Peruvian authorities recognize cyber risk as a significant threat to the financial sector and overall financial stability. The country has experienced various cyberattacks, including denial of service attacks, data breaches, phishing scams, malware, and ransomware. A major incident in 2023 involved a data breach at the national identity registry, compromising sensitive personal information and undermining public confidence.
现状评估
- 网络安全态势: 虽然缺乏全面的威胁态势报告，但银行监管机构已记录了针对金融机构的多个网络攻击案例。2023年，国家身份登记处发生的数据泄露事件尤为严重，影响了1400万公民登记记录。
- 监管框架: 多个政府机构参与网络安全监管，包括银行保险和养老金监管机构（SBS）、中央银行（BCRP）、证券市场监管机构（SMV）等。然而，缺乏一个协调和讨论国家网络安全计划的统一平台。
- 风险管理: SBS负责监管金融机构的网络安全风险，但面临资源限制。金融机构被要求将网络攻击场景纳入其业务连续性计划，并定期进行网络安全风险评估。
- 信息共享: 尽管SBS于2022年推出了一个基本的信息共享平台，但该平台仅限于收集网络钓鱼事件数据，且信息共享缺乏细节。目前还没有正式的网络安全事件报告框架。
建议措施
报告提出了八个方面的建议措施，以加强金融部门的网络安全能力：
- 网络安全战略和框架: 建立一个高级别跨机构委员会，以协调和推动金融部门的网络安全计划。建立一个公私合作的网络安全韧性论坛，促进金融机构和监管机构之间的合作和信息共享。
- 治理: 增加网络安全风险监管和监督的资源。完善网络安全法规，制定更详细和具体的指南，并强调持续改进。
- 风险和控制评估: 对金融系统进行网络映射，以识别相互关联性和第三方服务提供商的风险集中度。
- 监控: 制定秘鲁金融部门网络威胁态势报告，以阐述该地区特有的威胁。增加对网络安全风险的现场监管，并开发一个网络测试框架，以模拟真实世界的威胁。
- 响应: 建立一个专门为金融部门服务的网络安全应急响应小组（FinCERT），并将其与国家网络安全应急响应小组整合。
- 恢复: 进行全面的网络攻击模拟演练，扩大参与范围，并制定一个跨机构响应框架，以提高金融部门的网络韧性。
- 信息共享: 实施一个跨部门的网络威胁情报信息共享平台和标准化的网络安全事件报告框架。实施一个全面的网络教育和公众意识计划，包括一个网络月活动。
- 持续学习: 进行正式调查，以量化网络安全技能差距，并为金融部门制定网络能力路线图。定期审查网络安全战略和框架，以应对不断变化的网络威胁。
实施建议
- 各机构应根据其法律和制度授权以及资源可用性，进一步讨论、决定和排序每项建议。
- 需要年度审查、持续的利益相关者咨询以及对不断变化的网络威胁态势的监控。
- 实施需要资源和跨部门协调。
关键数据
- 2023年，国家身份登记处发生的数据泄露事件影响了1400万公民登记记录。
- SBS监管的金融机构中，有88家进行现场监管，包括4家国内系统ically重要银行。
研究结论
秘鲁金融部门面临着日益增长的网络安全风险，需要采取全面措施来提高其网络韧性。通过实施报告中的建议措施，秘鲁可以加强其网络安全能力，保护金融系统免受网络攻击的影响，并维护公众对数字服务的信心。
