یک چارچوب جدید استدلال می‌کند که تاب‌آوری سایبری (Cyber Resilience) در خدمات مالی نباید صرفاً به عنوان مسئولیت هر مؤسسه به طور مجزا دیده شود، بلکه باید در سطح یک اکوسیستم گسترده‌تر شامل مؤسسات، ناظران و ارائه‌دهندگان تخصصی ایجاد گردد.
سازمان CREST، نهاد غیرانتفاعی جهانی در زمینه تأیید صلاحیت (Accreditation) صنعت امنیت سایبری، در گزارش سفید (Whitepaper) خود با عنوان «تاب‌آوری سایبری در خدمات مالی: رویکرد کل اکوسیستم»، مسیری برای بلوغ (Maturity Pathway) ارائه داده است تا حوزه‌های قضایی بتوانند قابلیت‌های خود را ارزیابی کرده و بهبودها را در سه دامنه اصلی هماهنگ کنند.
در این گزارش تأکید شده است که نقاط ضعف در زیرساخت‌های مشترک، ارائه‌دهندگان فناوری، شرکت‌های سایبری یا مقامات دولتی می‌تواند تاب‌آوری کل سیستم مالی را به خطر بیندازد.
سه دامنه اصلی برای تاب‌آوری سایبری مالی
طبق این چارچوب، مسئولیت‌ها در سه سطح توزیع شده است:
- مؤسسات مالی: مسئول حفاظت از خدمات حیاتی کسب‌وکار و اثبات کارآمدی کنترل‌های امنیتی تحت فشار.
- ناظران مالی: مسئول تعیین انتظارات متناسب، نظارت بر شرکت‌ها و درک ریسک‌های سیستمیک (Systemic Risk).
- ارائه‌دهندگان خدمات سایبری: مسئول ارائه مشاوره‌های تخصصی، ارزیابی، Threat Intelligence، تست و قابلیت‌های پاسخگویی.
این چارچوب هر دامنه را در پنج مرحله از بلوغ سایبری ترسیم می‌کند. مؤسسات از سطح «بهداشت پایه ناقص» به سمت «تضمین پیشرفته مبتنی بر تهدید» حرکت می‌کنند. ناظران از نقشه‌برداری بخش‌ها به سمت نظارت تطبیقی (Adaptive Oversight) پیش می‌روند و ارائه‌دهندگان از خدمات تأییدنشده به قابلیت‌های تخصصی بخش مالی ارتقا می‌یابند.
برنامه‌های چندساله بلوغ سایبری
CREST پیشنهاد می‌کند که ناظران یا سایر فعالان بازار، برنامه‌های چندساله تدوین کنند تا هر سه دامنه به طور موازی توسعه یابند. نقشه راه پیشنهادی به شرح زیر است:
- سال اول و دوم: نقشه‌برداری از خدمات حیاتی، رفع شکاف‌های فوری در بهداشت سایبری و انتشار استراتژی توسط ناظران.
- سال سوم تا پنجم: ارزیابی‌های مستقل، تست‌های مبتنی بر ریسک برای مؤسسات و تأیید صلاحیت مستقل برای ارائه‌دهندگان.
- سال پنجم تا دهم: تمرکز بر تست‌های نفوذ مبتنی بر تهدید (Threat-led Penetration Testing)، تمرینات در سطح سیستم و ایجاد جامعه‌ای متنوع از ارائه‌دهندگان معتبر.
این گزارش هشدار می‌دهد که اجبار زودهنگام برای دریافت بالاترین گواهینامه‌های بین‌المللی ممکن است باعث حذف ارائه‌دهندگان محلی شود. برای جلوگیری از این اتفاق، راهکارهایی مانند منتورینگ، مشارکت‌ها و برنامه‌های آموزشی پیشنهاد شده است تا ارائه‌دهندگان محلی بتوانند به استانداردهای لازم برسند.
