بخش مالی مدتهاست که در صدر امنیت سایبری و به اشتراک گذاری اطلاعات و همکاری در سطح صنعت بوده است. با این وجود ، حملات سایبری به موسسات مالی و زیرساخت های بازار مالی مکرر و پیشرفته تر شده است ، و باعث می شود سرمایه گذاری های امنیتی همیشه بیشتر و تمرکز بر کاهش و مدیریت ریسک سایبری افزایش یابد. به موازات این تلاش ها ، بخش مالی ، تنظیم کننده ها و دولت های ملی در تلاش برای جلوگیری از تکرار وحشت مانند بحران مالی یک دهه قبل در تلاشند تا مقاومت و ثبات کلی را بهبود بخشند.

در این مقاله قدم بعدی مهم است: بررسی تقاطع این دو تلاش. چگونه ممکن است ریسک های سایبری و ریسک های مالی برای ایجاد بحران های سیستمیک در تعامل باشند؟آیا در مورد خطرات سایبر چیزی اساساً جدید یا متفاوت است؟چگونه اقتصاددانان ، تنظیم کننده ها ، سیاستگذاران و بانکداران مرکزی باید روی ثبات مالی متمرکز شوند ، خطرات سایبری را در مدل ها و تفکر خود درج می کنند؟

برخی از ابتکارات مستقیم در مورد این سؤالات در سال 2013 آغاز شد ، پس از آنكه دستور اجرایی كاخ سفید با مشورت با وزارت خزانه داری به وزارت امنیت میهن دستور داد ، آن مؤسسات مالی را كه "حادثه سایبر تأثیر زیادی دارد ، شناسایی كند. در مورد امنیت اقتصادی منطقه ای یا ملی. "1 در پاسخ ، هشت موسسه مالی پیشرو در سال 2016 مرکز تجزیه و تحلیل و انعطاف پذیری سیستمیک مالی (FSARC) را ایجاد کردند و تلاش های بخش را بر "ریسک سیستمیک برای سیستم مالی ایالات متحده از تهدیدات امنیت سایبری فعلی و در حال ظهور" متمرکز کردند. 2

در طی دو سال گذشته ، دانشکده بین المللی و عمومی دانشگاه کلمبیا میزبان یک سری از درگیری ها بوده است که کارشناسان صنعت FSARC و موسسات عضو آن ، تنظیم کننده ها و سایر سیاستگذاران و دانشگاهیان را با پیشینه امور مالی و سایبری جمع می کند.

این مقاله نتیجه این تلاش ها برای بهتر کردن مسائل و تدوین اقدامات اضافی برای درک و کاهش خطرات ثبات مالی ناشی از حملات سایبری است. این کار با تجزیه و تحلیل خطرات سنتی در برابر ثبات مالی و نحوه مقایسه آنها با خطرات سایبری آغاز می شود. با بررسی تلاش های تا به امروز برای رسیدگی به این خطرات ادامه می یابد. و با توصیه ها به پایان می رسد.

آسیب پذیری های سنتی که می تواند باعث بی ثباتی مالی شود

هیچ تعریف جامعی از "ثبات مالی" وجود ندارد. به طور کلی ، به توانایی سیستم مالی "در تسهیل و تقویت فرآیندهای اقتصادی ، مدیریت ریسک ها و جذب شوک" اشاره دارد. 3 حتی در یک سیستم مالی پایدار ، قیمت دارایی و نرخ بهره می تواند بی ثبات باشد ، بانک ها و شرکت های مالی می توانند شکست بخورند ، سرمایه گذاران می توانند پول خود را از دست بدهند و وام گیرندگان می توانند به طور پیش فرض باشند.

مربوط

بازار repo چیست و چرا اهمیت دارد؟

ثبات مالی و یک دهه سیاست پولی غیر متعارف

SEC باید و می تواند توجه بیشتری به ثبات مالی داشته باشد

سیاستگذاران اجازه می دهند چنین خرابی هایی ، در عوض اولویت بندی ثبات ، یعنی پیشگیری و مدیریت چرخه های سیستمیک که می توانند به شدت تضعیف یا خاموش شوند. سیستم مالی عملکردهای مختلفی از جمله تسهیل پرداخت و تسویه حساب ، تخصیص اعتبار ، انتقال ریسک و تأمین نقدینگی و همچنین تحول در بلوغ و کشف قیمت را انجام می دهد. اختلال قابل توجهی در هر یک از این کارکردهای اصلی می تواند باعث بی ثباتی مالی شود.

بنابراین ، مقامات ثبات مالی نگران روش هایی هستند که بازارهای مالی و نهادها می توانند بدون در نظر گرفتن منبع خود ، شوک ها را تبلیغ و تقویت کنند. از علاقه قابل توجه پویایی - که به آن آسیب پذیری ها نیز گفته می شود - می تواند منجر به بحران های مالی شود (به عنوان مثال ، در بانک ها و بازارهای عمده فروشی ، فروش آتش دارایی ها ، از دست دادن اعتماد به نفس). از نظر تاریخی ، این آسیب پذیری ها منجر به رکودهای عمیق یا افسردگی ، تورم و دوره های طولانی بعدی رشد زیرپردان و بیکاری شده است.

سه ویژگی سیستم مالی می تواند آسیب پذیری ایجاد کند:

اهرم: سطوح بالاتر اهرم - یعنی بدهی - با سطوح بالاتر آسیب پذیری سیستمیک مرتبط است. این شرکت کنندگان در بازار ، موقعیت ها و موسسات مالی با بالاترین اهرم تمایل دارند بدون توجه به ماهیت شوک ، بیشترین مسری را ایجاد کنند. با استفاده از اهرم بالا ، حتی کاهش متوسط در ارزش دارایی ها می تواند باعث کاهش شدید سهام نهادهای مالی و توانایی جذب ضرر به کاهش شود و در نتیجه باعث پریشانی مالی یا ورشکستگی شود.

بلوغ و تحول در ریسک: سیستم های مالی دارایی های بلند مدت ، پرخطر و غیرقانونی (مانند وام های زیرساخت در حال حاضر مشهور) را به دارایی های ایمن تر و نقدینگی تبدیل می کنند (بدیهی است که خود پول). در طی این فرآیند تحول ، شوک به قیمت دارایی های ناعادلانه خطرناک می تواند منجر به برداشت بودجه شود و با مجبور کردن فروش دارایی و به طور شدید ، عدم موفقیت مؤسسات اصلی و یک بحران سیستمیک ، باعث ایجاد آلودگی شود.

روند ریسک ریسک: این پروانه با اهرم و تحول بلوغ برای بزرگنمایی رونق قیمت دارایی و شلوغی در تعامل است. به عنوان مثال ، کاهش قیمت دارایی ارزش وثیقه وام گیرندگان (یعنی ارزش خالص آنها) و هزینه وام (حق ریسک و نرخ بهره) را بالا می برد. با افزایش خطر برای وام دهندگان ، این پویا باعث افزایش قیمت دارایی های خطرناک حتی بیشتر می شود و باعث ایجاد یک حلقه بازخورد از کاهش بودجه ، تلفات بیشتر و حق بیمه با ریسک بالاتر می شود.

این آسیب پذیری ها و به ویژه تعامل بین آنها می تواند سیستم های مالی را شکننده و در معرض بحران های دوره ای و اجرا کند. زمان بندی و محرک های خاص بحران ها دشوار است. در نتیجه ، تجزیه و تحلیل ثبات سیستم مالی به طور معمول کمتر روی شوک ها و محرک های بحران ها تمرکز می کند و بیشتر بر شناسایی و کاهش آسیب پذیری ها و مکانیسم های انتشار که باعث می شود سیستم در وهله اول ناپایدار باشد.

محرک های بحران های گذشته بیشتر شوک (اغلب به ظاهر ناچیز) بوده است که توسط شرکت کنندگان در بازار مالی (به عنوان مثال ، وام دهندگان ، سرمایه گذاران) یا تغییرات سیاست کلان تحریک شده است. این سؤال را ایجاد می کند: ریسک امنیت سایبری چگونه بر ثبات مالی تأثیر می گذارد؟

در مورد خطر سایبری چه تفاوتی دارد؟

در سال 2016 ، دفتر تحقیقات مالی (OFR) وزارت خزانه داری ایالات متحده در گزارش ثبات مالی خود به کنگره نوشت که آسیب پذیری "حوادث امنیت سایبری مؤثر بر بنگاه های مالی" خطرات خاصی را برای مسری و همچنین بودجه و نقدینگی ایجاد می کند. 4 در آن گزارش و یک مقاله تحقیقاتی مرتبط ، OFR سه "کانال" را برجسته می کند که با استفاده از آنها می توان این خطرات را منتقل کرد ، که به طور بالقوه منجر به بحران های سیستمیک می شود: 5

جیسون هیلی

دانشمند ارشد تحقیقات در دانشکده بین المللی و امور عمومی - دانشگاه کلمبیا

استاد کمکی امور بین المللی و عمومی - دانشگاه کلمبیا

پاتریشیا ماسر

محقق ارشد تحقیقات بین المللی و عمومی - دانشگاه کلمبیا

مدیر ، برنامه MPA در مدیریت سیاست اقتصادی - دانشگاه کلمبیا

کاترین روزن

استاد کمکی امور بین المللی و عمومی - دانشگاه کلمبیا

آدریانا تاچ

هماهنگ کننده پروژه - آینده ریسک سایبری و ابتکار ثبات مالی ، دانشگاه کلمبیا

عدم تعویض (مالی): سیستم مالی به چند قطب اصلی ، به طور معمول بنگاه ها یا خدمات خاص (به عنوان مثال ، سیستم های معاملاتی الکترونیکی ، مبادلات یا پاکسازی خانه ها) بستگی دارد که یک عملکرد اساسی برای کل صنعت دارند. نمونه هایی از این کارکردها شامل حضانت اوراق بهادار ، مدیریت وثیقه و تطبیق و تأیید تجارت است که همه این موارد فرآیندهای خودکار و فشرده فناوری هستند. به طور خلاصه ، "صنعت خدمات مالی برای تکمیل معاملات یا جابجایی پرداخت به یک زیرساخت فناوری اطلاعات و ارتباطات (ICT) متکی است."اگر یک حادثه در این موسسات یا سیستم ها تأثیر بگذارد ، راه حل های جایگزینی بسیار آسان وجود خواهد داشت.

از دست دادن اعتماد به نفس: OFR خاطرنشان می کند که حملات به طور معمول بر شبکه های مصرف کننده بدون تأثیر سیستمیک تأثیر می گذارد ، بلکه همچنین "سرقت گسترده تر ... می تواند باعث از بین رفتن گسترده تر اعتماد به نفس شود."7 ممکن است برای ایجاد چنین ضرر ، سرقت داده های مشتری را انجام ندهد. طیف گسترده ای از حملات می تواند این ترفند را انجام دهد: هک های ATM ، جمع آوری یک یا چند موسسه مورد اعتماد ، تصادفات فلش ناشی از هکر ، انتشار به خطر انداختن ایمیل های بانکداران یا تنظیم کننده ها یا تصرف حساب. هر چه محرک باشد ، از دست دادن اعتماد به نفس به اندازه کافی می تواند باعث "اجرای روی بانک ها" شود.

یکپارچگی داده ها: تأثیرات سیستمیک می تواند ناشی از نفوذ سایبری باشد که به طور مستقیم بر کیفیت داده های بازار یا مصرف کننده تأثیر می گذارد و باعث مکث سیستم می شود تا اینکه هرگونه نسخه پشتیبان تهیه نشده باقی مانده ترمیم شود. همانطور که بسیاری از موسسات در حملات باج افزار اخیر مانند Waacry آموخته اند ، ترمیم می تواند بیش از حد انتظار طول بکشد و باعث از بین رفتن اعتماد به نفس یا سایر تأثیرات سیستمی شود ، "به ویژه برای بازارهایی که به سرعت سفارش می دهند."8

ما معتقدیم که حداقل یک کانال باید به سه مورد مشخص شده توسط OFR اضافه شود:

عدم تعویض (فناوری اطلاعات و ارتباطات): OFR نشان می دهد که بخش مالی به چند قطب اصلی بستگی دارد ، اما مطمئناً این مسئله در مورد فناوری اطلاعات و ارتباطات نیز صادق است. به عنوان مثال ، درصد بزرگ (و در حال رشد) از محاسبات و ذخیره سازی جهان فقط به چند ارائه دهنده خدمات ابری می رسد. شرکت های فناوری اطلاعات شرکت تمایل به بسیار مشابه دارند و همان سیستم عامل ها و برنامه های کاربردی را اجرا می کنند. همه شرکت ها به همان پروتکل های اصلی اینترنت مانند TCP/IP یا DNS بستگی دارند و بلایای محلی اغلب با اختلال در کل مناطق یا صنایع ، وابستگی های جسمی غیر منتظره ای را نشان می دهند.

این "کانال ها" به معنای واقعی کلمه مسیرهایی هستند که توسط آن یک رویداد سایبری می تواند به یک بحران مالی تبدیل شود. برای درک چگونگی اتفاق این اتفاق ، ما باید سه تفاوت اصلی بین شوک های سایبر و مالی را که می توانند بی ثباتی سیستمیک ایجاد کنند ، شناسایی کنیم: زمان بندی ، پیچیدگی و هدف مخالف.

• زمان حملات: محرک های معمولی از بی ثباتی مالی - شوک های مالی یا سیاسی - می توانند به نظر کوچک و به طور تصادفی به نظر برسند. این واکنش بزرگ بازارها و بنگاههای مالی به آن شوک ها (از طریق کانال های مسری اهرم و غیره) است که باعث آسیب گسترده می شود. در مقابل ، حملات سایبری نیاز به برنامه ریزی طولانی مدت دارد. مخالفان هفته ها یا ماه ها قبل از یک سیستم به یک سیستم نفوذ می کنند ، امتیاز خود را بالا می برند و تعیین می کنند که چگونه می توان به بهترین شکل باعث ایجاد اختلال شد. روند صعودی این است که حملات به احتمال زیاد باعث بی ثباتی می شوند. با این حال ، نکته منفی این است که یک بار در جای خود ، اختلالات را می توان در زمان انتخاب مهاجم ایجاد کرد.
• پیچیدگی: فضای مجازی یک سیستم فوق العاده پیچیده است - پیچیده در سطح فیزیکی ، شبکه و شناختی. از آنجا که سیستم های پیچیده بسیار به هم پیوسته و کاملاً همراه هستند ، اختلالات در یک منطقه می توانند به راحتی و به روش های غیر منتظره آبشار شوند. این "خطر همبستگی ناشناخته از فضای مجازی ، به همین دلیل است که فضای مجازی قادر به رفتار قو سیاه است" ، از وقایع بسیار غیرقابل پیش بینی و بسیار با سرعت بالا. [9]البته ، بخش مالی نیز پیچیده و قادر به رفتار سیاه و سفید است ، اما حداقل در امور مالی این پیچیدگی هدف مطالعه شدید توسط متخصصان ریسک با استفاده از مدلهای پیشرفته و بالغ است. اینها به سادگی برای همان درجه برای خطر سایبری وجود ندارند. درک کمی از روش های عدم موفقیت ، چه به طور تصادفی و چه طرف مقابل ، از یک شرکت فناوری اطلاعات "خیلی بزرگ برای شکست" (مانند یک ارائه دهنده اصلی خدمات ابری) وجود دارد.
• هدف دشمن: سومین و مهم ترین تفاوت کلیدی این است که خطرات سایبری عموماً توسط اقدامات عمدی دشمنان حساس در تعقیب تهاجمی اهداف مخرب خاص تحمیل و آغاز می شوند.

برای شوک های مالی سنتی، به خوبی درک می شود که تغییرات رفتاری کوچک از سوی مشارکت کنندگان بخش یا تغییرات کوچک سیاست گذاری می تواند تأثیرات نامتناسبی بزرگی بر ثبات داشته باشد، اگر سیستم در وضعیت شکننده باشد. خطر یک شوک کوچک که بی ثباتی مالی ایجاد می کند، به ویژه زمانی افزایش می یابد که سطح اهرم، درجه تغییر سررسید و قیمت دارایی های پرریسک بالا باشد.

اگرچه شوک های سنتی مالی و سیاست های کلان می توانند آسیب های گسترده ایجاد کنند، به جای سوء نیت، ناشی از حفظ خود هستند. معامله گری که سعی می کند بازار را به گوشه ای براند، به دنبال تخریب یا مختل کردن کل سیستم نیست. به همین ترتیب، سیاست گذاران می توانند اشتباه کنند یا تأثیر سیاست های خود را اشتباه ارزیابی کنند، اما با هدف ایجاد آشفتگی مالی عمل نمی کنند. در مقابل، شوک های سایبری ممکن است برای از کار انداختن، نابود کردن، فاسد کردن، یا به خطر انداختن عملکرد بازار هدف گذاری و زمان بندی شوند و عمداً بی ثباتی مالی را آغاز کنند.

تا کنون، دشمنان سایبری عمدتاً افراد یا گروه های کوچکی بوده اند که به دنبال سود سریع بوده اند و علاقه چندانی به تأثیرات سیستمی ندارند. این ممکن است با تکامل دستاوردها و انگیزه های جرایم سایبری مالی تغییر کند. همانطور که یک گزارش در سال 2010 اشاره کرد،

در سال های اولیه، جرایم سایبری ناشیانه بود و عمدتاً شامل اخاذی هایی بود که از حملات بی پرده شبکه های رایانه ای علیه کازینوهای آنلاین یا سایت های پورنوگرافی برای استخراج وجوه از صاحبان ناامید استفاده می کردند. با گذشت زمان، پیچیده تر و دقیق تر شده است: مانند دزدی هایی که به سرقت هنری نادر تبدیل می شوند. 10

حملات سایبری پیچیده تر شده اند («کمتر کوبنده تر، بیشتر گیرا» 11) مانند کمپین فیشینگ هدفمند در سال 2017 که علیه «کارکنان درگیر با پرونده های کمیسیون بورس و اوراق بهادار ایالات متحده (SEC) در سازمان های مختلف» به منظور کسب سود انجام شد. ارتقاء دانش پرونده ها برای ارتکاب کلاهبرداری در اوراق بهادار. 12 نمونه های دیگر شامل نفوذ کره شمالی به بانک مرکزی بنگلادش برای سرقت 951 میلیون دلار از طریق سیستم پیام رسانی پرداخت جهانی سوئیفت 13 و حمله به Banco de Chile، بزرگترین بانک کشور است که "بیش از 9000 کامپیوتر و بیش از 500 سرور را خراب کرد. برای دسترسی به سیستم های متصل به شبکه محلی سوئیفت بانک. 14

این طرح ها به یک سیستم مالی کاربردی بستگی دارد که گروه های طرف مقابل به پول نقد بپردازند ، اما هنوز هم خطر سیستمیک قابل توجهی را تهدید می کردند. مجرمان سایبری و مهاجمان کشور کشور در حال هدف قرار دادن زیرساخت های اصلی مالی هستند. آنها ممکن است قصد ایجاد خرابی های آبشار را نداشته باشند ، اما حتی مخالفان پیشرفته می توانند اشتباه کنند ، در صورتی که سیستم از قبل شکننده باشد ، به طور بالقوه یک بحران را برانگیخته است.

مهمتر از همه ، به نظر می رسد برخی از گروه ها آنچه را که زمانی گمانه زنی های بیکار و فیلم های بد بود ، پذیرفتند: بهره برداری از قابلیت های سایبری برای القاء بی ثباتی مالی. ایران ، بارزترین نمونه ، از سال 2011 تا 2012 انکار گسترده ای از حمله خدمات علیه نزدیک به 50 موسسه بزرگ مالی را انجام داد نه به این دلیل که "این جایی است که پول برای سرقت آن است" ، بلکه ظاهراً ایجاد یک اختلال مالی بزرگتر است. 15 اگر تحریم های ایالات متحده یک کشور را از بازار دلار آمریکا قطع کند ، این رهبری کشور ممکن است تصمیم بگیرد که با ایجاد اختلال در سیستم مالی که ممکن است آسیب بزرگی به اقتصادهای ایالات متحده و متحدین آن وارد کند ، از دست بدهد.

مثالهای تاریخی نشان می دهد که بیشترین حملات سایبری ، کار توانمندترین و مداوم ترین مهاجمان (در مقابل دفاع سایبری) است. یک اختلال بزرگ در مدت زمان طولانی نیاز به توانایی های یک سازمان بزرگ ، تا و از جمله بوروکراسی یک کشور ملت دارد. چنین مهاجمان همچنین به احتمال زیاد منابع و تحقیقات مفصلی را برای درک بازارهای پیچیده مالی ، موسسات و زیرساخت های شبکه ، پیدا کردن و بهره برداری از آسیب پذیری ها با استفاده از سلاح های ساخته شده و تعیین کننده بهترین زمان برای حداکثر اختلال به عنوان بخشی از یا در تعیین می کنند. به همین ترتیب ، یک هدف سیاسی یا نظامی بزرگتر.

بحران های جرقه ای

مخالفان می توانند سه نوع بحران مختلف ایجاد کنند: سوختگی آهسته ، آغاز یا تشدید.

بحران های آهسته سوختگی هنگامی اتفاق می افتد که یک دشمن از قابلیت های سایبری برای ایجاد اصطکاک طولانی مدت ، از دست دادن اعتماد به نفس و اختلال استفاده می کند ، اما زیر سطح "بحران" که ممکن است باعث شود ملت مورد حمله نظامی قرار بگیرد. مثالها شامل حملات DDOS ایران به موسسات مالی ایالات متحده و دلهره ها و اختلالات مداوم کره شمالی (همانطور که در بالا ذکر شد). این اقدامات تاکنون از ایجاد یک بحران سیستمیک تاکنون کم شده است.

بحران های تشدید شده هنگامی اتفاق می افتد که یک بحران مالی در حال انجام است یا یک ملت در حاشیه یکی در حال چرخش است و یک دشمن عمداً با حمله سایبری به آن فشار می آورد. تصور کنید که بسیاری از راه های حمله سایبری می تواند در سال 2008 ، هنگامی که بانک های مرکزی جهانی و مقامات داخلی نقدینگی گسترده و حمایت از سرمایه را به مؤسسات مالی مشکل دار منتقل می کردند ، سیاست و پاسخ های بازار را مختل کند. حملات DDOS می تواند ارتباطات ایمیل یا تلفنی را مختل کرده و در برنامه های وام دهی بانک مرکزی یا اجرای قطعنامه بانک FDIC دخالت کند و باعث وحشت بیشتر و اجرای بانک شود. مخالفان ممکن است ایمیل های حساس (یا مستند) را برای عصبانیت شهروندان و قانونگذاران از طریق کمک مالی منتشر کنند. یا حملات باج افزار به شرکتهای پریشانی می تواند دقت لازم را برای اطمینان از خرید ، بسته شدن یا ذخیره آنها مختل کند. در میان بازار خرس سریع ، سقوط فلاش ناشی از سایبری می تواند سهام جهانی یا بازارهای اوراق قرضه را به یک مسیر تبدیل کند.

بحران های آغاز شده ، برعکس بحران های تشدید شده ، هنگامی بوجود می آید که یک دشمن از قابلیت های سایبری برای ایجاد یک بحران مالی استفاده می کند که در غیر این صورت اتفاق نمی افتد. به منظور تحمیل حداکثر خسارت اقتصادی ، حمله به زیرساخت های بحرانی مالی - مانند پرداخت یا سیستم تأمین مالی عمده فروشی - می تواند دقیقاً در مکان و زمان قرار بگیرد که زیرساخت ها از نظر اقتصادی و فناوری شکننده ترین هستند. حملات می توانند علاوه بر مؤسسات مالی یا خدمات مالی مهم و زیرساخت های مهم اینترنتی ، تأمین نقدینگی و بازارهای تأمین مالی ، وثیقه کلیدی ، تسویه حساب و سیستم های پشتیبانی از فروشندگان آنها را نیز هدف قرار دهند. فقدان جایگزینی مجموعه ای غنی از اهداف بالقوه را ایجاد می کند.

به طور خلاصه ، حملات سایبری با شوک های سنتی مالی و سیاسی در قصد و زمان بندی متفاوت است. در حالی که هیچ حمله ای تا به امروز منجر به بی ثباتی مالی نشده است ، تأثیر بالقوه حمله سایبری با دقت به موقع طراحی شده برای بهره برداری از پویایی (منفی) مرتبط با کانال های مسری مالی سنتی به اندازه کافی بررسی نشده است.

کار موجود در مورد ریسک سایبری و ثبات مالی

با تعداد و پیچیدگی حملات سایبری در حال افزایش ، تنها همکاری بین شرکت کنندگان در صنعت و همچنین نهادهای خصوصی و دولتی ، چه در داخل کشور و چه در سطح بین المللی ، می تواند از مقاومت در سیستم مالی اطمینان حاصل کند.

تلاش های اولیه

حملات 11 سپتامبر 2001 باعث ایجاد فوریت در پیش بینی و متوقف کردن تهدیدهای آینده شد. زیرساخت های دیجیتال و امنیت سایبری اولویت های اصلی ایالات متحده بود. مرکز به اشتراک گذاری اطلاعات و تجزیه و تحلیل اطلاعات خدمات مالی (FS-ISAC) ، که چندین سال قبل در پاسخ به درخواست کاخ سفید به طور داوطلبانه تأسیس شد ، مسئولیت افزودنی برای هماهنگی پاسخ های بخش به حوادثی از قبیل بدافزارها و حملات کرم ، از جمله NIMDA و SQL Slammer را به عهده گرفت.(و یک دهه بعد حمله DDOS ایران به بخش مالی). این بخش سازمان های موازی را برای پاسخ به حادثه سطح بالاتر و هماهنگی سیاست ایجاد کرد. شورای هماهنگی بخش خدمات مالی بخش خصوصی (FSSCC) در سال 2002 با هفتاد نفر از بزرگترین موسسات مالی و انجمن های صنعت آنها به نمایندگی از بانکداری ، بیمه ، شبکه های کارت اعتباری ، اتحادیه های اعتباری ، مبادلات ، خدمات مالی در پرداخت ، پاکسازی و تسویه حساب ایجاد شد.. "16 با مشارکت رهبران سطح ارشد از سراسر بخش ، FSSCC استراتژی ها و برنامه های پاسخگویی را برای خطرات امنیتی سایبر و سایر میهن مانند همه گیر و تروریسم تولید می کند.

پسر عموی بخش دولتی به FSSCC کمیته زیرساخت های اطلاعاتی مالی و بانکی (FBIIC) است که (همچنین در سال 2002) ایجاد شده است تا "همکاری بین تنظیم کننده های مالی ، بهبود مقاومت در بخش مالی و ارتقاء مشارکت قوی تر بین بخش دولتی و خصوصی باشد."17 FBIIC و FSSCC به صورت سه ماهه دیدار می کنند و اعضای هر دو را برای افزایش اعتماد و بهبود پاسخ ها در شکاف عمومی و خصوصی جمع می کنند. خزانه داری کار مهمی را در این زمینه تأمین کرده است ، از جمله پیشرفت در زیرساخت های مالی مهم و یک قرارداد 2004 به FS-ISAC برای ارائه خدمات به کلیه موسسات مالی ایالات متحده ، نه فقط اعضای.

از مهمترین تلاش های خاص سیستمیک ، مقاله بین سازمانی در مورد شیوه های صوتی برای تقویت مقاومت سیستم مالی ایالات متحده ، که در سال 2003 توسط هیئت مدیره فدرال رزرو ، دفتر کنترل کننده ارز و کمیسیون اوراق بهادار و بورس صادر شد. 18 این سیاست مشترک "شیوه های صحیح برای اطمینان از مقاومت در برابر سیستم مالی ایالات متحده ، که بر به حداقل رساندن اثرات سیستمیک فوری اختلال در مقیاس گسترده در بازارهای مالی بحرانی" از جمله از سایبری به حداقل می رسد ، تأسیس کرد. این کار با کمیته بازل در مورد نظارت بانکی ، که مقررات اولیه خود را در مورد خطرات عملیاتی در سال بعد صادر کرد ، همراه بود.

تأیید ریسک سایبری به عنوان محرک بی ثباتی مالی

اخیراً ، گروه های بین المللی به رسمیت شناختن اهمیت خطرات سایبری و توسعه پاسخ های سیاسی شروع کرده اند. سایر پروژه های عملی اخیر در بخش بعدی مورد بحث قرار خواهد گرفت.

کمیته پرداخت ها و زیرساخت های بازار و سازمان بین المللی کمیسیون های اوراق بهادار (CPMI-IOSCO) ، نهاد نظارتی جهانی برای تنظیم کننده های پرداخت و اوراق بهادار ، دستورالعمل هایی را برای خدمات بازار مالی (FMIS) در سال 2012 منتشر کرد. در ژوئن 2016 ، آن را دنبال کرد"دستورالعمل های سایبر برای FMI."در این مقاله به "ویژگی های منحصر به فرد خطر سایبری" ، از جمله "ماهیت مداوم یک کمپین انجام شده توسط یک مهاجم با انگیزه" و "طیف گسترده ای از نقاط ورود که از طریق آن می توان FMI را می توان به خطر انداخت" اشاره کرد. همچنین خاطرنشان كرد: "برخی از حملات سایبری می تواند برخی از مدیریت ریسک و تداوم مشاغل را ناكار كند" ، همانطور كه وقتی نسخه پشتیبان تهیه شده نرم افزار مخرب منتشر می شود. 19

در بالاترین سطح ، G-20 شروع به تمرکز بر استفاده مخرب از فناوری اطلاعات و ارتباطات و توانایی آن در به خطر انداختن ثبات مالی کرده است. G-20 به هیئت ثبات مالی (FSB) وظیفه انجام "سهامداری از مقررات مربوطه و شیوه های نظارتی موجود در حوزه های قضایی ما ، و همچنین راهنمایی های بین المللی موجود" ، از جمله شناسایی شیوه های مؤثر در امنیت سایبری را واگذار کرد. وادبرای این منظور ، FSB تحقیقات و کارگاه های آموزشی را انجام داده است و یافته های خود را به رهبری G-20 در اکتبر 2017 ارائه می دهد. FSB همچنین وظیفه ایجاد یک واژگان مشترک برای تقویت درک بهتر از اصطلاحات سایبری مربوطه و تسهیل شیوه های مدیریت ریسک ثبات مالی را بر عهده داشت. 20 در سطح G-7 ، کشورهای عضو گرد هم آمدند تا عناصر اساسی G7 امنیت سایبری را برای بخش مالی در اکتبر 2016 منتشر کنند و هشت عنصر را برای طراحی و اجرای یک برنامه امنیت سایبری ارائه دهند. این گزارش پس از گزارش عناصر اساسی برای ارزیابی مؤثر امنیت سایبری در بخش مالی در اکتبر 2017 انجام شد. این گزارش بر پنج عنصر اصلی برای ارزیابی و پیشرفت برنامه های امنیت سایبری تأکید شده است.

در یک مقاله کار غیر رسمی 2017 ، صندوق بین المللی پول (IMF) همانطور که در این مقاله انجام می دهیم ، شیوه هایی که خطرات سایبری بی نظیر است ، ذکر شده است. با این حال ، مقاله صندوق بین المللی پول توصیه های خاص تری را ارائه می دهد ، به ویژه برای سیاست نظارتی مؤثر ، نشان می دهد که "ریسک امنیت سایبری باید با استفاده از مقررات سابق و مسئولیت سابق مدیریت شود" ، "معماری نظارتی باید سازگار شود و به طور مداوم تصفیه شود، "و" اصول سطح بالا باید با راهنمایی های موقت در سطح شرکت تکمیل شود. "21

در آگوست سال 2017 ، BIS با انتشار گزارشی از تحولات در چهار حوزه قضایی با "ابتکارات نظارتی و نظارتی خاص در مورد خطر سایبری بانکها ، در این فضا تفکر را بیشتر کرد. این موارد شامل هنگ کنگ سار ، سنگاپور ، انگلستان و ایالات متحده است. "22

در سپتامبر سال 2017 ، انستیتوی دارایی بین المللی مقاله مهمی را منتشر کرد که تأکید می کند: "حملات سایبری در مرز متوقف نمی شود ، و هیچ یک از تلاشهای هدف پاسخ به آنها نیز نباید."23 با چهار سناریو انتقال ریسک سایبری از طریق سیستم مالی جهانی (به جعبه متن 1 مراجعه کنید) ، IIF استدلال می کند که باید به دفاع سایبری "به طور جامع [و] با توجه به همه بازیگران درگیر ، با استفاده از بسیاری از ابزارهای فنی و حقوقی موجود ، توسعه جدید نزدیک شود. در صورت نیاز ، و همیشه به دنبال همکاری های بین المللی و ترویج هماهنگی "مقررات.

جعبه متن 1: سناریوهای سایبری IIF که ممکن است بر ثبات مالی تأثیر بگذارد

1. 1. یک "سیستم پرداخت عمده فروشی و یک سیستم پرداخت خرده فروشی بزرگ در همان زمان حمله می شود ، به طوری که هیچکدام نمی توانند خدمات خود را ، به عنوان مثال ، طی یک دوره 24 ساعته ارائه دهند."
2. 2. "فساد عمده داده ها در یک بانک نگهبان و یکی از سپرده های بزرگ اوراق بهادار مرکزی."
3. 3. "حملات مستقیم به بخش هایی از زیرساخت های وسیع که سیستم مالی به آن اعتماد دارد" ، مانند شبکه الکتریکی.
4. 4- "مصرف کنندگان خرده فروشی و جامعه وسیع تر ... به دلیل چند حمله سایبری بسیار مهم یا بسیاری از حملات کوچکتر بسیار مکرر به موسسات مالی یا زیرساخت های بازارهای مالی ، به امنیت و صداقت بخش هایی از سیستم مالی [یا] بی اعتماد هستند."

در ایالات متحده ، شورای نظارت بر ثبات مالی (FSOC) (ایجاد شده در سال 2010 توسط قانون Dodd-Frank) از سال 2012 در حال تجزیه و تحلیل امنیت سایبری به عنوان یک خطر اصلی برای ثبات مالی است. 24 در سال 2017 ، FSOC چندین راه حل عملی را برجسته کرد ،از جمله به اشتراک گذاری خودکار اطلاعات امنیت سایبری ؛هماهنگی نظارتی یک رویکرد مبتنی بر ریسک. تنظیم اضافی ارائه دهندگان خدمات شخص ثالث ؛و ادامه تمرینات و کار در برنامه های گسترده بخش برای بهبود و پاسخ. 25

محافظت و انعطاف پذیری پیشرفته

علاوه بر این پاسخ های سیاسی ، چندین تلاش خاص ، به ویژه در ایالات متحده انجام شده است ، که در آن حملات DDOS علیه بسیاری از بزرگترین بانک های سال 2012 نیاز به حمایت و هماهنگی تقویت امنیت سایبری بین بخش های دولتی و خصوصی را تسریع کرد.

در سال 2013 ، کاخ سفید دستور اجرایی 13636 را صادر کرد و امنیت سایبری زیرساخت های بحرانی را بهبود بخشید تا تلاش های مربوط به صنعت سایبری را انجام دهد. بخش 9 این سیاست به دبیر وزارت امنیت میهن (DHS) دستور داد "زیرساخت های مهم" را كه می تواند در "سلامت عمومی یا ایمنی ، امنیت اقتصادی یا امنیت ملی" تأثیر بگذارد ، در صورت قربانی حملات سایبری شناسایی كند. 26 DHS با خزانه داری همکاری کرد تا مشخص کند کدام مؤسسات مالی و خدمات متناسب با این توضیحات متناسب هستند. لیست حاصل از موسسات مالی طبقه بندی شده است ، اما مطمئناً تا حدی با مواردی که توسط موسسات مالی مهم سیستماتیک قانون Dodd-Frank مشخص شده است ، همپوشانی خواهد داشت.

هشت مورد از بانک های "بخش 9" ، در سطح مدیرعامل تصمیم گرفتند تا برای ایجاد مرکز تجزیه و تحلیل سیستمیک و انعطاف پذیری مالی (FSARC) ، که اکنون یک شرکت تابعه FS-ISAC است ، جمع شوند. اعضای موسس - Bank of America ، BNY Mellon ، Citigroup ، Goldman Sachs ، JPMorgan Chase ، Morgan Stanley ، State Street و Wells Fargo - FSARC را برای "شناسایی ، تجزیه و تحلیل ، ارزیابی و هماهنگی فعالیت ها برای کاهش خطر سیستمیک برای ایالات متحده مالی ایجاد کردند. سیستم از تهدیدهای امنیتی سایبری فعلی و در حال ظهور از طریق عملیات متمرکز و همکاری پیشرفته بین شرکتهای شرکت کننده ، شرکای صنعت و دولت ایالات متحده. "27

پروژه "بندرگاه پناهگاه" FS-ISAC منجر به انجمن های صنعت مالی شد و اعضای آنها "برای ذخیره ایمن و بازسازی سریع اطلاعات حساب کاربری ، اقدامات خود را در دسترس مشتریان قرار دادند ، چه از طریق ارائه دهنده خدمات و چه موسسه مالی دیگری ، اگر یک موسسه نتواند به نظر برسد. برای بهبودی از یک حادثه سایبری به موقع. "28 این پشتیبان گیری از داده ها برای بهبودی نیست ، بلکه برای راهنمایی بیمه سپرده در صورت حل و فصل ، مرگ نهایی شرکت است. این امر در صورت بروز تعداد زیادی از خرابی های بانکی با فساد یا تخریب داده ها ، در برابر از دست دادن اعتماد به نفس ایجاد می کند.

تمرین های سایبری در بخش های دولتی و خصوصی نقش مهمی در شناسایی شکاف ها و نقاط ضعف برای بهره برداری احتمالی دارند. پناهگاه پناهگاه نتیجه مستقیم درس های آموخته شده از تمرینات سایبری بود. به طور متوسط، بازیگران اصلی صنعت بانکداری خود را تحت یک تمرین شبیه سازی سناریوی متفاوت در هر سه ماهه قرار می دهند. برای مثال، FS-ISAC و شورای ریسک پرداخت ها سالانه تمرین های روی میز را انجام می دهند که یک حمله سایبری علیه فرآیندهای پرداخت (CAPP) را شبیه سازی می کند. طبق گفته انجمن ملی پاکسازی خودکار (NACHA)، این شبیه سازی ها به شناسایی شکاف ها در طرح های واکنش به حادثه، تقویت روابط تیم واکنش به حادثه، ایجاد درک درستی از آسیب پذیری های سیستم، و کاوش در بهبود در پاسخ کمک می کنند. 30 حداقل 19 رویداد در سری تمرینات همیلتون (که توسط وزارت خزانه داری ایالات متحده حمایت می شود) وجود داشته است. مجموعه همیلتون مجموعه ای از تمرین های توسعه یافته توسط FS-ISAC، FSSCC، وزارت خزانه داری و سایر سازمان های دولتی مربوطه ایالات متحده است که مجموعه ای از حملات سایبری یا حوادث را در خدمات مالی به منظور بهبود سیاست ها، رویه ها و بخش های عمومی و خصوصی شبیه سازی می کند. هماهنگیدر سال 2015، دولت های بریتانیا و ایالات متحده تمرین مشترکی را با بخش خصوصی برای بهبود درک بین دولت و صنعت برای به اشتراک گذاری اطلاعات، واکنش به حوادث و ارتباطات عمومی انجام دادند.

تلاش های تاب آوری تا به امروز بر روی ایالات متحده متمرکز بوده است. با این حال، در سال 2013 FS-ISAC منشور خود را گسترش داد تا موسسات مالی جهانی در مناطقی مانند آسیا، اروپا و آمریکای شمالی و جنوبی را شامل شود.

نگرانی ها و توصیه های عمده

پیشرفت های بزرگی در زمینه دفاع سایبری، هم در داخل و هم در خارج از مرزها حاصل شده است. تمرین ها در حال انجام هستند، فرآیندهای سیستم مالی در حال ترسیم هستند و پیوندهای ضعیف در شبکه ها قابل شناسایی هستند. با این حال، چهار نگرانی عمده وجود دارد:

دشمناندشمنانی که به طور فزاینده ای آگاه و پیچیده هستند ممکن است عمداً بی ثباتی مالی را هدف قرار دهند (یا به طور ناخواسته باعث ایجاد) شوند و فعالانه تلاش کنند تا تلاش های واکنش بخش مالی را تضعیف کنند. پیچیدگی وابستگی تکنولوژیکی باعث ایجاد نگرانی مرتبط و فزاینده ای شده است: اینکه حتی بازیگران غیرپیچیده ممکن است قادر به ایجاد اثرات سیستمی باشند.

عدم درککمبود اطلاعات و تجزیه و تحلیل در مورد تعامل احتمالی خطرات سایبری ، کانال های مسری مالی و "تقویت کننده" های احتمالی در آن کانال ها ، مانند نقاط واحد شکست وجود دارد. کار بیشتر در اینجا برای درک چگونگی ارتباط خطر سایبری با جریان های تجاری و تصمیمات هنگام بازارها و نهادها بسیار مهم است.

تکه تکه شدن تلاش ها. سوء استفاده از سیاست های مرزی ، واگرایی بین کار صنعت و بخش رسمی در مورد خطرات پایداری سایبری و مالی ، عدم وجود سیاست ها و مقررات هماهنگ و طیف وسیعی از استانداردها و آمادگی در انواع مختلف بنگاهها و بازارها وجود دارد. حتی اگر فضای مجازی ، مانند بخش مالی ، جهانی و به هم پیوسته است ، پاسخ به بحران های اصلی به طور قابل توجهی ملی باقی مانده است. هیچ سازمان مانند BIS ، IMF یا G-20 در محل برای کمک به هماهنگی استانداردهای بین المللی ، ارتباطات و پاسخ به یک رویداد سایبری سیستمی وجود ندارد.

فناوری های نوین . حتی اگر سیستم مالی در حال حاضر بسیار پیچیده باشد ، به ویژه با رشد انفجاری FinTech ، به خیانت ادامه خواهد یافت. برخی از این فناوری ها تأثیر سیستمیک خواهند داشت. برخی خطر را تسریع می کنند و برخی دیگر آن را کاهش می دهند. به عنوان مثال ، blockchain ممکن است با کاهش نقاط تنها شکست ، خطر را کاهش دهد ، در حالی که محاسبات ابری بیشتر خطرات سایبری را کاهش می دهد اما وابستگی به چند ارائه دهنده کلیدی را افزایش می دهد. در مقابل افزایش پیچیدگی مالی و فناوری ، کنترل کنترل ها به ویژه دشوار خواهد بود.

توصیه ها

با توجه به این نگرانی ها ، توصیه های ما بر درک مشترک بیشتر از این دو رشته - ثبات مالی و ریسک سایبری - و تقاطع آنها و همچنین اقدامات برای هماهنگی رویکردهای مقاومت در برابر بخش مالی تأکید می کند. این توصیه ها عبارتند از:

1. آیین نامه های بین المللی را که باعث تقویت مقاومت در برابر حملات سایبری و کاهش خطر در صورت حمله می شود ، هماهنگ کنید. این رویکرد نظارتی و نظارتی باید کشش کافی برای تکامل با تغییرات تکنولوژیکی و پیچیدگی های طرف مقابل داشته باشد.
2. انجام تحقیقات اضافی برای شناسایی داده ها و تسهیل در طراحی مدل ها برای اندازه گیری یا کمیت ریسک سایبری ، از جمله توسعه یک واژگان مشترک یا طبقه بندی مشترک برای بحث در مورد ریسک سایبری به عنوان عاملی در ثبات مالی. ما از تلاش FSB ، که در ژوئیه سال 2018 آغاز شده است ، تشویق می شویم تا از طریق روند مشاوره خود ، یک واژگان برای امنیت سایبری و مقاومت سایبری ایجاد کنیم. با این حال ، ما معتقدیم که یک واژگان باید بین جوامع سایبر و ثبات مالی ، نه فقط به نفع متخصصان مالی ، به اشتراک گذاشته شود تا ارتباطات و مقاومت دو طرفه بیشتری را تقویت کند. به عنوان مثال ، واژگان "ریسک" و "حمله" را که معانی مختلفی در جوامع پایداری سایبر و مالی دارند ، حذف کرده و می تواند منجر به سوء تفاهم در گرمای یک بحران شود.
3. سهم و توسعه بیشتر نقشه های ساختارهای مهم بازار ، و همچنین فرایندها و کنوانسیون های بازار (هر دو تلاش اخیر بخش دولتی و خصوصی) و تهیه نقشه های اضافی برای درک بهتر پوشش ریسک سایبری در لوله کشی بازارها و موسسات. باید توجه ویژه ای به چگونگی تعامل در ارتباط با فناوری سایبری با تصمیمات تجاری و پاسخ های مالی انجام شود ، که به نوبه خود می تواند باعث ایجاد بیماری مالی شود. برنامه های اقدام را بر اساس این درک و استفاده از این نقشه ها تهیه کنید.
4. انجام تمرینات بیشتر ، در سطح داخلی و مرزی ، به ویژه برای ایجاد بین مدیران پاسخگوی سطح ارشد از ثبات مالی و جوامع امنیت سایبری. ذینفعان باید مدیران سطح C را از شرکت های امنیت سایبری ، تنظیم کننده ها ، بانک ها و بانک های مرکزی درج کنند. تمرینات باید به طور فزاینده ای شامل کلیه مراکز مالی جهانی و تنظیم کننده ها برای مطابقت با ماهیت جهانی هر دو فضای مجازی و دارایی باشد.

هر ساله حملات سایبری شدیدتر می شوند و مخالفان جسورانه تر می شوند. بخش مالی جهانی یک هدف بوده است ، نه صرف مشاغل بانکی کیفری یا سرقت کارت اعتباری ، بلکه حملات بسیار بزرگتر و پیشرفته تر است. این حملات ممکن است تأثیر سیستمی داشته باشد اما برای تلاش های قهرمانانه تکنسین ها و تصمیم گیرندگان. مخالفان ، با طراحی یا تصادف ، روزی حمله ای را انجام می دهند که فراتر از توانایی این مدافعان باشد. ادامه کار برای آشتی و کاهش خطرات سایبری به ثبات مالی هرگز مهمتر نبوده است.

نویسندگان برای این مقاله یا از هر بنگاه یا شخصی که دارای علاقه مالی یا سیاسی در این مقاله است ، از هیچ شرکت یا شخص پشتیبانی مالی دریافت نکردند. آدریانا تاچ معاون رئیس جمهور در مرکز فیوژن کلاهبرداری در سیتی است. فراتر از این وابستگی ، نویسندگان در حال حاضر یک افسر ، مدیر یا عضو هیئت مدیره هر سازمان با علاقه به این مقاله نیستند.