazla finansal kurumu içeren “ciddi ama makul” bir senaryoyu inceledi. Görev gücünün bu yıl yayınladığı bir raporda açıklanan teorik senaryoda, Kuzey Koreli bilgisayar korsanları, bir bulut bilişim şirketi gibi bir üçüncü taraf hizmet sağlayıcısını, bir finans kurumunun ağına sızmak ve kendi kendine yayılan bir dijital solucan kurmak için tehlikeye atıyor. verileri siler. Diğer finansal kurumlar virüslü banka ile iletişim kurdukça, silecek ağlarına da yayılır. Senaryo, bir saldırının ne kadar hızlı artabileceğini ve kendi ağlarını düşmanlardan korumaya odaklanan finansal kurumların, güvenilir ortaklar ağı tarafından ele geçirilme riskini nasıl kaçırabileceğini vurgular.

(mtag101706)

(mtag101702)

Bu senaryo, görev gücünün hayal ettiği gibi gerçekleşirse, Sheltered Harbor adlı bir girişim, en azından veri kaybını gidermeye yardımcı olacaktır. 2015 yılında sektör tarafından başlatılan program, bankaları siber saldırılar nedeniyle değerli verilerini kaybetmekten korumak için tasarlandı – katılımcı bankaların verileri şifrelenir ve silinir veya değiştirilirse veya bunlara erişilirse, günlük olarak çevrimdışı güvenli depolamaya yedeklenir. engellenir, geri yüklenebilir.

(mtag101706)

(mtag101702)

(mtag101709)Sadece bankalarla ilgili değil

(mtag101706)

(mtag101702)

2013 Beyaz Saray yürütme emri uyarınca, İç Güvenlik Departmanından bir siber güvenlik olayının “halk sağlığı veya güvenliği, ekonomik güvenlik veya ulusal güvenlik üzerinde yıkıcı bölgesel veya ulusal etkileri olabilecek kritik altyapıları belirlemesi istendi. Bilgilerin hassas olduğu için isminin açıklanmamasını isteyen kaynaklara göre, finans sektörü içinde D. H. S. ve Hazine Bakanlığı, tanıma uyan iki düzineden fazla kilit finans kurumu belirledi.

(mtag101706)

(mtag101708)

(mtag101708)

(mtag101703)

(mtag101703)

Listenin oluşturulmasından kısa bir süre sonra, ABD’nin önde gelen sekiz finans kuruluşundan sekizi, siber saldırı risklerini ele almak için Finansal Sistemik Analiz ve Dayanıklılık Merkezi’ni kurdu. Sekizi Bank of America, BNY Mellon, Citigroup, Goldman Sachs, JPMorgan, Morgan Stanley, State Street ve Wells Fargo idi.

(mtag101706)

(mtag101702)

Ancak bankalar, bir bütün olarak sistem için mutlaka en büyük risk değildir. Birçok kritik altyapı sektörü, siber güvenliği zorlaştıran iç içe geçmiş varlıklardan oluşur – bir kilit kuruma isabet, diğerlerini potansiyel olarak riske atar. Finans sektörü, çoğundan daha fazla iç içe geçmiş durumda ve ortadan kaldırılırsa tüm endüstri için kritik hizmetleri ve süreçleri durdurabilecek birkaç büyük kuruma güveniyor. Bunlara ödeme kartı işlemcileri, ACH ve Fedwire gibi takas odaları ve tahviller, hisse senetleri ve opsiyonları içeren işlemleri kapatmak için sistemler dahildir – örneğin, National Securities Clearing Corporation ve Depository Trust and Clearing Corporation.

(mtag101706)

(mtag101702)

Tek endişe finansal varlıklar değildir; Bulut hizmetleri şirketleri, elektrik hizmetleri ve veri depolama hizmetleri gibi finansal olmayan üçüncü taraf sağlayıcılar, silinmeleri durumunda finansal hizmetler üzerinde büyük bir etkiye sahip olabilir.

(mtag101706)

(mtag101702)

Bir Brookings çalışmasının yazarları, “Başarısızlık için çok büyük olan (örneğin büyük bir bulut hizmeti sağlayıcısı gibi) bir BT şirketinin kazara veya ters tasarımla başarısızlığının nasıl art arda gelişebileceği konusunda çok az anlayış var” diye yazdı. finansal istikrar ve siber risk üzerine.

(mtag101706)

(mtag101702)

Finans sektörü hazırlıklı mı?

(mtag101706)

(mtag101702)

D. H. S.’nin Siber Güvenlik ve Altyapı Güvenliği Ajansı’nda siber güvenlikten sorumlu genel müdür yardımcısı Eric Goldstein, finans sektörünün ne kadar hazırlıklı olduğunu ölçmedi. Ajansının, yalnızca finans sektörünün değil, tüm kuruluşların doğru güvenlik kontrollerini ve dayanıklılık önlemlerini uygulamalarını sağlamaya yardımcı olduğunu ve böylece işletmelerin bir saldırı karşısında bile çalışmaya devam edebilmelerini sağladığını söyledi.

(mtag101706)

(mtag101702)

Uzmanlar, bireysel finansal kurumların saldırılara ve muhtemelen sonuçlanacak mevduat çalıştırmalarına dayanacak kadar dayanıklı olduğunu söylüyor.

(mtag101706)

(mtag101702)

Stanford’un işletme okulunda profesör olan Darrell Duffie, JPMorgan’da genel müdür olan Joshua Younger ile birlikte yayınlanan bir makalede bir “siber koşunun” potansiyel etkisini inceledi. Bankaların 30 günlük likiditeye sahip olması gerekir – tüm müşterilerin varlıklarını çekmesi veya çağrılı borçlarla karşılaşması durumunda her mevduat ve kredi limitini karşılamak için 30 gün içinde fonlara erişme yeteneği. Yazarlar, ABD’nin en iyi 12 finans kuruluşundan oluşan bir örneklem arasında, hepsinin “nispeten aşırı” bir siber koşuyu kapsayacak kadar yeterli likit varlığa ve ayrıca Federal Rezerv’den ek fonlara erişime sahip olduğu sonucuna vardılar.

(mtag101706)

(mtag101708)

(mtag101708)

(mtag101703)

(mtag101703)

(mtag101702)Ancak, bir siber saldırıya karşı dayanıklılığın ekonominin zarar görmesini engellemediğini, Bay Duffie ve Bay Younger kaydetti. Finansal piyasalar, muhtemelen seçimler dışındaki diğer kritik altyapılardan daha fazla, işlemek için kamu güvenini gerektirir. Bu, bir saldırı yaygın olmasa bile hızla aşınabilir.

(mtag101706)

(mtag101702)

Bir saldırıdan doğrudan etkilenmeyen ancak kısa sürede büyük miktarda paraya erişmesi gereken kurumsal müşteriler ve finans firmaları, hızlı erişim sağladıkları yere yerleştirmek için yine de bankalardan para çekmeye karar verebilirler. Veya dikkatli bir şekilde ödemeleri işlemeyi durdurabilirler. Ayrıca, Bay Duffie DealBook’a verdiği demeçte, büyük bir işleme veya yerleşim birimi devre dışı bırakılırsa, istikrarsızlık “finansal piyasaların performansı için çok yıkıcı olurdu” dedi.

(mtag101706)

(mtag101702)

Bay Duffie, “Ticaretlerin devam ettiği ve karara bağlanmadığı sürece, yatırımcılar aşırı derecede gerginleşecek,” diyen Duffie, belirsizliğin günlerce devam etmesi durumunda fiyatların “çok hızlı ve önemli ölçüde düşebileceğini” de sözlerine ekledi. ”

(mtag101706)

(mtag101702)

D. H. S.’den Bay Goldstein, şirketlerin bir siber güvenlik olayının potansiyel sonuçlarını halka açık bir şekilde iletmek ve bunu hızlı bir şekilde sunmak için bir strateji planlamaları gerektiğini söyledi.

(mtag101706)

(mtag101702)

“Herhangi bir organizasyonun gerçekleşmesini isteyeceği son şey, tüketicilerin, müşterilerin veya tedarikçilerin harekete geçmesine neden olan olay hakkında yanlış bir yoruma ve hatta yanlış bilgiye sahip olmaktır” ve bu da sorunu tırmandırabilir dedi.

(mtag101706)

(mtag101703)

(mtag101703)

(mtag101708)

(mtag101708)

(mtag101702) Ne düşünüyorsun? Bize bildirin: Dealbook@nytimes. com

(mtag101706)

(mtag101708)

(mtag101708)

(mtag101706)

(mtag101702)

Bir The New York Times haberinden çevrildi ve haberleştirildi.

(mtag101706)

About Post Author