Peruvian authorities recognize cyber risk as a significant threat to the financial sector and overall financial stability. The country has experienced various cyberattacks, including denial-of-service attacks, data breaches, phishing, malware, and ransomware. A major incident in 2023 involved a data breach at the national identity registry, compromising sensitive personal information and undermining public confidence.
现状评估
- 监管框架: 多个机构参与金融行业网络安全监管，包括银行保险和养老金监管机构（SBS）、中央银行（BCRP）和证券市场监管机构（SMV），但缺乏协调机制和信息共享平台。
- 威胁态势: 网络攻击日益复杂，包括钓鱼攻击、身份盗窃、恶意软件和勒索软件等。2023年国家身份登记处数据泄露事件导致网络犯罪增加。
- 监管能力: SBS面临资源限制，难以有效监管金融行业的网络安全风险。现有网络安全法规原则性较强，缺乏细节和针对性。
- 风险评估: 金融体系网络和关键服务提供商的风险地图尚未绘制，难以识别系统性风险。
- 监测: 缺乏全面的网络威胁态势报告和网络安全测试框架，难以有效评估和应对网络攻击。
- 响应: 金融行业缺乏专门的网络安全应急响应小组（CERT），现有国家CERT无法满足金融行业的特定需求。
- 恢复: 仅开展了针对部分机构的网络安全模拟演练，缺乏跨部门、跨行业的综合性演练。
- 信息共享: 现有的信息共享平台功能有限，缺乏标准化的网络安全事件报告框架。
- 持续学习: 网络安全人才短缺，缺乏针对新兴技术（如人工智能和量子计算）的风险评估和应对措施。
建议
- 建立高层跨机构委员会: 协调金融行业的网络安全工作，明确责任分工，推动关键举措。
- 建立公私合作网络安全论坛: 促进金融机构和监管机构之间的合作，共同应对网络安全挑战。
- 增加监管资源: 加强SBS的网络安全监管能力，优先对系统重要性银行进行现场检查。
- 完善网络安全法规: 制定更详细、更具体的网络安全法规，明确监管要求和标准。
- 绘制金融体系网络地图: 识别金融体系中的关键节点和风险连接，评估系统性风险。
- 制定网络威胁态势报告: 分析网络安全威胁趋势，帮助金融机构做好准备。
- 建立网络安全测试框架: 通过模拟真实世界的攻击，评估金融机构的网络安全防御能力。
- 建立金融行业CERT: 提供专业的网络安全威胁情报、事件响应和漏洞管理服务。
- 开展综合性网络安全演练: 测试金融机构的网络安全响应和协调能力。
- 建立跨部门、跨行业的网络安全信息共享平台: 促进信息共享和协同应对。
- 开展网络安全教育和公众意识提升活动: 提高公众和金融机构的网络安全意识。
- 开展网络安全技能差距调查: 制定网络安全能力发展路线图。
- 定期审查和更新网络安全战略: 适应不断变化的网络安全威胁环境。
- 研究新兴技术的风险和机遇: 发布针对人工智能和量子计算的风险提示和最佳实践指南。
