网络弹性工具包：针对金融中介机构的实用考量
引言
国际清算银行（BIS）和国际证监会组织（IOSCO）发布的《金融市场基础设施原则》（PFMI）为关键金融市场基础设施（FMIs）设定了标准和要求，旨在提高其安全性和效率，并限制系统性风险。2016年发布的《金融市场基础设施网络韧性指导》旨在提升金融中介机构的网络韧性，涉及治理、风险管理框架、结算最终性、运营风险以及金融中介机构之间的联系等方面。然而，网络安全风险正在加剧，人工智能（AI）的发展也重塑了网络安全格局，因此需要实用、灵活的资源来支持PFMI的有效应用。
网络弹性工具包
该工具包包含一套自愿性、非约束性的工具，涵盖网络风险与韧性治理、情景识别与设计、应对、恢复与复原计划以及测试与演练四个方面，旨在帮助金融机构提升其网络韧性。工具包强调生态系统考量，即金融中介机构与更广泛生态体系中的实体相互依存，生态体系实体或金融中介机构本身的脆弱性可能为传染创造渠道，并产生级联影响。同时，工具包也考虑了人工智能持续发展带来的风险并利用其益处。
金融中介机构的网络弹性治理
该工具旨在协助加强金融中介机构网络弹性框架的治理，并为负责网络风险和网络弹性的董事会成员和高管人员的培训与评估提供实际考量。它还提供了关于管理金融中介机构生态系统所产生风险的考量，以及关于运用风险管理指标和成熟度模型来评估和报告金融中介机构网络弹性框架（CRF）充分性和有效性的见解。
网络风险治理的实践考量
- 董事会成员的网络安全技能与培训：非网络安全风险专家的董事可以考虑接受适当的培训，以提升其网络安全风险管理和网络韧性相关技能。
- 董事会和高级管理层就管理FMI生态系统产生的风险所应考虑的事项：将与生态系统相关的风险考量纳入FMI的CRF，积极让董事会和高管参与监督与生态系统相关的风险管理，并包括董事会和高管的参与，以规划和执行测试演练。
网络弹性基准测试
- 网络成熟度等级：工具包提供了不同成熟度级别中应考虑的实际案例，例如初始/基准/发展、中级/高级和先进/创新。
- 量化网络弹性指标的示例：工具包列出了衡量网络风险和弹性的示例指标，例如事件响应时间、漏洞修复时间和业务连续性计划的有效性。
极端但可信的网络场景识别与设计
该工具旨在协助金融中介机构制定极端但合理的网络场景，用于设计ICT架构和业务/IT流程、业务连续性计划以及开展相关的网络韧性测试和演练。场景有助于金融中介机构构建韧性能力，并评估已实施的流程和技术能力在识别、保护、检测、响应和恢复已发生的网络攻击方面的有效性。
极端但可信情景构建蓝图
- 定义目标与范围：明确目标和范围有助于根据金融中介机构的独特需求和业务背景来校准情景开发。
- 汇总场景输入：包括识别信息资产、沿着战略、战术和运营三个维度开发并整合威胁情报。
- 识别关键影响因素和关键不确定性：分析漏洞和关键资产，识别趋势与不确定性。
- 场景开发：创建多样化的“假设”情景，考虑在现有情景中包含复杂度附加项，制定详细的叙事或时间线，并利用现有的情景发展框架。
- 测试和更新极端但合理的场景的注意事项：开展影响评估，制定详细应对方案，回测场景，定期开展主动测试和模拟，学习并适应。
极端但可能发生的情景——风格化的示例
- 对系统性中央对手方和证券结算系统/中央证券存管机构发起的网络安全攻击
- 内部人员参与的日终结算（EOD）流程中断
- 恶意操纵结算优先规则
- 勒索软件加密生产和备份
- 密码妥协硬件安全模块（HSM）/公钥基础设施（PKI）
- 系统性重要金融机构成为网络犯罪分子的目标
- 关键服务提供商（CSP）因遭受网络攻击而中断对金融行业的服务
- 生态系统特定场景示例
制定响应、恢复和复原计划
该工具旨在通过为运营维护机构在三个关键领域提供实用考量，来支持其制定响应、恢复和重开计划：识别和优先排序关键运营和资产、支持响应、恢复和重开计划的能力、识别运营安全恢复条件的标准，包括何时与生态系统实体断开连接和重新连接。
识别关键操作和信息资产
识别在重大中断、运营故障或网络事件情况下，使金融中介机构能在两小时内恢复关键运营的功能特性与关键设计要素。
关键响应、恢复和重置能力
- 信息技术基础设施设计：采用基础设施即代码（IaC）、分层架构和恢复操作、设计和利用非同类设施或其等效设施。
- 数据弹性：和解与使用未受污染的“金点”、从黄金点恢复数据完整性、实施隔离恢复环境。
- 应用弹性：持续运行、事件驱动架构。
- 操作流程和程序：管理第三方依赖、预先授权的应急程序、非标准结算程序。
安全恢复关键操作的条件和标准
- 能够使用替代供应商提供关键服务
- 互联实体的参与
- 优先考虑最关键的系统
- 能够使用应急措施/工具
- 彻底根除网络事件的根本原因
- 与市场和所有利益相关方进行清晰及时的沟通
- 彻底检查以确认已恢复的系统按预期运行
- 确认未对连接的供应商及其他生态系统造成网络传染
- 采用隔离方法重启系统，并在可能的情况下重新连接恢复后的利益相关方
- 一个精简高效、信息明确的决策流程
生态系统实体的断开与重连
- 受影响生态系统实体的断开连接：制定清晰的标准和流程，明确关于生态实体如何在何种情况下可能被断开连接与FMI的ICT系统的标准与流程。
- 生态系统实体的重新连接：制定清晰的标准和流程，明确生态系统实体可重新连接至FMI系统的客观标准以及重新连接的透明化、文档化流程。
- 拆接通信、测试和审核：在事件发生期间及正常情况下进行沟通，确保生态系统各实体能够获知信息并管理相关风险。
网络弹性测试与演练
该工具描述了在网络安全韧性测试计划中使用的各类测试与演练，并提供了关于开发网络安全韧性测试计划、以及为这些类别中的每一项准备和执行测试与演练的参考资料和实际考量。
理解网络弹性测试和演练的分类
- 安全开发生命周期：静态应用安全测试（SAST）、软件成分分析（SCA）、动态应用安全测试（DAST）
- 定期检测和练习：漏洞评估、渗透测试、红队测试
- 业务连续性计划及运营韧性测试与演练：备份恢复测试、故障转移、灾难恢复和业务恢复测试、业务连续性安排的全面测试、危机沟通演练、生态系统模拟和压力测试、跨部门、跨境演练
制定网络弹性测试计划
在重大系统变更前后进行测试和演练
- 系统变更带来的风险：新的攻击路径、未修复的漏洞和数据完整性问题
- 系统重大变更的识别：任何可能引入新漏洞、中断运营或影响安全和关键系统的改变
- 测试自动化和安全开发生命周期：将测试自动化和DevSecOps集成到开发和变更管理中
- 跟踪纠正与验证：建立明确的政策，界定责任和时限，并确保关键漏洞得到优先处理
利益相关者角色与职责
为参与战略制定、规划、执行和验证的所有利益相关方明确界定测试相关的角色和职责
红队测试
- 红队测试设计的考量因素：范围和目标、人员与资源、基准网络成熟度、金融机构规模与风险状况
- 红队测试涉及的风险：操作风险升高
- 红队测试的实践考量：治理、资源、利用优势与灰色boxing
- 针对性红队测试方法：范围界定、威胁情报、场景设计、测试计划
- 对实时生产系统进行有效攻击执行：控制组的缓解措施、测试暂停
从测试和锻炼中学习和进化
- 从红队测试中学习：提供红队成员测试报告、提供防御方测试报告、进行风险评估
- 从模拟练习和真实事件中学习和进化：分析过去因金融稳定机构生态系统内风险而发生的网络事件、参考国际组织已记录下国际社会在制定全行业运营韧性策略方面的经验、分析CISA的简明现实案例研究、参考俄罗斯联邦安全局关于网络事件响应和恢复的有效实践报告
