银行网络安全风险评估测试

核心观点

• 背景：随着网络攻击的频率、复杂性和潜在影响的增加，一些监管机构开始进行网络风险压力测试，以提高银行和企业应对网络攻击等运营中断的韧性。
• 压力测试类型：压力测试主要分为两种类型：企业导向型压力测试和企业压力测试。企业导向型压力测试侧重于评估整个金融体系的弹性，而企业压力测试则侧重于评估单个企业应对和恢复网络事件的能力。
• 压力测试要素：压力测试包括规划、执行和后续行动三个阶段。
  • 规划阶段：确定参与银行的范围、资源需求、机构安排和情景设计。
  • 执行阶段：向企业介绍情景，并评估其应对计划的质量和有效性。
  • 后续行动和信息披露：向企业提供反馈，并可能采取补救措施。信息披露通常有限，但可以分享关键要点，以提高意识并建立最佳实践。

关键数据和研究结论

• 参与机构：英国央行、丹麦金融监管机构 (DFSA) 和欧洲央行 (ECB) 银行监管部门最近发布了关于其网络压力测试的报告。
• 企业参与：企业参与压力测试可以是自愿的，也可以是强制的。在系统导向型测试中，通常鼓励所有系统ically 重要的企业参与。
• 情景设计：情景基于定性叙述，描述了运营中断，并假设网络攻击的强度高于常规事件管理。
• 结果评估：由于网络压力测试的定性性质，企业可以通过问卷提供描述性反馈。监管机构可以应用一些质量控制措施，例如同行基准或专门研讨会，以验证这些答案的可靠性。
• 后续行动：在系统导向型测试中，后续行动可能侧重于确保所有企业和金融市场基础设施考虑压力测试的结果，并将其与自身的运营弹性测试和真实事件的经验相结合。
• 信息披露：关于网络压力测试的信息披露通常非常有限，但可以发布一般性经验教训，以提醒企业和公众解决网络风险复杂性和重要性。
• 未来发展方向：未来的测试可以纳入跨境和更广泛的跨部门中断，以更好地反映金融体系的相互关联性。广泛参与，包括非银行金融机构和关键第三方提供者，有助于全面了解系统性脆弱性。企业导向型压力测试也可以从其设计中引入一些系统性要素。