rfr · H70WRFR5 · 2020-01-28 00:00:00 — Cyber Risk for the Financial Sector: A Framework for Quantitative Assessment, IMF Working Papers 18/143. Författarna pekar på att cyberhot har blivit ett avgörande hot mot den finansiella stabiliteten och att finansiella institutioner har utsatts för attacker . Artikeln presenterar dokumentation av cyberrisker för finansiella institutioner genom att analysera olika sorters cyberincidenter och genom att identifiera mönster för dessa. Vidare görs en bedömning av den ekonomiska risken för den finansiella sektorn. Enligt beräkningarna kan förlusterna bli av nettoinkomsten i den finansiella sektorn. Lukonga, Inutu (2018). Fintech, Inclusive Growth and Cyber Risks: A Focus on the MENAP and CCA Regions, IMF Working Paper nr 18/201. Artikeln behandlar bl.a. cyberrisker förknippade med en ökad användning av fintech i , , , och . Författarna konstaterar att cyberattacker utgör ett omfattande hot eftersom de blir allt vanligare, är oförutsägbara, har potentiellt stor påverkan på systemnivå och eftersom skyddet mot attacker brister. Cyberrisker är inte unika för fintech men den ökade sammankopplingen leder till fler beröringspunkter och till ökad risk för cyberattacker med påverkan på systemnivå. Än så länge är användningen av fintech inte så omfattande i de länder som artikeln behandlar, vilket gör att även riskerna är begränsade. I takt med ökad användning tror dock författaren att effekterna kommer att bli större. , C., Gaidosch, T. & Adelmann, F. (2019). Cybersecurity Risk Supervision, IMF Monetary and Capital Markets Department, Departmental paper series 19/15. Rapporten pekar på att en cyberattack, till skillnad från de flesta andra risker för det finansiella systemet, kan stänga ett företag och leda till systemomfattande störningar och avbrott. Sannolikheten för attacker har ökat i takt med att de finansiella systemen har blivit mer beroende av informations- och kommunikationsteknik och eftersom hoten fortsätter att utvecklas. Artikeln beskriver hur tillsynsmyndigheter i olika länder bygger upp system för övervakning av cyberrisker. () är en internationell organisation för finansindustrin. Bland IIF:s medlemmar återfinns affärsbanker, investmentbanker, försäkringsbolag och kapitalförvaltningsföretag. Syftet med organisationen är att ge stöd till finansbranschen, bl.a. i dess arbete med att hantera risker. , , (2017). & Financial Stability: How cyber-attacks could materially impact the global financial system, . Författarna analyserar relationen mellan cyberattacker och den finansiella stabiliteten. Till exempel diskuteras spridning genom olika kanaler och scenarier där cyberattacker och andra incidenter kan få effekter på systemnivå. Bland de scenarier som nämns finns attacker på finansmarknadens infrastruktur, manipulering av data, brister i infrastruktur och förlorat förtroende för systemet. Artikeln presenterar åtgärder som vidtagits och vad mer som kan göras för att identifiera, bemöta och mildra hot mot den finansiella stabiliteten. Författarna hänvisar till studier som räknat ut att kostnaderna för cyberattacker mot finansmarknaden motsvarade 2015 och att de kommer att öka till 2021. Banken ’s of har uppskattat att kostnaderna för en enda global cyberattack skulle kunna uppgå till . En del av verksamhet är att utvärdera och jämföra politik och riktlinjer i de olika medlemsländerna. En rapport handlar om cybersäkerhetsarbete, dock inte specifikt inom den finansiella sektorn: (2019). Roles and responsibilities of actors for digital security, Digital Economy Papers nr 286. Skriften är en rapport från mötet on for Prosperity 2018 som samlade regeringar, företag, civilsamhälle och forskare från 40 olika länder. I skriften framhålls finanssektorn som ett föredöme när det gäller informationsdelning och analys för att förhindra digitala säkerhetsproblem, och arbetet i nämns särskilt. är det enligt rapporten endast ett fåtal regeringar som engagerat sig aktivt i frågorna (, , och ). 2.1.2 Nationella centralbanker och tillsynsmyndigheter Förordningen om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap, SFS 2015:1052, innebär att svenska myndigheter är skyldiga att rapportera alla it-incidenter som riskerar att påverka säkerheten i deras informationshantering, t.ex. vid en cyberattack. Lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster syftar till att uppnå en hög nivå på säkerheten i nätverk och informationssystem för samhällsviktiga tjänster inom bl.a. området finansmarknadsinfrastruktur. har tagit upp cyberhot i rapporten stabilitet . I den rapport som publicerades gjordes en särskild fördjupning om cyberhot i det finansiella systemet. (2016). Finansiell stabilitet 2016:1. I rapporten definierar cyberhot som risken att bli utsatt för ett angrepp där någon utnyttjar svagheter i en aktörs eget it‐system eller ett annat system som detta är sammankopplat med. Cyberangrepp är svåra att förutse och de kan spridas snabbt. Ett driftstopp hos en aktör kan leda till att betalningar slås ut eller att förtroendet för en bank går förlorat. Ett cyberangrepp mot det nationella betalningssystemet eller det internationella Swift kan hota den finansiella stabiliteten. Allt fler företag lägger också ut tjänster på leverantörer, och ett angrepp mot en viktig extern leverantör av it-tjänster skulle kunna slå ut kritiska system. Banker och finansiella infrastrukturföretag är skyldiga att anmäla till om de lägger ut delar av sin verksamhet och dessa delar omfattas av tillsyn. I rapporten nämns också de enkätundersökningar som hade genomfört för att kartlägga hur banker och finansiella infrastrukturföretag arbetar mot cyberhot. Bland de åtgärder som vidtagits nämndes brandväggar och rutiner för att återstarta verksamheten efter ett angrepp. Svaren visade dock att arbetet mot cyberhot behövde förankras i alla delar av organisationen. (2017). skriver i rapporten att cyberangrepp utgör ett allvarligt hot mot den finansiella infrastrukturen. Det är särskilt svårt för den angripne att skydda sig eftersom angreppen pågår länge och också förändras. system som övervakat arbetat med att stärka motståndskraften mot cyberangrepp. (2019). Enligt finansmarknadsenkät bedömer av företagen att de är väl förberedda på cyberrisker, vilket är lite i jämförelse med beredskapen inför andra sorters risker. Drygt var tredje svarande uppger att de inte har någon uppfattning om hur förberedda de är inför cyberrisker. (2019). Finansiell stabilitet 2019:2. bedömer i den senaste stabilitetsrapporten () att cyberrisker är ett av de största hoten mot det internationella finansiella systemet och dess deltagare. pekar på att stresstester i form av simulerade cyberattacker förbättrar de finansiella företagens motståndskraft. Sådana tester kan genomföras på ett samordnat och standardiserat sätt, exempelvis genom Tiber‐EU. I pågår enligt ett arbete med att införa ett sådant ramverk anpassat efter svenska förhållanden, ett så kallat Tiber‐SE. Kommande steg i arbetet är att ta fram en guide för Tiber‐SE och att göra en generell analys av hotbilden när det gäller cyberrisker i den svenska finansiella sektorn. var värd för den tredje nordiska konferensen om cybersäkerhet. I sitt inledningstal sa riksbankschef att cyberrisker står i fokus för . Ingves underströk vidare behovet av ett nordiskt samarbete eftersom det finns många pan-nordiska finansiella institut och eftersom angriparna samarbetar över nationsgränser.10 FIDI-finans leds av Myndigheten för samhällsskydd och beredskap (MSB) och är ett forum för informationsdelning med inriktning på finanssektorn. FIDI bygger på ett brittiskt koncept med så kallade för att dela säkerhetsrelaterad information mellan stat och näringsliv. Deltagandet är frivilligt och aktörerna bidrar med kunskap och information. Forumet ska inte konkurrera med eller ersätta branschorganisationer eller liknande och det övertar inte heller myndigheternas ansvar på området. I FIDI-finans ingår Bankgirot, Euroclear , , , , MSB CERT-SE (nationella organ med uppgift att stödja samhället i arbetet med att hantera och förebygga it-incidenter), , , , Polisen (Nationellt bedrägericenter), , , , , , , Svensk Försäkring och Säkerhetspolisen. 10Riksbankens webbplats: /globalassets/media/tal/svenska/ingves/2019/in- ledning--3rd-annual-nordic-cyber-in-finance-conference.pdf. I Samverkansområdet ekonomisk säkerhet (SOES) arbetar olika myndigheter med förebyggande arbete inom området betalningar. SOES arbetar för att systemen för betalningar fungerar och för att förebygga allvarliga störningar i syfte att minska konsekvenserna av händelser som skulle kunna få allvarliga samhällspåverkande effekter. Ytterligare en uppgift är att enskilda, företag och det allmänna ska ha förtroende för betalningssystemen och för att de fungerar. I SOES ingår MSB, Arbetsförmedlingen, , , , , och Statens servicecenter. Försvarsmakten och är adjungerade. Finansiella sektorns privat-offentliga samverkan Finansiella sektorns privat-offentliga samverkan (FSPOS) är ett samverkansforum där banker, försäkringsbolag, fondkommissionärer, finansiella infrastrukturbolag, , , och ingår. Syftet med samverkan är att samhällsviktiga finansiella tjänster alltid ska fungera. FSPOS ska stärka den finansiella infrastrukturen genom att samverka, öva, kartlägga och dela information och på så sätt värna den finansiella sektorn och samhället. är värdland för Nordic Financial Computer Emergency Response Team (NF CERT, se avsnitt 2.1.3. (2018). Financial Stability Report. Vulnerabilities and risks. bedömer att banker och andra viktiga systemaktörer uppmärksammar cyberrisker. Det norska finansiella systemet är digitaliserat, och olika delar av systemet är ömsesidigt beroende av varandra, vilket kan förstärka störningar och chocker. Det finns få uppgifter om kostnader relaterade till skadliga attacker och cyberincidenter, vilket gör det svårt att bedöma och förutsäga hur stor risken är för påverkan på den finansiella stabiliteten. (2019). Finansiell infrastruktur 2019. bedömer att det av ECB utvecklade verktyget Tiber kan vara lämpligt för att pröva betalningssystemets motståndskraft mot cyberhot i . Finanstilsynet (2019). Riskand vulnerability report 2018. Finanstilsynet beskriver att det rapporterades in 189 incidenter och att fem av dessa var avsiktliga incidenter, alltså cyberattacker. Enligt Finanstilsynet upplever finanssektorn att hoten blir fler, men sektorn blir också bättre på att skydda sig. De flesta attacker avvärjs innan någon skada är skedd och har det inte inträffat någon incident i som haft påverkan på den finansiella stabiliteten. har arbetat med frågor om cybersäkerhet . Banken höll 2017 den första nordiska konferensen om cybersäkerhet. Finansielt sektorforum for operationel robusthed (FSOR) är ett samarbetsforum där , ett antal andra myndigheter och finanssektorn ingår. Forumet formulerade 2016 en vision om att 2020 ska vara bäst i på cybersäkerhet. och finanssektorn har dessutom gått samman i ett arbete för att genomföra stresstest, Tiber-DK, enligt den struktur som ECB utarbetat. I ett första steg sammanställs en bild av de cyberhot som finns, i nästa steg genomförs etisk hackning och slutligen utvärderas erfarenheterna. är värd för arbetet och har en grupp som koordinerar och ger stöd till testerna. formulerade 2018 en nationell cyberstrategi. I den angavs att det skulle finnas en särskild strategi för finanssektorn: Finanstilsynet (2018). Strategi for den finansielle sektors cyberog informationssikkerhed 2019–2021. Strategin består av sju punkter. I korthet går strategin ut på att öka kunskapen och det tvärsektoriella samarbetet för att stärka motståndskraften mot cyberhot. Lagstiftningen ska motsvara hotnivån, och en decentraliserad enhet för cyber- och informationssäkerhet ska upprättas. Av strategidokumentet framgår att den danska myndigheten bedömde att hotnivån från cyberangrepp mot finanssektorn var mycket hög och att angreppen blev mer avancerade. Strategin beskriver vidare att riskansvariga personer vid största finansverksamheter 2018 bedömde att cyberrisker utgjorde det största hotet mot den finansiella stabiliteten. (2017). Cyberrobusthed i den finansielle sektor. Rapporten beskriver en undersökning som och Finanstilsynet genomfört bland finansinstitutioner om deras cybersäkerhetsarbete. Undersökningen visade att frågorna togs på allvar men att företagen kunde göra mer. Undersökningen visade också att motståndskraften mot cyberangrepp var högre om frågorna var förankrade i företagens ledning. (2019). Overvågning af den finansielle infrastruktur. Den danska skriver i rapporten att frågor om cybersäkerhet har hög prioritet. har särskilt fokus på motståndskraften mot cyberanfall och för samtal med aktörer inom den finansiella infrastrukturen för att de ska följa CPMI:s och IOSCO:s riktlinjer . har inte publicerat så mycket material om cybersäkerhet. Banken publicerade en artikel 2015, och cybersäkerhet nämns endast kort i bankens årsberättelse . Banken har dock en särskild rådgivande kommitté för operativa risker och cyberrisker, och arrangerade 2018 den andra nordiska konferensen om cybersäkerhet. Den finländska har inte heller skrivit så mycket om cybersäkerhetsfrågor. bedriver ett omfattande arbete mot cyberhot, bl.a. i form av forskning, rekommendationer och övningar. Banken tog upp cyberattacker som ett hot i den Financial Stability Report som publicerades . har anordnat övningar i samarbete med finanssektorn. genomfördes övningen Waking Shark II. Övningen koordinerades av och var utformad för att på systemnivå träna inför en eventuell cyberattack på finanssektorn. Övningen Simex 18 genomfördes för att testa finanssektorns motståndskraft mot en större cyberattack i . Syftet var att hjälpa myndigheter och företag att förbättra det gemensamma bemötandet av en attack och att förbättra motståndskraften i sektorn som helhet. Den genomfördes av tillsammans med finanssektorn, samt landets finansdepartement och finansinspektion. (2018). Could a cyber-attack cause a systemic impact in the financial sector? Artikeln ställer frågan om en cyberattack skulle kunna få konsekvenser på systemnivå. Författarna menar att det inte finns någon samsyn om huruvida det finns en direkt koppling mellan cyberrisker och systemrisker. De anser att riskerna inte är så omfattande eftersom det stora flertalet cyberbrottslingar inte har kapacitet att påverka finanssektorn på systemnivå. Undantaget är dock stater som organiserar cyberattacker. Hotet förväntas dock öka, inte minst i och med att den svarta marknaden för redskap för att åstadkomma en attack växer. Författarnas slutsats är att det är rimligt att koppla samman cyberrisker med systemrisker i finanssektorn. (2019). Systemic Risk Survey. Survey Results 2019 H1. gör en enkätundersökning för att ta reda på vilka risker som marknaden bedömer som störst. Cyberattacker har bedömts som en ökande risk , men andelen som såg dem som en risk minskade i rapporten som avsåg . Då bedömde av de tillfrågade aktörerna på marknaden att cyberhot utgjorde en risk. Myndigheterna i uppmärksammade tidigt frågor om cyberhot. Efter terrorattackerna vidtogs flera åtgärder i för att öka det finansiella systemets motståndskraft. Likaså påskyndade överbelastningsattackerna mot sex stora amerikanska banker 2012 arbetet med skyddet och samordningen mellan offentliga och privata aktörer. () har i sin årsrapport till kongressen tagit upp cyberhot . Centralbanksstyrelsen, finansinspektionen och den myndighet som utövar tillsyn över handeln med värdepapper publicerade 2003 dokumentet Inter- agency Paper on Sound Practices to Strengthen the Resilience of the U.S. nancial System.11 I dokumentet identifierades mål för den finansiella sektorn till följd av den ökade hotnivån mot finansiella företag efter 11 september- Händelserna hade tydligt visat att det finansiella systemet är ett nätverk där många ömsesidigt beroende aktörer och marknader ingår. dokumentet låg på att begränsa systemeffekterna av t.ex. cyberattacker, och åtgärderna handlade bl.a. om att snabbt kunna återuppta verksamheter efter ett är en serie cybersäkerhetsövningar i med syfte att upprätthålla aktiemarknadens funktionalitet. I övningen deltar privata aktörer i den finansiella sektorn och myndigheter. Avsikten är att öva och förbättra samordningen i händelse av en cyberattack på systemnivå. ton Series har utvecklats av , sammanslutningen land Security (FSSCC, se avsnitt 2.1.3), amerikanska och Syftet är att förbättra agerandet vid en eventuell cyber- attack utifrån olika scenarier och till bättre samordningsstrategier. kommer från både den privata och den offentliga sektorn. () hör till det amerikanska finans- departementet och inrättades 2010. Rådet består av experter från tillsynsmyn- digheter och av oberoende försäkringsexperter. FSOC övervakar det finansi- ella systemets stabilitet och identifierar risker för den finansiella stabiliteten. FSOC har studerat cyberhot mot den finansiella stabiliteten . Office of är en oberoende enhet som hör till det ameri- Enheten inrättades 2010 med anledning av den globala finanskrisen –2008. Office of (2016). Financial stability report 2016, U.S. partment of the Treasury. Rapporten visar att cyberincidenter kan påverka den finansiella stabiliteten på tre sätt. För det första kan en attack störa eller hindra tillgången till systemnödvändiga tjänster. För det andra kan en attack leda till förlust av förtroende, vilket kan få kunder att ta ut sina pengar och senare till För det tredje kan cyberincidenter påverka den finansiella stabiliteten genom att tillgången till data begränsas eller går förlorad. ten pekar vidare på att det finns få uppgifter om hur vanliga cyberattacker är, vilken taktik som används vid attackerna eller vilka konsekvenser de får. 11Federal , Office of the Comtroller of the Currency och Securities and Ex- change Commission. beror bl.a. på att företag och myndigheter undviker att rapportera incidenter av oro för att få dåligt rykte eller för att förse potentiella hackare med information. Office of (2017). Financial stability report 2017, U.S. De- partment of the Treasury. OFR skriver i rapporten att de identifierade cybersäkerhet som ett avgörande hot mot den finansiella stabiliteten i 2016. rapport görs bedömningen att den övergripande risken alltjämt är medelhög, även om riskerna för marknaden bedöms vara höga. () samlar myndigheter och tar fram standarder för granskning och övervakning av finanssektorn. arbetar FFIEC med att bedöma och förstärka finanssektorns beredskap för cyberhot. FFIEC har tagit fram ett verktyg för att bedöma cybersäkerhet inom finansbranschen. Financial and Banking Information Infrastructure Commitee Financial and () är en förening för amerikanska tillsynsmyndigheter inom finansområdet och inrättades 2002 som en följd av terrorattackerna året innan. Syftet är att förbättra samarbetet mellan tillsynsmyndigheterna, att förbättra den finansiella sektorns motståndskraft och att skapa ett starkare samarbete mellan offentliga och privata institutioner. FBIIC har bl.a. utvecklat metoder för att kunna kommunicera under en nödsituation. 2.1.3 Initiativ på EU-nivå och andra initiativ NIS-direktivet antogs 2016 och var EU:s första direktiv om bred cybersäkerhet (står för säkerhet i nätverks- och informationssystem). Direktivet anger åtgärder för att öka säkerheten genom att förbättra beredskapen, det gränsöverskridande samarbetet, rapporteringen av cyberhändelser och informationsutbytet. NIS-direktivet infördes i svensk lagstiftning 2018 i lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster. Tjänster som omfattas av NIS-direktivet delas in i samhällsviktiga tjänster och digitala tjänster. Samhällsviktiga tjänster är tjänster som är viktiga för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet. Dit hör bankverksamhet och finansmarknadsinfrastruktur. for Cybersecurity () har funnits och ger bl.a. ut rapporter med rekommendationer för hur olika sektorer kan arbeta med cybersäkerhet. har publicerat en rapport om cybersäkerhetsutmaningar kopplade till en ökad användning av blockkedjeteknik: (2016). formation security in the financial sector. Rapporten lyfter fram för- och nack- delar för finansföretag att använda blockkedjeteknik. goda exempel på hur företag kan använda blockkedjeteknik och hur risker kan () ansvarar för makrotillsynen av EU:s För att göra det övervakar och utvärderar ESRB system- risker och utfärdar varningar och rekommendationer. ESRB har inrättat en sär- skild grupp, , för cyberfrågor. rådgivande vetenskaplig kommitté. ESRB identifierade i sin årsrapport cyberhot som ett ökande riskområde. ESRB (2019). Annual Report 2018. ESRB bedömer att cyberrisker skiljer sig från andra risker genom att de kan uppstå mycket snabbt, att de beror på en medveten avsikt att förorsaka skador, att de kan bli mycket omfattande och att det är så stor sannolikhet att de inträffar. Rapporten beskriver vidare det arbete som utförts av . flera länder för att identifiera de största svagheterna i de olika ländernas finan- Gruppen har också tagit fram en definition av begreppet syste- momfattande (”systemic”) cyberrisk: det är risken för störningar av finansiella tjänster 1) som orsakats av en nedsättning i alla delar av det finansiella syste- met till följd av en cyberincident, 2) är av storleksordningen att det kan få allvarliga negativa konsekvenser för hela ekonomin. Gruppen har vidare börjat utveckla ett schema för att underlätta förståelsen av när och hur en cyberchock kan utgöra början till en systemkris. Med hjälp av scenarioanalys undersöker gruppen t.ex. om risken för en systemkris ökar om vissa överföringskanaler påverkas, liksom om vissa sorters incidenter innebär att systemets motstånds- kraft mattas av. () samarbetar med medlemsländernas central- banker för att förhindra cyberattacker, för att begränsa konsekvenserna om en attack ändå skulle ske och för att försäkra sig om att verksamheten kan fort- godkände en strategi för ökad motståndskraft mot cyber- hot med fokus på finansmarknadernas infrastruktur, Eurosystem cyber resili- ence strategy for FMIs. Syftet är att stärka motståndskraften i euroområdet genom att alla institutioner ökar sin beredskap liksom samarbetet mellan in- stitutioner, leverantörer och myndigheter. Strategin syftar till att förverkliga CPMI:s och IOSCO:s vägledning . Strategin består av tre delar: 1.Att öka beredskapen mot bakgrund av allt fler sofistikerade hot. 2.Att öka den europeiska finanssektorns motståndskraft genom samarbeten över sektors- och landsgränser, delad information och övningar för att upprätthålla verksamheterna. 3.Att åstadkomma tilltro och samarbete mellan aktörer, för att förmedla gemensamma initiativ och öka medvetenheten. Som en del av ECB arbete för att finansmarknadernas infrastrukturer ska ha stark motståndskraft mot cyberattacker har EU utvecklat en modell för etisk hackning (The Framework for Threat Ethical Red Teaming, Tiber-EU). Tiber tillämpas av , , och . Modellen innebär att hackare anlitas för att försöka ta sig in i ett finansföretags eller en finansiell organisations system för att testa dess motståndskraft och för att identifiera svagheter. Vidare har ECB inrättat en struktur för rapportering av cyberincidenter. Vissa institutioner måste rapportera betydelsefulla incidenter så fort de upptäcks. På så vis kan ECB identifiera och följa utvecklingen för incidenter och få fördjupad kunskap om cyberhot. Strukturen innebär också en möjlighet att agera snabbt gentemot en cyberattack som skulle kunna utvecklas till en kris. Slutligen övervakar ECB hur banker hanterar it-risker. Det görs både på distans och vid inspektioner på plats på bankerna. Europeiska bankmyndigheten () är en oberoende som arbetar för en effektiv och enhetlig reglering och tillsyn i den europeiska banksektorn. Bland EBA:s rapporter kan följande nämnas: (2019). Risk assessment of banking system.