title: Transmission of Cyber Risk Through the Canadian Wholesale Payments System
Creators: name: Kosse, Anneke
name: Lu, Zhentong
Publisher: name: Bank of Canada
Year: 2022

description: In response to growing concerns about cyber and other operational risks—such as those related to climate change—international organizations, central banks and private sector entities have taken collaborative actions to increase the operational and data resilience of financial institutions and financial market infrastructures, including payment systems. In Canada, the Bank of Canada has established and leads the Canadian Financial Sector Resiliency Group and the Resilience of Wholesale Payments Systems (RWPS) initiative, which both offer a forum for coordinating a national sectoral response to systemic operational incidents, such as cyber attacks (see Dinis 2021 for details). 

 

As part of the RWPS initiative, this paper studies how the impact of a cyber attack that paralyzes one or multiple banks' ability to send payments would transmit to other banks through the Canadian wholesale payment system. Based on historical payment data, we simulate a wide range of scenarios and evaluate the total payment disruption in the system. We find that depending on the type and number of banks under attack, the time of the attack and the design of the payment system, a cyber attack can quickly become systemic and result in a significant loss of liquidity throughout the system. We also demonstrate that the system-wide impact of an attack can be significantly reduced by having contingency plans that enable attacked banks to continue to send high-value payments. Given the interconnectedness of banks, we conclude that the cyber resilience of a wholesale payment system depends strongly on the cyber resilience of its participants, and we underline the importance of strong sectoral collaboration and coordination.
description: Les cyberrisques et autres risques opérationnels – comme ceux liés aux changements climatiques – suscitent des préoccupations croissantes. En réaction, des organisations internationales, des banques centrales et des entités du secteur privé ont pris des mesures concertées pour accroître la résilience opérationnelle et la résilience des données des institutions financières et des infrastructures de marchés financiers, dont les systèmes de paiement. Au Canada, la Banque du Canada a mis sur pied et dirige le Groupe sur la résilience du secteur financier canadien et le Programme de résilience du système de paiement de gros (RSPG). Ces deux structures servent de cadre à la coordination nationale de la réponse sectorielle en cas d’incidents opérationnels systémiques, comme les cyberattaques (plus de précisions dans Dinis, 2021). 

 

Dans cette étude menée dans le cadre du programme RSPG, nous cherchons à déterminer à quel point le choc causé par une cyberattaque rendant une ou plusieurs banques incapables d’envoyer des paiements se transmettrait à d’autres par l’intermédiaire du système de paiement de gros canadien. Sur la base de données historiques sur les paiements, nous simulons un large éventail de scénarios et évaluons l’ampleur des perturbations sur les paiements traités par le système. Nos résultats indiquent qu’une attaque peut entraîner rapidement des effets systémiques et une perte importante de liquidité dans l’ensemble du système, selon le type et le nombre de banques ciblées par l’attaque, le moment où celle-ci est déclenchée et la conception du système de paiement. Nous montrons également qu’il est possible d’atténuer considérablement l’impact systémique d’une attaque s’il y a en place des plans d’urgence pour permettre aux banques touchées de continuer à envoyer de gros paiements. Étant donné le degré d’interconnexion entre les banques, nous concluons que la cyberrésilience d’un système de paiement de gros est largement dépendante de la cyberrésilience de ses participants, et nous soulignons l’importance d’une collaboration et d’une coordination sectorielles fortes.