rfr · H70WRFR5 · 2020-01-28 00:00:00 — Hur påverkas den finansiella stabiliteten av cyberhot, fintech och klimatförändringar? En översikt av forskning, aktörer och initiativ Som ett led i finansutskottets arbete med forsknings- och framtidsfrågor beslutade utskottet att göra en kartläggning och beskrivning av forskning och andra initiativ om hot och möjligheter för den finansiella stabiliteten. Kartläggningen fokuserar på hur cyberhot, finansiell teknologi (fintech) och klimatförändringar kan komma att påverka den finansiella stabiliteten . Arbetet har styrts av finansutskottets arbetsgrupp för forsknings- och framtidsfrågor som består av följande ledamöter: (S), (M), (SD) och (V). Underlag till kartläggningen har tagits fram av forskningssekreterare vid utvärderings- och forskningssekretariat. I det arbetet har även forskningssekreterare och sekretariatschefen deltagit. Arbetet har genomförts i samarbete med föredragande och utskottsråd vid finansutskottets kansli. I arbetet har även kanslichef deltagit. (S), (M), 2.1 Organisationer och initiativ ................................................................... Nationella centralbanker och tillsynsmyndigheter ......................... Initiativ på EU-nivå och andra initiativ.......................................... Forskning publicerad 2016............................................................. Forskning publicerad 2017............................................................. Forskning publicerad 2018............................................................. Forskning publicerad 2019............................................................. 3.1 Organisationer och initiativ ................................................................. Nationella centralbanker och tillsynsmyndigheter ......................... Initiativ på EU-nivå........................................................................ Forskning publicerad 2015............................................................. Forskning publicerad 2016............................................................. Forskning publicerad 2017............................................................. Forskning publicerad 2018............................................................. Forskning publicerad 2019............................................................. 4.1 Organisationer och initiativ ................................................................. Nationella centralbanker och tillsynsmyndigheter ......................... Initiativ på EU-nivå........................................................................ Forskning publicerad 2015............................................................. Forskning publicerad 2016............................................................. Forskning publicerad 2017............................................................. Forskning publicerad 2018............................................................. Forskning publicerad 2019............................................................. Metod och avgränsningar.............................................................................. Översättningar och förklaringar av begrepp ................................................. har genomfört en översikt över forskning, aktörer och initiativ som berör hur cyberhot, finansiell teknologi (fintech) och klimatförändringar kan komma att påverka den finansiella stabiliteten . När det gäller cyberhot och klimatförändringar innebär utvecklingen i princip enbart hot mot den finansiella stabiliteten. Fintech kan däremot medföra både hot och möjligheter. Kartläggningen fokuserar på förändringar på systemnivå. Det innebär att påverkan på t.ex. försäkringsbolag eller banker till följd av ny teknik, klimatförändringar eller cyberattacker inte inkluderas om effekterna begränsas till det enskilda institutet. Händelser i enskilda institut kan dock få systemeffekter och har då tagits med. Finansiell stabilitet kan definieras som att det finansiella systemet har förmåga att upprätthålla sina tre grundläggande funktioner: att förmedla betalningar, att omvandla sparande till finansiering och att hantera risker.1 Dessutom inkluderar begreppet finansiell stabilitet att det finansiella systemet har motståndskraft mot störningar som hotar dessa funktioner. Genomgången har avgränsats till källor på skandinaviska språk eller på engelska. Den har vidare avgränsats till källor publicerade . Anledningen är att de fenomen som undersöks är så nya att det inte finns särskilt mycket publicerat före det året och att äldre material dessutom sannolikt kan anses inaktuellt. Förhoppningen är att genomgången fångat de viktigaste initiativen och forskningsresultaten, men översikten gör inte anspråk på att vara fullständig. Den forskning och andra rapporter samt initiativ som tas upp i rapporten pekar sammantaget på att cyberriskerna innebär det största hotet mot den finansiella stabiliteten. Antalet angrepp ökar, brottsligheten blir mer avancerad och konsekvenserna av en attack tros snabbt kunna sprida sig från en enskild incident till systemnivå och därmed bli omfattande. Fintech kan leda till konkurrens, innovationer och effektiviseringar som kan vara positiva för den finansiella stabiliteten. Ett hot mot stabiliteten är dock att fintech kan leda till ett ökat risktagande. Fintech har ännu inte påverkat det finansiella systemet i så stor utsträckning, men det kan förändras mycket snabbt. Många tar upp att det är svårt att göra bedömningar av hur klimatförändringar kan påverka den finansiella stabiliteten. Det beror bl.a. på att riskerna uppkommer utanför det finansiella systemet och att antalet tänkbara framtida scenarier är stort. kan påverkas både genom att tillgångar förstörs av klimatkatastrofer och genom att värdet på tillgångar förändras i samband med övergången till en koldioxidsnål ekonomi. I diskussionen återkommer synpunkten att takten i omställningarna kommer att avgöra hur stabiliteten påverkas. 1Riksbanken (2013). och finansiell stabilitet. Diskussionerna om cyberhot handlar ofta om hela finanssektorn, inklusive Många tar upp att cyberincidenter kan sprida sig snabbt inom det finansiella systemet. När det gäller fintech riktas fokus ofta mot kapital- försörjningen och bankerna, mot centralbankernas roll och hur tillsynen för- ändras i och med fintech-utvecklingen. I diskussionen om klimatförändringar står försäkringsbolag, banker och centralbanker i centrum. ning inom systemet diskuteras däremot inte lika mycket. G7 och G20 ligger bakom flera av de initiativ som tagits inom området finansiell stabilitet och cyberrisker, fintech och klimatförändringar. International Settlements (BIS), Com- missions (IOSCO) och () arbetar också aktivt Många internationella organisationer samarbetar med varandra och tar fram gemensamma kunskapsunderlag. EU är aktivt inom samtliga om- råden medan myndigheter och organisationer i framför allt riktat in sig på frågor om cyberhot. I denna rapport presenteras inledningsvis organisationer och initiativ inom området finansiell stabilitet och cyberhot och efter det följer den forsknings- inventering som gjorts i samma ämne. Sedan följer motsvarande avsnitt om fintech och klimatförändringar. Varje avsnitt inleds med en sammanfattning. slutet av rapporten finns en källförteckning. I bilaga 1 beskrivs de metoder som använts vid sökningarna av initiativ och litteratur. I bilaga 2 finns en lista med översättningar och förklaringar av några av de begrepp som används i Med cyberhot menas risken för att utsättas för medvetna och antagonistiska handlingar riktade mot datorer och it-system hos företag, myndigheter och privatpersoner i syfte att komma åt information eller pengar. delar in hoten mot finanssektorn i tre grupper: 2 •attacker riktade mot bankernas digitala kundkanaler, t.ex. internetbanker och mobilbanker, och som leder till bedrägerier •överbelastningsattacker som syftar till att tillfälligt göra bankernas digitala kanaler och bakomliggande system otillgängliga •intrång i bankernas it-system med avsikt att genomföra bedrägerier, utpressning eller sabotage. Cyberangrepp är per definition negativa för finanssektorn. I princip all litteratur bedömer riskerna för att cyberincidenter ska inträffa som stora. Likaså förväntas konsekvenserna av angrepp kunna bli mycket omfattande och kunna påverka den finansiella stabiliteten. Steget tros vara kort från en attack mot ett enskilt företag till att problemen sprids vidare i det finansiella systemet. Många framhåller att hoten och incidenterna ökar och att de blir mer sofistikerade. Cyberrisker är inte enbart kopplade till den ökade användningen av finansiell teknik, fintech, men fintech-utvecklingen gör att det finansiella systemet blir ännu mer sammanflätat och att risken för spridning inom systemet därmed ökar. kan fintech bidra med tekniska lösningar för att förstärka cybersäkerheten. Som forskningsområde är cyberrisker inom finanssektorn nytt och relativt litet. Av vissa källor framgår att det kan bero på att företag inte vill dela med sig av information om incidenter som har ägt rum eftersom de inte vill förlora allmänhetens förtroende eller ge information till hackare. Det som skrivs handlar till stor del om framtida och hypotetiska scenarier, och få studier utgår från konkreta händelser som redan har ägt rum. Det är inte någon specifik del av det finansiella systemet som pekas ut som särskilt drabbad av eller extra sårbar för cyberrisker. I stället understryks interaktionen och beroendet mellan olika delar av det finansiella systemet, liksom mellan det finansiella systemet och andra sektorer. Det finns många nationella och internationella organisationer som arbetar med frågor om cyberhot. G7- och G20-forumen och () har medverkat till flera organisationer som verkar inom området. har tillsammans med IOSCO, den internationella organisationen för värdepapperstillsyn, publicerat riktlinjer för hur finanssektorn ska kunna öka motståndskraft mot cyberbrott. är en medlemsorganisation som arbetar med att öka motståndskraften mot cyberattacker inom den 2Finansinspektionen (2017). Tillsynen över bankerna. I är initiativen många, och det finns en tydlig koppling till terrorhändelserna 2001. Även inom EU görs mycket – t.ex. finns ett system för rapportering av incidenter. EU har också etablerat en modell för s.k. etisk hackning som innebär att cybersäkerheten prövas med hjälp av in- Flera svenska banker har drabbats av överbelastningsattacker som bl.a. lett till att deras webbplatser legat nere. bedömer att cyberattackerna mot bankerna har ökat i frekvens de senaste åren.3 Angriparna använder också alltmer sofistikerade metoder och har i vissa fall påvisat stor uthållighet. Det finns flera internationella exempel på cyberattacker mot finanssektorn. Ett av de mest omtalade är då hackare 2016 tog sig in i it-systemet hos genom det globala , som hanterar finansiella transaktioner mellan banker, börshus och andra finansiella institutioner. Hackarna lyckades komma över 81 miljoner dollar.4 ägde angreppet Wannacry rum. Bankomater tillhörande infekterades och blev otillgängliga. största bank, Sberbank, och den ryska infekterades också av Wannacry men inga störningar rapporterades.5 inträffade it-angreppet Notpetya, som framför allt drabbade . Bland annat drabbades den statligt ägda Oschadbank. Kontantautomater runt om i landet slogs ut och betaltjänster på t.ex. bensinstationer och i dagligvarubutiker låg nere, liksom Oschadbanks och andra ukrainska bankers webbplatser.6 Sydkoreanska banker har varit utsatta för flera attacker, varav en mycket omfattande attack 2013, och ett amerikanskt kreditkortsföretag hackades på 143 miljoner kunduppgifter 2017.7 I en attack 2018 mot största bank lyckades hackare stjäla 10 miljoner dollar.8 2.1 Organisationer och initiativ Det finns många internationella initiativ inom området finansiell stabilitet och cyberrisker. BIS, G20-forumet och ligger bakom flera av initiativen. Många av aktörerna samarbetar också med varandra. 3 (2017). 4 Healey, m.fl. (2018). The Future of Financial Stability and Cyber Risk. Affairs, /. 5 FOI (2019). Kryptomaskar och deras konsekvenser. Åtgärder för cybersäkerhet utifrån fallen WannaCry och NotPetya. 6 FOI (2019). 8 Healey m.fl. (2018). G7- och G20-forumen är mycket engagerade i frågor om finansiell stabilitet och de bidrog till inrättandet av Financial Action Task Force (FATF) 1989 och () 2009. I den deklaration som G20-länderna formulerade i samband med mötet i uppgav G20 att de kommer att fortsätta öka sina insatser för stärkt motståndskraft mot cyberattacker.9 G20-länderna tog initiativ till inrättandet av () 2009. I FSB ingår alla G20-länder samt ytterligare några länder, EU- kommissionen, ECB, (), (), , och några internationella standardiseringsorganisationer. FSB genomför ett omfattande arbete med cyberhot mot den finansiella stabiliteten. Bland de rapporter som publiceras kan följande nämnas. FSB (2017). Stocktake of Publicly Released Cybersecurity Regulations, Guidance and Supervisory Practices. FSB genomförde en enkät om vilka åtgärder som 25 av deras medlemsländer och tio internationella organisationer hade vidtagit för att förhindra cyberattacker. Alla länder som svarade på FSB:s enkät hade publicerat förordningar eller vägledningar för någon del av finanssektorn, och majoriteten hade även utformat praxis för tillsynen. Nästan alla medlemsländer vände sig till banker och finansmarknadsinstitutioner, och många riktade sig dessutom till bl.a. försäkringsbolag, mäklare och kapitalförvaltare. FSB (2019). Cyber Incident Response and Recovery. Progress Report to the Ministers and Governors. I rapporten framhåller FSB att det visserligen är nödvändigt för finanssektorn att förebygga cyberattacker men att det för den finansiella stabiliteten också är viktigt att kunna stoppa en pågående attack och reparera de eventuella skador som har uppstått. inrättade FSB en arbetsgrupp inriktad på hur man inom den finansiella sektorn kan besvara och återhämta sig från cyberattacker (Cyber Incident Response and Recovery, CIRR). Rapporten redovisar gruppens arbete. FSB (2019). Crypto-assets: Work underway, regulatory approaches and potential gap. Rapporten togs fram till G20:s möte och beskriver det arbete som , , , , och utfört inom området kryptotillgångar. Organisationernas arbete inriktas framför allt på frågor om investerarskydd, marknadsintegritet, penningtvätt, hur bankerna påverkas och övervakningen av den finansiella stabiliteten. Rapporten konstaterar att glapp kan uppstå när kryptotillgångar ligger utanför gällande regelverk och inte berörs av tillsynen över betalningssystemen. 9G20 (2019). G20 Leaders’ Declaration. uppstå när det saknas internationella standarder eller rekommendationer. FSB anser att det är svårt att bedöma omfattningen av dessa glapp med tanke på den snabba utvecklingen. FSB rekommenderar G20 att fortsätta följa området och att ställa frågan om det behövs mer samordning. FSB (2019). Regulatory issues of stablecoins. Rapporten är ett svar på G20- gruppens Osakadeklaration i vilken gruppen gjorde bedömningen att kryptovalutor för tillfället inte utgjorde något hot mot den finansiella stabiliteten. Så kallade stablecoins (kryptovalutor som är knutna till t.ex. en annan valuta) med potential att nå global användning skulle dock enligt FSB kunna ändra den bedömningen. Å andra sidan kan internationellt gångbara knutna kryptovalutor kunna möjliggöra betalningar och överföringar över gränser och därmed vara positivt för det finansiella systemet. G7 inrättade () 2015. CEG består av cybersäkerhetsexperter som träffas regelbundet. Syftet är att identifiera större cybersäkerhetsrisker i finanssektorn och att föreslå åtgärder som behöver vidtas. CEG arbetar t.ex. med att identifiera svagheter, genomföra intrångstester, analysera riskerna för spridning i samband med kontakter med tredje part samt samarbeten mellan offentliga och privata sektorn. Gruppen har publicerat programmet G7 Fundamental Elements of Cybersecurity for the Financial Sector 2016. Det består av åtta steg för att utforma och implementera ett cybersäkerhetsprogram och vänder sig till myndigheter och företag inom finanssektorn. För att underlätta arbetet med att bedöma hur väl företag och myndigheter lever upp till de åtta stegen i det tidigare programmet publicerades G7 Fundamental Elements for Effective Assessment of Cybersecurity 2017. Den internationella organisationen för värdepapperstillsyn (IOSCO) sammanför världens värdepappersmyndigheter och upprättar standarder för sektorn. IOSCO arbetar tätt ihop med G20 och FSB med en global reformagenda. beslutade IOSCO att de skulle ge ytterligare stöd till sina medlemmar vad gäller cybersäkerhet. publicerades följande rapport: IOSCO (2016). in Securities Markets – Perspective. Rapporten ger en översikt av olika tillvägagångssätt vad gäller cybersäkerhet i olika medlemsländer. En slutsats är att de flesta fortfarande befann sig i ett tidigt stadium vad gällde att utveckla riktlinjer för cybersäkerhet. Rapporten ger också exempel på hur företag arbetat för att skydda sig mot, identifiera, svara på och återhämta sig från attacker. IOSCO understryker dock att praktikerna kommer att förändras eftersom cybersäkerhetsområdet utvecklas så snabbt. on Payments and Market Infrastructures () ger stöd till centralbanker i deras arbete för bl.a. finansiell stabilitet. BIS har flera kommittéer och andra organ som arbetar med cyberhot mot finanssektorn. () är en kommitté inom BIS. CPMI övervakar och analyserar utvecklingen för betalningar, clearing och avveckling. CPMI arbetar tillsammans med IOSCO för att övervaka och koordinera utvecklingen av standarder och riktlinjer för betalningssystem och värdepappersaktörer. CPMI och IOSCO arbetar även mot cyberbrott inom finansmarknaden: BIS CPMI & IOSCO (2016). Guidance on cyber resilience for financial market infrastructures. Rapportens syfte är att förse finansmarknadsinstitutioner med vägledning för ökad motståndskraft mot cyberbrott. Enligt vägledningen skiljer sig cyberrisker från andra risker på flera sätt. Ett är att cyberattacker ofta är svårare att upptäcka, bedöma och avvärja eftersom de orsakas av en aktiv, uthållig och sofistikerad motståndare. Ett annat är att antalet svaga punkter är stort när det gäller cyberrisker – en attack kan spridas via en rad olika tjänster, produkter eller kontakter med andra aktörer. För det tredje kan cyberangreppet i sig sätta företagens säkerhetsåtgärder ur spel, vilket försvårar konsekvenserna av en incident. Slutligen kan cyberattacker komma smygande eller ligga latenta och invänta en sårbarhet för att sedan spridas snabbt inom ett brett nätverk. on Banking Su- pervision () eller för banktillsyn är ett globalt nätverk för tillsynsmyndigheter. Kommittén har bl.a. tagit fram regelverken för kapitaltäckning 1, 2 och 3. Den har även utarbetat de s.k. 28 grundläggande principerna för effektiv banktillsyn (for Supervision), som bl.a. ligger till grund för Internationella valutafondens utvärderingar av dess medlemsländers banktillsyn. En rapport som berör ämnet är följande. (2018). Cyber-resilience: range of practices. Rapporten är en inventering av hur motståndskraften mot cyberhot ser ut i olika länder. Ett resultat är att arbetet kommit olika långt i olika länder, liksom att tillvägagångssätten när det gäller att förbereda sig inför cyberattacker skiljer sig mycket åt. Få länders tillsynsorgan ställer krav på särskilda cybersäkerhetsstrategier. Ar- betet har kommit längre vad gäller förebyggande skydd och att kunna spåra attacker än när det gäller att besvara eller återhämta sig efter en attack. () bildades av BIS och . Uppdraget är att hjälpa tillsynsorgan att förbättra och stärka deras respektive Det gör man genom att föra ut standarder och utgöra ett forum för diskussion. FSI ger ut serien FSI Insights där artiklar som behandlar frågor om praktisk finansiell reglering och tillsyn publiceras (se nedan under – Information Sharing and Analysis Center – Information Sharing and Analysis Center () inrät- tades 1999 som ett svar på ett beslut av dåvarande president Beslutet innebar att offentliga och privata aktörer skulle dela information om bl.a. cyberhot och sårbarheter i syfte att skydda kritisk infrastruktur. Efter attackerna utvidgade sitt arbete. har utvecklats och är hela den globala finansbranschens resurs för analyser och informationsdelning om cyberhot och fysiska hot. ungefär 7 000 medlemmar (banker, försäkringsbolag, värdepappersbolag m.fl.) i många olika länder och är en medlemsägd icke-vinstdrivande organi- Syftet är att säkra den globala infrastrukturen mot handlingar som kan påverka sektorns kapacitet att tillhandahålla kritiska tjänster. medlemmarna med anonym global informationsdelning om bl.a. cyberunder- rättelser och koordinerar finanssektorns svar på incidenter i form av skadlig kod eller maskar. har tagit initiativ till en funktion för att kunna lagra och återskapa kontoinformation (). Syftet är att vid t.ex. en bankresolution kunna förhindra att ett finansinstitut förlorar förtroende. Inom finns en särskild, oberoende församling för centralbanker och reglerings- och tillsynsmyndigheter, Central banks, Regulators and Supervi- sory , eller . medlemmar från ett tiotal länder. förmedlar information om cyberhot, incidenter och identifierade svagheter till medlemmarna. ras också den pågående utvecklingen, olika tekniska och andra lösningar och ger stöd till finanssektorn bl.a. genom The Financial Sector Ad- visory Center (Finsac). Finsac publicerar kunskapsunderlag, standarder och god praxis i syfte att understödja reformer och utveckling. regelbundet ut en rapport där man samlar lagar, regleringar, riktlinjer och andra viktiga dokument som berör cybersäkerhet i den finansiella sektorn (Financial Sector’s Cybersecurity: A Regulatory Digest). också ut andra publikationer i ämnet, t.ex.: (2018). Financial sector’s cybersecurity: regulations and su- Rapporten är en översikt över hur regleringar och tillsyn av cyber- säkerhet inom finanssektorn ser ut i olika medlemsländer. framgår att vissa länder anser att det inte behövs någon särskild reglering för cyberrisker utan att de kan hanteras inom ramen för existerande regelverk. Andra länder gör däremot bedömningen att det behövs en struktur för att hantera cyberriskernas unika karaktär, inte minst eftersom hotet växer i takt med att finanssektorn blir alltmer digitaliserad. Rapporten lyfter också fram att Ir- land har långtgående krav på de finansiella företagen vad gäller hanteringen av frågorna. I måste t.ex. frågorna hanteras på styrelsenivå i företagen. Vidare redovisas i rapporten vilka av medlemsländerna som har antagit cybersäkerhetsstrategier som refererar till banksäkerhet. nämns bland dessa länder. () publicerar rapporter med forskning m.m. om cyberhot mot den finansiella sektorn och har tagit fram verktyg för att bedöma säkerheten och konsekvenserna av en cyberattack. IMF erbjuder också utbildningar i cyberhot och hur de kan förebyggas och hanteras. Bland rapporterna kan nämnas följande. , E., Kaffenberger, L. & , C. (2017). Cyber Risk, Market Failures and Financial Stability, IMF Working Paper 17/185. Cyberattacker mot finansiella institutioner och finansmarknaden blir enligt författarna vanligare och mer sofistikerade. Riskmedvetenheten ökar, företag investerar i cybersäkerhet och de försöker i någon mån överföra och sprida sina risker genom cyberansvarsförsäkringar. Studien beskriver gällande regler och befintlig tillsyn. Den identifierar informationsassymetrier och andra ineffektiviteter som gör att systematiska cyberrisker inte upptäcks och hanteras trots en ökad riskmedvetenhet. Författarna diskuterar hur det kommer sig att den privata marknaden kan misslyckas med att nå en tillräcklig nivå av cybersäkerhet. Vidare tar artikeln upp hur systemcyberrisker interagerar med andra risker för den finansiella stabiliteten. Bouveret, (2018).