rfr · H70WRFR5 · 2020-01-28 00:00:00 — hänvisar i rapporten till en undersökning som uppger att en vanlig bank i genomsnitt utsätts för 85 riktade cyberattacker och att en tredjedel av dem lyckas. The EU Computer Emergency Response Team The EU Computer Emergency Response Team (CERT-EU) varnar medlemsländerna för nya hot, möjliggör test och ger råd. CERT-EU inrättades 2012 och består av it-säkerhetsexperter från olika EU-institutioner. CERT-EU ger stöd när medlemmar bemöter cyberattacker. Nordic Financial Computer Emergency Response Team Nordic Financial Computer Emergency Response Team (NF CERT) är en ideell organisation där de nordiska finansbranscherna är medlemmar. NF CERT bildades är baserat i men har anställda även i , och . Syftet är att stärka den nordiska finansbranschens motståndskraft mot cyberattacker genom att underlätta snabba och effektiva reaktioner på cybersäkerhetshot. Medlemmarna delar information och svarar samordnat på hot. Financial Systemic Analysis & Resilience Center dåvarande president utfärdade en presidentorder om att förbättra cybersäkerheten.12 Upprepade intrång i kritisk infrastruktur hade pekat på behovet av förbättrad cybersäkerhet. Departementet för inrikes säkerhet () fick i uppdrag att identifiera kritisk infrastruktur där en cybersäkerhetsincident skulle kunna leda till katastrofala regionala eller landsomfattande effekter på bl.a. den ekonomiska säkerheten. Departementet för inrikes säkerhet identifierade tillsammans med ett antal finansiella institutioner för vilka en cyberincident skulle få långtgående påverkan på den regionala eller nationella ekonomiska säkerheten. Som svar på presidentordern och på departementets inventering av systemkritiska institutioner skapade åtta ledande banker13 Financial Systemic Analysis & Resilience Center (FSARC) 2016. FSARC samlar finanssektorns arbete med systemrisker från cyberhot. FSARC har utvecklat ett (hemligt) register som omfattar ett drygt tjugoutal hotscenarier med kapacitet att spridas från en finansiell institution till hela finanssektorn. FSARC är anslutet till FS- . () bildades av 70 av de största finansiella institutionerna (banker, försäkringsbolag, kreditkortsinstitut m.m.) i . FSSCC arbetar tillsammans med myndigheterna för att ta fram strategier för att öka den finansiella sektorns motståndskraft och för att hantera bl.a. cyberattacker och naturkatastrofer. 2.2.1 Forskning publicerad 2016 Tiirmaa-Klaar, (2016). national cyber resilience and protecting critical information infrastructure. 1, 2016. I artikeln diskuteras hur ett effektivt nationellt cyberförsvar kan organiseras, mot bakgrund av de regleringar för ökad cybersäkerhet som då beslutats i och EU. 12Executive Order 13636. Improving Critical Infrastructure Cybersecurity. 13Bank of , BNY Mellon, Citigroup, , JP , , State Street och . 2.2.2 Forskning publicerad 2017 Office of (2017). Cybersecurity and Financial Stability: Risks and Resilience, OFR Viewpoint Paper, nr 17-01, U.S. OFR identifierar i rapporten tre faktorer som ökar risken för cyberincidenter. Det första är internets öppna struktur som gör att det är lätt att agera på avstånd och att risken att bli upptäckt är liten. För det andra har handeln med kryptovalutor gjort det lättare för kriminella att flytta och inneha tillgångar anonymt och att kunna undgå upptäckt. Den tredje faktorn är att tillverkare av mjukvaror ofta inte berörs av lagar om produktansvar utan klassas som tjänsteleverantörer och därför inte prioriterar säkerhet. Corbet, Shaen & Gurdgiev, (2017). Financial Digital Disruptors and Cyber-Security Risks: Paired and Systemic. 1, 2017. Artikeln beskriver att omfattningen och förekomsten av cyberbrottslighet mot finansmarknaden har ökat . Finansmarknadens aktörer har försökt att uppgradera sin teknik för att minska riskerna för tekniska kollapser med potentiellt katastrofala följder. Strävan att utveckla mer säker teknik har dock hämmats av den internationella bankkrisen och de ekonomiska problem den lett till för aktörerna. Cyberbrottslingarnas skicklighet och bredd ökar i takt med att den teknik som skulle kunna skydda finansmarknaden inte får tillräckliga resurser och därför stagnerar. har nya smittvägar upptäckts, vilket tyder på att en enstaka händelse kan ge effekter på hela branschen. Därmed ökar sannolikheten för en förödande hackerattack. Ökad reglering krävs därför enligt författarna. Crisanto, Prenio, Jermy (2017). Regulatory approaches to enhance banks' cyber-security frameworks, FSI Insights nr 2. Författarna anser att banker är mycket sårbara vad gäller cyberattacker eftersom de har många produkter och tjänster som vänder sig till den breda, publika marknaden. Dock har endast ett fåtal länder (, , och ) vidtagit särskilda åtgärder för att skapa ett regelverk och en tillsyn som syftar till att hantera de cyberhot som bankerna utsätts för. Författarna kan konstatera att regelverken i dessa fyra länder skiljer sig åt men att de har börjat närma sig varandra. Vidare menar författarna att metoderna för att utöva tillsyn i syfte att bedöma bankernas sårbarhet inför och motståndskraft mot cyberattacker förefaller likna varandra mer. Metoderna går mot att bättre förstå hur de som genomför attackerna tänker och agerar. 2.2.3 Forskning publicerad 2018 Healey, J., Mosser, P. & Rosen, K. (2018). The Future of Financial Stability and Cyber Risk, /Affairs, . Rapporten pekar på att cyberbrottsligheten inledningsvis var klumpigt utförd och inriktad på hot mot mindre företag. har brottsligheten blivit mer sofistikerad och precis. Rapporten framhåller att det saknas kunskap och gemensamma ansträngningar. cyberrymden och den finansiella sektorn är globala, är lösningarna ofta nationella. Rapporten efterlyser organisationer som kan koordinera internationella standarder, kommunikation, eller svar på en systemomfattande cyberincident. Tekniken kommer att fortsätta utvecklas, i synnerhet fintech. Vissa innovationer kommer att ge skydd mot cyberattacker, medan andra kommer att öka sårbarheten. (2018). The Financial Sector’s Vulnerabilities, Villains, and Options for Defense. Military Cyber Affairs: vol. Författarna anser att det största hotet vad gäller cyberbrott mot finanssektorn kommer från terrorister och att åtgärderna därför bör riktas mot just dessa grupper. Det bästa tillvägagångssättet är att se till att dessa grupper inte har resurser att utveckla sina cybervapen. Det tar tid och resurser att planera mer omfattande cyberangrepp och målet bör därför vara att se till att de aktuella grupperna inte har tillgång till det. , (2018). Impact of cyberattacks on financial institutions, , nr 2, vol. 23, 2018. Författaren pekar på att cyberbrottsligheten sprids snabbt inom finanssektorn. Ingen klarar sig undan och institutionerna möter stora hot. Artikelförfattaren menar att antalet attacker kanske inte är det största i finanssektorn men att effekterna är stora i form av både direkta och indirekta förluster. Finansinstituten måste därför vidta fler förebyggande åtgärder. , , (2018). One way to better cyber resilience in the financial sector: The Danish approach. : A , vol. 2, nr 2, 2018. Artikeln handlar om det samarbete som pågår mot cyberhot inom finanssektorn i . De ökande cyberhot som riktas mot den danska finanssektorn kräver åtgärder för att landets finansiella stabilitet ska kunna garanteras. har därför tagit flera initiativ för att öka motståndskraften i finanssektorn. inrättade Financial Sectorforum for Operational Robustness (FSOR) 2016 där viktiga aktörer inom den danska finanssektorn ingår. Bland annat har man fattat beslut om ett program för intrångstest i samarbete med hackare. 2.2.4 Forskning publicerad 2019 Prenio, J., , J. & Kleijmeer, R. (2019). Varying shades of red: how red team testing frameworks can enhance the cyber resilience of financial institutions, FSI Insights nr 21. Författarna pekar på att intrångstest genomförda i samarbete med hackare blir allt viktigare för att öka cybersäkerheten. Vidare framför de att sådana aktiviteter bör koordineras så att de blir heltäckande och effektiva. Bayle de , (2019). The Eurosystem’s cyber resilience strategy for financial market infrastructures. : A , vol. 2, nr 4, 2019. Artikeln beskriver att det ömsesidiga beroendet inom finansmarknaderna ökar, liksom sårbarheten för cyberattacker. Likaså ökar hoten. Artikeln tar upp den strategi för ökad motståndskraft inom det finansiella systemet mot cyberhot som Eurosystem lanserat. Strategin består av tre delar: ökad beredskap bland finansmarknadernas infrastruktur, stärkt motståndskraft inom olika sektorer och ökat samarbete mellan tillsynsmyndigheter och privata aktörer. Enligt författarna måste lagstiftare, myndigheter och marknadsaktörer ha ett gemensamt förhållningssätt. Corbet, Shaen & Gurdgiev, (2019). What the hack: Systematic risk contagion from cyber events, Analysis, 2019. Artikeln behandlar hur cyberattacker och hackning påverkar rörligheten på aktiemarknaden. Den visar att effekten i form av volatilitet beror på hur många kunder som påverkats av en incident och på vilken sorts brott som genomförts. Företag som utsatts för omfattande dataintrång drabbas mest och får störst påverkan på sin avkastning. De som utsatts för hackning är särskilt drabbade. Vidare är företag med lägre marknadsvärde mest mottagliga. Författarna konstaterar också att smittvägen från cyberintrång till ökad rörlighet på marknaden får allt större betydelse. De pekar på att hackares expertkunskaper behövs för att identifiera svagheter i skyddet mot cyberbrott. & Wetherilt, (2019). Some Principles for Regulating Cyber Risk, AEA Papers & Proceedings, . Författarna pekar på att cyberrisker skiljer sig från andra operativa risker på fyra sätt. För det första är de avsiktliga och för det andra är det mycket troligt att de inträffar. För det tredje skiljer sig cyberattacker från andra incidenter genom att dold kod kan ligga och vänta i systemen innan problemen blir uppenbara. För det fjärde utvecklas angreppen, och attackerna blir mer anpassade och svårare att förhindra. När samtliga dessa fyra egenskaper förekommer blir cyberattacker enligt författarna enormt dyra att skydda sig mot och att hämta sig ifrån. Dessutom sprids effekterna till fler organisationer och till det finansiella systemet. De bedömer att privata initiativ inte kommer att leda till en tillräcklig nivå av motståndskraft. Artikelförfattarna föreslår sex principer för att förstärka arbetet mot cyberattacker, nämligen att tillsynsmyndigheter bör: 1.se till att företagen agerar som om en attack oundvikligen kommer att äga rum 2.se till att företagen planerar för en lång och omfattande störning och avsätter resurser för att besvara och återhämta sig från en attack 3.ha en dialog med företagen om hur det bör ta för företagen att återhämta sig från en attack 4.genomföra stresstester för att kartlägga sårbarheter 5.planera för systemomfattande störningar genom att formulera hur snabbt avgörande ekonomiska funktioner bör kunna återupptas 6.uppmuntra företag att undvika vanliga sårbarheter och i stället välja mer varierade it-lösningar. Fintech står för den växelverkan som finns mellan finansiell verksamhet och teknologisk innovation. Fintech betecknar nya tjänster som byggs upp från grunden med hjälp av teknisk innovation, t.ex. betalningar med virtuell valuta med bakomliggande blockkedjeteknik. Begreppet inbegriper också traditionella tjänster som effektiviseras med hjälp av tekniska innovationer.14 Innovationerna kan leda till nya företagsmodeller, applikationer, processer eller produkter. Det kan gälla tjänster i form av nya betalningslösningar, mass- eller gräsrotsfinansiering, digitala valutor eller kryptovalutor. Det kan också avse interna processer som använder big data. I den forskning och de rapporter som utgör underlaget till översikten är det framför allt banker och andra långivare som diskuteras när det gäller fintech. Det skrivs mycket om centralbankerna och deras förändrade roll och om digitala centralbanksvalutor. En annan av de frågor som diskuteras mycket är regleringens och tillsynens förändrade roll. Fintech väcker också mer fundamentala frågor om vad pengar är och vilken betydelse som tillit spelar vid finansiella transaktioner. I många rapporter och artiklar framhålls att fintech kan innebära såväl möjligheter som hot för den finansiella stabiliteten. Fintech kan leda till ökad konkurrens som leder till effektiviseringar som i sin tur är gynnsamma för stabiliteten. Den nya tekniken kan underlätta och snabba på den rapportering som sker från finansmarknaden till tillsynsmyndigheterna, vilket också är positivt ur stabilitetssynpunkt. Fintech kan också ge möjlighet för stora grupper att ta del av finansiella tjänster på ett nytt sätt, inte minst i utvecklingsekonomier. diskuteras eventuella risker förknippade med fintech. En av de viktigaste är ett ökat risktagande. Det beror för det första på att de nya sätten att låna pengar förknippas med större risker då lånen ofta ges utan säkerheter eller kontroll av låntagarens kreditvärdighet. Det beror för det andra på att traditionella banker som utsätts för hårdare konkurrens kan börja ta större risker för att försöka öka sin lönsamhet. En fråga som flera författare pekar på är att fintech inte har använts under en lågkonjunktur och att det därför är svårt att bedöma om en sådan situation skulle innebära några särskilda risker. Andra pekar på att fintech kan förstärka ekonomins tendens att gå i cykler eftersom automatiserade bedömningar kan få många investerare att flytta pengar åt samma håll, vilket ökar svängningarna. Det ökade beroendet av tekniska lösningar innebär också att företagen utsätter sig för större risker. Tekniska problem kan göra att tjänster inte kan utföras. Om många företag använder samma it-leverantör kan det snabbt få effekter på systemnivå. Risken för cyberbrott ökar i takt med digitaliseringen. 14Riksbanken (2017). Finansiell stabilitet 2017:1. Tillsynen av tjänster kopplade till den nya tekniken har inte hängt med i utvecklingen vilket också kan bidra till ökad osäkerhet. När finansiella transaktioner flyttas bort från centrala aktörer kan det bli svårare för myndigheterna att få insyn, vilket i sin tur kan försvåra upptäckten av osund eller olaglig verksamhet. Regtech står för användning av finansiell teknik i arbetet med att utöva tillsyn och är ett område som är under snabb utveckling. Utvecklingen går mot att centralbanker och tillsynsmyndigheter inrättar regulatoriska sandlådor och särskilda enheter som inriktar sig på frågor om fintech och innovationer. Virtuella valutor har använts i kriminella verksamheter, såsom terrorfinansiering, penningtvätt, skattesmitning och illegal vapenhandel. Många pekar på att detta ytterligare understryker vikten av att hitta sätt att utöva tillsyn över de nya valutorna. Fintech innebär vidare att institutionella och geografiska gränser suddas ut och det kan medföra mer instabila kapitalflöden. Snabb flytt av kapital kan också skapa risker i form av stora och oväntade rörelser. Kryptovalutor och knutna kryptovalutor (”stablecoins”)15 kan utmana de nationella valutornas oomtvistade särställning och centralbankernas funktion som sista låneinstans i kris. Icke-knutna kryptovalutor förknippas också med en hög grad av volatilitet. Bedömningen i litteraturen är att fintech påverkat relativt små delar av finansmarknaderna och att volymerna är små och att fintech därför än så länge inte har haft så stor påverkan på den finansiella stabiliteten. Många författare pekar dock på att det förhållandet snabbt kan ändras. Något som av vissa tros kunna få stor påverkan är bigtech, alltså stora teknikföretag som tar steget in på marknaden för finansiella tjänster. Det bedrivs alltmer forskning om finansiell stabilitet och fintech, och antalet publikationer har ökat . Många internationella och andra organisationer arbetar med att förstå vad utvecklingen inom fintech kan komma att innebära och hur den nya tekniken ska fogas in i befintliga system och regleringar. () och () är två av dessa. Financial Action Task Force (FATF) är ett mellanstatligt organ som verkar för ökad säkerhet. och tillsammans har tagit initiativ till The Fintech Agenda. EU arbetar aktivt med frågorna, och bland centralbankerna kan särskilt nämnas. och har inrättat regulatoriska sandlådor. 15Knutna kryptovalutor har konstruerats för att hålla ett mer stabilt värde. Valutan kan vara knuten till en annan tillgång, t.ex. den amerikanska dollarn eller en korg av nationella valutor eller råvaror. För algoritmbaserade knutna valutor hålls värdet stabilt genom att man anpassar mängden valuta som ges ut till hur mycket som efterfrågas. 2019/20:RFR5 3 FINTECH 3.1 Organisationer och initiativ 3.1.1 Internationella organisationer G7 och G20 G7 och G20 arbetar mycket med frågor om finansiell stabilitet, framför allt via Financial Action Task Force (FATF) och (). G20 (2019). G20 Leaders’ Declaration. I den deklaration som G20- länderna formulerade i samband med sitt möte i framgår att G20 anser att tekniska innovationer kan ha positiva effekter på det finansiella systemet och den bredare ekonomin. Kryptovalutor betraktades inte som ett hot men G20 beskrev att de noga följde situationen och fortsatte uppmärksamma existerande och kommande risker. G20 bekräftade sitt stöd för FATF:s standarder för virtuella tillgångar i syfte att bekämpa penningtvätt och terrorfinansiering. Likaså välkomnade G20 FSB:s arbete om konsekvenser av fintech. FSB bedriver ett omfattande arbete kopplat till fintech. Ett exempel är att FSB levererade en rapport till G20-ländernas finansministrar och centralbankschefer 2019 om fintech och decentraliseringen av finansiella tjänster. Bland FSB:s rapporter kan följande nämnas. FSB (2016). into Resilient Fi- nance. Possible Measures of Non-Cash Collateral Re-Use. Rapporten diskuterar vilka data som kan inkluderas i FSB:s globala standarder för värdepappersfinansiering. Rapporten är avsedd att fungera som utgångspunkt för diskussioner med marknadsaktörer och forskare kring hur man kan identifiera mått på säkerheter, utvärdera globala trender och bedöma risker för den finansiella stabiliteten. FSB (2017). Artificial intelligence and learning in financial services. Market developments and financial stability implications. Rapporten diskuterar den ökande användningen av artificiell intelligens (AI) och maskininlärning (ML) i finansiella tjänster. Ett användningsområde är att finansinstitut använder AI och ML för att bedöma kreditkvalitet, för att prissätta avtal och för att automatisera kundkontakterna. Hedgefonder, mäklare och liknande företag använder AI och ML för att optimera sin avkastning. Teknikerna kan också användas vid tillsyn av regelefterlevnad eller utredningar av bedrägerier. En första analys av användningen av AI inom finanssektorn visar ett antal potentiella faktorer och risker för finansiell stabilitet som bör övervakas när tekniken sprider sig. Dessa är några av de slutsatser som FSB drar: 1.Fintech och dess mer effektiva hantering av information kan bidra till ett mer effektivt finansiellt system. Regtech med hjälp av AI och ML kan förstärka regelefterlevnaden och effektivisera tillsynen. 2.Tillämpningen av de nya teknikerna kan resultera i ett ökat beroende av tredjepartsaktörer. Det kan i sin tur leda till uppkomsten av nya systemviktiga aktörer som inte fångas upp av befintliga regleringar. 3.AI och ML kan leda till nya och oväntade former av kontakter mellan finansmarknader och institutioner. 4.Bristen på kunskap om AI och ML kan innebära en risk på makronivå om metoderna inte tolkas på rätt sätt. 5.Det är viktigt att utvärdera användningen av AI och ML och följa hur teknikerna påverkar bl.a. dataintegritet och cybersäkerhet. FSB (2017). Financial Stability Implications from FinTech. Supervisory and Regulatory Issues that ’ Attention. I rapporten identifierar FSB möjligheter och hot för den finansiella stabiliteten förknippade med fintech. Bland möjligheterna nämns decentralisering och diversifiering av finanssektorn, ökad effektivitet, ökad transparens och ökad tillgänglighet till finansiella tjänster. Några risker på makronivån är att spridningen av risker och finansiell oro ökar. Om t.ex. en fintech-styrd låneplattform går med förlust kan det tolkas av marknaden som att hela sektorn är osäker. Mönstret förstärks dessutom av att fintech leder till automatiserade bedömningar, medan en mänsklig bedömare hade kunnat upptäcka feltolkningen. Fintech misstänks också kunna förstärka ekonomins benägenhet att utvecklas i cykler eftersom automatiserade bedömningar kan få många investerare att flytta pengar åt samma håll. Vidare kan volatiliteten öka eftersom många fintech-lösningar är skapade för att vara snabba, vilket kan leda till en ohälsosamt hög rörlighet. Slutligen kan fintech leda till att nya systemviktiga aktörer framträder och att nya oligopol och monopol kan uppstå. FSB rekommenderar internationella organisationer och nationella myndigheter att särskilt bevaka ökade risker förknippade med utlagda tjänster, att minska riskerna för cyberattacker samt att öka bevakningen av de makrofinansiella risker som fintech-utvecklingen kan innebära. Eftersom det till stora delar saknas data om utvecklingen bör det framför allt ske genom att myndigheterna förbättrar sin egen kapacitet att ta fram information om fintech. FSB (2018). Report to the G20 on work by the FSB and stan- dard-setting bodies. Rapporten är en inventering av det arbete som görs av FSB och standardiseringsorganen CPMI, IOSCO och vad gäller kryptovalutor. Inventeringen visar att FSB och CPMI har utvecklat mätmetoder för att övervaka påverkan på den finansiella stabiliteten, och CPMI har gjort stora insatser inom området distribuerad databasteknik, DLT. IOSCO har bl.a. fördjupat sig inom crowdfunding i samband med startandet av nya bolag, och har utrett hur bankerna påverkas av kryptovalutor. FSB (2018). Potential channels for future financial stability implication. I rapporten bedömer FSB att kryptovalutor inte innebär någon risk för den finansiella stabiliteten men att det är viktigt att följa utvecklingen eftersom den kan gå fort. Om kryptovalutor blir vanligare kan den finansiella stabiliteten bl.a. påverkas genom att förtroendet för och tilliten till det finansiella systemet och tillsynsmyndigheterna försvagas. FSB (2019). FinTech and market structure in financial services: Market developments and potential financial stability implications. Rapporten handlar om fintech, finansmarknadens struktur och betydelsen för den finansiella stabiliteten. I rapporten undersöker FSB tre fintech-relaterade områden som kan komma att förändra det finansiella systemets struktur och som därmed kan påverka den finansiella stabiliteten. 1.att nya aktörer erbjuder bankliknande tjänster som konkurrerar med eller anknyter till etablerade finansiella aktörer 2.att bigtech-företag erbjuder finansiella tjänster 3.att beroendet av utomstående leverantörer av molntjänster ökar. Enligt rapporten kan tekniska innovationer bidra till ökad tillgänglighet, fler produkter, ökad smidighet och sänkta kostnader för kunderna. Hur det nya tjänsteutbudet ser ut kan dock variera och det påverkar den finansiella stabiliteten på olika sätt. FSB pekar i rapporten på att fintechs påverkan på den finansiella stabiliteten har bedömts vara relativt liten men att det snabbt kan förändras. För det första introduceras ny teknik, och kraften bakom utvecklingen med öppen bankverksamhet (”open banking”) kan snabbt förändra konkurrensen. Det är också möjligt att den allt snabbare tillgången till öppen bankverksamhet16 kan ändra konkurrensdynamiken bland finansiella tjänster. För det andra kan förändringar i företagsmodeller komma att ske fortare som en följd av att bigtech-företag aktivt och framgångsrikt tar sig in på marknaden för traditionella finansiella tjänster. Bigtech-företag kan å andra sidan också bidra till ökad säkerhet.