Finans Firmalarına Siber Savunmalarını Güçlendirme Çağrısı
Kıbrıs Sermaye Piyasası Komisyonu (CySEC), düzenlenmiş finansal kuruluşları gelişmiş yapay zeka modellerinin oluşturduğu büyüyen siber güvenlik tehditleri konusunda uyardı ve firmaları Avrupa kurallarına uygun olarak dijital dayanıklılık çerçevelerini güçlendirmeye çağırdı.
İlgili paydaşlara gönderilen bir genelgede CySEC, sınır yapay zeka modellerinin yazılım güvenlik açıklarını benzeri görülmemiş bir hız ve ölçekte tespit edip kullanabildiğini belirterek bu modellerle ilişkili artan risklere dikkat çekti.
Düzenleyici, uyarıyı Kıbrıs Yatırım Firmalarına (CIF'ler), merkezi menkul kıymet saklama kuruluşlarına, işlem platformlarına, kripto varlık hizmet sağlayıcılarına, alternatif yatırım fon yöneticilerine ve UCITS yönetim şirketlerine yöneltti.
CySEC'e göre, gelişmiş yapay zeka sistemlerindeki son gelişmeler hem bu teknolojilerin savunma amaçlı siber güvenlik için faydalarını hem de potansiyel kötüye kullanımdan kaynaklanan tehlikeleri ortaya koydu.
Komisyon, bu gelişmelerin güvenlik açığı keşfi ve istismar döngülerini önemli ölçüde hızlandırabileceğini açıkladı.
Bunun, finansal kurumlara ve onların ICT üçüncü taraf hizmet sağlayıcılarına yönelik siber saldırıların karmaşıklığını, sıklığını ve ölçeğini artırabileceğini ekledi.
CySEC, Dijital Operasyonel Dayanıklılık Yasası (DORA) kapsamındaki kuruluşlara, resmi adıyla Tüzük (AB) 2022/2554 kapsamında, ortaya çıkan AI teknolojileriyle bağlantılı olanlar da dahil olmak üzere değişen siber tehditlere yanıt verebilecek sağlam ICT risk yönetimi çerçevelerini sürdürmeleri gerektiğini hatırlattı.
Düzenleyici, firmaların büyüklük, yapı, ölçek ve karmaşıklıklarıyla orantılı bir şekilde mevcut ICT risk yönetimi düzenlemelerinin yeterli olup olmadığını değerlendirmelerini beklediğini söyledi.
Gerektiğinde kuruluşların değişen tehdit ortamını ele almak için kontrollerini ve süreçlerini güçlendirmeleri gerektiğini ekledi.
CySEC, firmaları ICT güvenlik açıklarının tespiti ve değerlendirmesini geliştirmeye, buna daha güçlü tehdit istihbaratı ve iyileştirilmiş güvenlik açığı izleme yetenekleri de dahil olmak üzere teşvik etti.
Komisyon ayrıca firmalara, özellikle kritik sistemler ve eski altyapı için güvenlik açığı düzeltme ve yama yönetimi süreçlerinin etkinliğini ve hızını gözden geçirmelerini tavsiye etti.
Buna ek olarak düzenleyici, ICT sistemlerinin tasarım gereği güvenlik ve dayanıklılık içermeye devam etmesinin önemini vurguladı.
Ayrıca firmaları kimlik ve erişim yönetimi kontrollerini ve kritik ICT varlıklarının dayanıklılığını yeniden değerlendirmeye çağırdı.
Genelgeye göre, ICT üçüncü taraf hizmet sağlayıcılarının hazırlık ve dayanıklılığına ve tedarik zinciri bağımlılıklarına da özel önem verilmesi gerekiyor.
CySEC ayrıca firmaları giderek daha karmaşık hale gelen siber tehditleri tespit etmek için izleme ve tespit yeteneklerini güçlendirmeye teşvik etti.
Düzenleyici, kuruluşların yanıt sürelerini ve olay müdahale yeteneklerini iyileştirmek için otomasyon kullanımını ve gelişmiş güvenlik orkestrasyonunu artırmayı düşünmeleri gerektiğini söyledi.
Ayrıca şiddetli siber senaryolar altında yedekleme, geri yükleme ve felaket kurtarma düzenlemelerinin etkili kalmasının sağlanmasının önemini vurguladı.
Genelgeye göre, yedekleme sistemleri uygun şekilde ayrıştırılmalı ve gerçekçi operasyonel koşullar altında düzenli testlere tabi tutulmalıdır.
Komisyon ayrıca yapay zeka ile ilgili siber risklerin ICT risk değerlendirmelerine, yönetişim düzenlemelerine ve operasyonel dayanıklılık planlamasına uygun şekilde yansıtılması gerektiğini vurguladı.
Firmaların ayrıca olaylardan, test çalışmalarından ve ortaya çıkan tehdit istihbaratından öğrenmelerini sağlayacak süreçleri sürdürmeleri gerektiğini söyledi.
CySEC, DORA'nın finansal kuruluşların ICT sistemlerini ve varlıklarını yetkisiz erişime ve kötü amaçlı faaliyetlere karşı korumalarını gerektirdiğini yineledi.
Ayrıca anormal faaliyetleri ve ICT ile ilgili olayları tespit edebilmeleri gerektiğini belirtti.
Ayrıca firmaların etkili yedekleme ve geri yükleme yetenekleriyle birlikte sağlam iş sürekliliği düzenlemelerini sürdürmeleri gerekiyor.
Çerçeve ayrıca kurumları uygun ICT testleri ve güvenlik açığı değerlendirmeleri yapmakla yükümlü kılıyor.
Buna ek olarak düzenlenmiş kuruluşların ICT üçüncü taraf sağlayıcılarıyla ilişkili riskleri etkin bir şekilde yönetmeleri gerekmektedir.
CySEC, sınır yapay zeka teknolojilerindeki gelişmeleri ve bunların finans sektörü genelinde operasyonel dayanıklılık ve siber güvenlik üzerindeki etkilerini izlemeye devam edeceğini açıkladı.
Düzenleyici, uygun durumlarda düzenlenmiş kuruluşlarla hazırlık seviyeleri, yönetişim düzenlemeleri ve ilgili ICT risk azaltma önlemlerinin uygulanması konusunda iletişime geçebileceğini ekledi.
Ayrıca CySEC, finansal kurumları dikkatli olmaya ve dijital operasyonel dayanıklılık çerçevelerinin değişen siber risk ortamına paralel olarak gelişmeye devam etmesini sağlamak için proaktif önlemler almaya çağırdı.
