[Úñdé~rstá~ñdíñ~g ÉÚ C~ómpl~íáñc~é Máñ~dáté~s Sér~íés: F~íñáñ~cíál~ Sérv~ícés~]

[Íñ párt óñé óf thís blóg séríés, Í díscússéd thé cómplíáñcé láñdscápé áñd hów dífféréñt íñdústríés éách hávé théír ówñ góvérñíñg máñdátés ór gúídáñcé óñ cýbérsécúrítý. Thís wás fóllówéd bý á póst óñ régúlátíóñ áñd sécúrítý cóñtróls íñ thé Crítícál Sýstéms áñd Ópérátíóñál Téchñólógý séctór, áñ áréá Í’vé hád díréct éxpéríéñcé wíthíñ, áñd óñé thát fáscíñátés mé ás cýbérsécúrítý dévélóps théré.]

[Móvíñg tó (íñ sómé wáýs) thé pólár óppósíté íñdústrý týpé, héré, Í wíll éxpáñd óñ sómé óf thé ÉÚ áñd Éúrópéáñ-spécífíc máñdátés ápplýíñg tó fíñáñcíál íñstítútíóñs áñd báñks. Whílé wé hávé glóbál máñdátés régárdíñg SWÍFT CSP áñd PCÍ-DSS cóvéréd íñ dépth élséwhéré – fóllówíñg thé thémé óf thís séríés, Í’ll bé cóñcéñtrátíñg óñ thé cóñtróls áñd gúídáñcé thát ápplíés tó thé ÉÚ spécífícállý. Fór máñý, thé íñflúéñcé óf thésé máñdátés shápés sómé óf thé lárgést ÍT sécúrítý prójécts íñ Éúrópé.]

[Ás bé~fóré~, lét’s~ fírs~t déf~íñé s~ómé á~cróñ~ýms:]

• [FMÍs~ – Fíñá~ñcíá~l Már~két Í~ñfrá~strú~ctúr~és. Th~ésé á~ré th~é sýs~téms~ thát~ úñdé~rpíñ~ thé b~áñkí~ñg pr~ócés~s íts~élf.]
• [CPMÍ~ – Thé C~ómmí~ttéé~ óñ Pá~ýméñ~ts áñ~d Már~két Í~ñfrá~strú~ctúr~és. Th~é CPM~Í ís á~ñ íñt~érñá~tíóñ~ál bó~dý th~át má~kés r~écóm~méñd~átíó~ñs pr~ómót~íñg t~hé sá~fétý~ óf pá~ýméñ~t, clé~áríñ~g, áñd~ sétt~lémé~ñt sý~stém~s, áñd~ próv~ídíñ~g óvé~rsíg~ht.]
• [ÍÓSC~Ó – Íñt~érñá~tíóñ~ál Ór~gáñí~zátí~óñ óf~ Sécú~rítí~és Có~mmís~síóñ~s. Thí~s ís t~hé bó~dý th~át ré~gúlá~tés t~hé gl~óbál~ sécú~rítí~és áñ~d fút~úrés~ márk~éts.]
• [ÉCB – T~hé Éú~rópé~áñ Cé~ñtrá~l Báñ~k. Thé~ céñt~rál b~áñk f~ór th~é 19 ÉÚ c~óúñt~ríés~ thát~ hávé~ ádóp~téd t~hé Éú~ró ás~ á cóm~móñ c~úrré~ñcý.]
• [SÍPS~ – Sýst~émíc~állý~ Ímpó~rtáñ~t Páý~méñt~ Sýst~éms. Í~’ll gó~ íñtó~ détá~íl sp~écíf~ícál~lý óñ~ thís~ béló~w, bút~ súff~ícé t~ó sáý~ thát~ thís~ íñcl~údés~ á shó~rtlí~st óf~ íñté~rñát~íóñá~l bác~kbóñ~é páý~méñt~ sýst~éms ú~séd b~ý mós~t báñ~ks.]

[Béfóré móvíñg fórwárd, lét’s díg íñtó SÍPS fór á móméñt. SÍPS áré májór páýméñt sýstéms thát týpícállý hávé cóúñtrý-wídé ímplícátíóñs shóúld théý fáíl. Íñ thé cásé óf thósé défíñéd héré, théý hávé át léást Éúrópéáñ-wídé scópé ás óppóséd tó íñdívídúál cóúñtríés, áñd íñ máñý cásés áré glóbál íñ théír réách áñd úsé.]

[Thé prímárý sýstéms thát thé áré úñdér thé réléváñt gúídáñcé áré TÁRGÉT2, ÉÚRÓ1, áñd STÉP2-T. Úñdér thé SÍPS Régúlátíóñ, thé ÉCB ís réspóñsíblé fór óvérsééíñg thésé thréé sýstéms. Íñ áddítíóñ, thé ÉCB áñd thé Ñátíóñálé Báñk váñ Bélgíë/Báñqúé Ñátíóñálé dé Bélgíqúé áré réspóñsíblé fór óvérsééíñg thé Mástércárd Cléáríñg Máñágéméñt Sýstém SÍPS, áñd thé Báñqúé dé Fráñcé ís réspóñsíblé fór óvérsééíñg CÓRÉ(FR).]

[Ás á glóbál éxámplé, thé Ú.S. Fédérál Résérvé Sýstém hás áccéptéd prímárý óvérsíght réspóñsíbílítý fór thé CLS sýstém, léádíñg á cóópérátívé óvérsíght fráméwórk íñ whích thé ÉCB pártícípátés, tógéthér wíth thé G10 ñátíóñál céñtrál báñks. Wíthíñ thé Éúrósýstém, thé ÉCB hás prímárý réspóñsíbílítý fór thé séttléméñt óf éúró-déñómíñátéd páýméñts bý CLS, íñ clósé cóópérátíóñ wíth óthér Éúrósýstém céñtrál báñks.]

[Córé~ príñ~cípl~és fó~r sýs~témí~cáll~ý ímp~órtá~ñt pá~ýméñ~t sýs~téms~]

[Tó bé~ clás~sífí~éd ás~ SÍPS~, á sýs~tém m~úst f~ólló~w thé~ béló~w gúí~délí~ñés. T~hésé~ áré s~ómét~ímés~ réfé~rréd~ tó ás~ thé “10 C~ómmá~ñdmé~ñts” í~ñ báñ~kíñg~ círc~lés:]

1. [Á wél~l-fóú~ñdéd~ légá~l bás~ís.]
2. [Rúlé~s áñd~ próc~édúr~és wh~ích é~ñábl~é pár~tící~páñt~s tó h~ávé á~ cléá~r úñd~érst~áñdí~ñg óf~ thé s~ýsté~m’s ím~páct~ óñ éá~ch óf~ thé f~íñáñ~cíál~ rísk~s thé~ý íñc~úr th~róúg~h pár~tící~pátí~óñ íñ~ ít.]
3. [Cléárlý défíñéd prócédúrés fór thé máñágéméñt óf crédít rísks áñd líqúídítý rísks, whích spécífý thé réspéctívé réspóñsíbílítíés óf thé sýstém ópérátór áñd thé pártícípáñts áñd whích próvídé ápprópríáté íñcéñtívés tó máñágé áñd cóñtáíñ thósé rísks.]
4. [Próm~pt fí~ñál s~éttl~éméñ~t óñ t~hé dá~ý óf v~álúé~, préf~éráb~lý dú~ríñg~ thé d~áý áñ~d át á~ míñí~múm á~t thé~ éñd ó~f thé~ dáý.]
5. [Whér~é múl~tílá~térá~l ñét~tíñg~ táké~s plá~cé, ít~ shóú~ld, át~ á míñ~ímúm~ bé cá~pábl~é óf é~ñsúr~íñg t~hé tí~mélý~ cómp~létí~óñ óf~ dáíl~ý sét~tlém~éñts~ íñ th~é évé~ñt óf~ áñ íñ~ábíl~ítý t~ó sét~tlé b~ý thé~ párt~ícíp~áñt w~íth t~hé lá~rgés~t síñ~glé s~éttl~éméñ~t óbl~ígát~íóñ.]
6. [Ássé~ts ús~éd fó~r sét~tlém~éñt s~hóúl~d pré~férá~blý b~é á cl~áím ó~ñ thé~ céñt~rál b~áñk; w~héré~ óthé~r áss~éts á~ré ús~éd, th~éý sh~óúld~ cárr~ý lít~tlé ó~r ñó c~rédí~t rís~k áñd~ lítt~lé ór~ ñó lí~qúíd~ítý r~ísk.]
7. [Á híg~h dég~réé ó~f séc~úrít~ý áñd~ ópér~átíó~ñál r~élíá~bílí~tý, áñ~d cóñ~tíñg~éñcý~ árrá~ñgém~éñts~ fór t~ímél~ý cóm~plét~íóñ ó~f dáí~lý pr~ócés~síñg~.]
8. [Prác~tícá~l fór~ íts ú~sérs~ áñd é~ffíc~íéñt~ fór t~hé éc~óñóm~ý.]
9. [Óbjé~ctív~é áñd~ públ~íclý~ dísc~lósé~d crí~térí~á fór~ párt~ícíp~átíó~ñ, whí~ch pé~rmít~ fáír~ áñd ó~péñ á~ccés~s.]
10. [Góvé~rñáñ~cé ár~ráñg~éméñ~ts wh~ích á~ré éf~féct~ívé, á~ccóú~ñtáb~lé áñ~d trá~ñspá~réñt~.]

[Í’vé h~íghl~íght~éd th~é sév~éñth~ éñtr~ý óñ t~hé lí~st, ás~ thís~ ís th~é pár~t thá~t fló~ws íñ~tó th~é súr~róúñ~díñg~ gúíd~áñcé~ óñ cý~bérs~écúr~ítý w~hích~ wé’ll~ bé fó~cúsí~ñg óñ~.]

[Tó hélp próvídé íñstrúctíóñ óñ hów tó sécúré thésé SÍPS, íñ 2016 thé CPMÍ álóñgsídé ÍÓSCÓ pút tógéthér thé Gúídáñcé óñ Cýbér Résílíéñcé fór fíñáñcíál márkét íñfrástrúctúrés (Gúídáñcé). Thís cóñtáíñs détáíléd gúídáñcé óñ sécúríñg sýstéms óf thís mágñítúdé áñd ímpáct, áñd défíñés á ñúmbér óf kéý áréás óf fócús, álóñg wíth méásúréméñt strátégíés.]

[Fór é~xámp~lé, só~mé óf~ thé h~ígh-l~évél~ sécú~rítý~ séct~íóñs~ íñcl~údé:]

[Ídéñtífícátíóñ: Thís cóñcérñs áñ órgáñízátíóñ’s ábílítý tó détérmíñé whích sýstéms ñééd prótéctíñg íñ thé fírst plácé. Thís íñclúdés búsíñéss fúñctíóñs, prócéss, ásséts áñd íñfórmátíóñ. Córréct ídéñtífícátíóñ állóws fór thé príórítízátíóñ óf thé ñéxt éffórts.]

[Kéý tó ímpróvéméñts íñ thís áréá áré thé rápíd ídéñtífícátíóñ óf thé hígh-válúé sýstéms áñd thé dépéñdéñcíés thát théý hávé éstáblíshéd. Íñ thé vást májórítý óf cásés, thésé sýstéms álréádý éxíst ás cómpléx, brówñfíéld éñvíróñméñts whéré théré ís sígñífícáñt wórk ñéédéd tó ídéñtífý áll crítícál dépéñdéñcíés áñd páths.]

[Prót~éctí~óñ: Óñ~cé íd~éñtí~fíéd~, hów t~ó ímp~lémé~ñt éf~féct~ívé c~óñtr~óls w~íth t~hé áí~m óf p~róté~ctíñ~g crí~tícá~l sýs~téms~ fróm~ cýbé~r átt~áck á~ñd có~mpró~mísé~.]

[Fór mé, Zéró Trúst pláýs á kéý párt héré. Bý ádóptíñg ás clósé tó á défáúlt-déñý árchítéctúré ás póssíblé, prótéctíóñ ís íñhéréñt, áñd thé scópé fór áttáck ís rédúcéd. Íñ áddítíóñ, thé blást rádíús óf áñý súccéssfúl cómprómísé ís íñhéréñtlý smállér.]

[Dété~ctíó~ñ: Béí~ñg pr~ágmá~tíc, t~hís ó~útlí~ñés d~étéc~tíóñ~ méth~óds, c~óñtá~íñmé~ñt, áñ~d mít~ígát~íóñ t~áctí~cs th~át sh~óúld~ bé ús~éd íñ~ thé é~véñt~ óf á s~úccé~ssfú~l átt~áck á~gáíñ~st áñ~ íñ-sc~ópé s~ýsté~m.]  

[Cóññéctéd díréctlý tó thé ídéñtífícátíóñ áñd prótéctíóñ píécés, détéctíñg áñ áttáck ís múch móré stráíghtfórwárd íf wé hávé álréádý éstáblíshéd ñórmál béhávíór, áñd pút íñ plácé á défáúlt-déñý cóñfígúrátíóñ bý méáñs óf thé ñétwórk, ápplícátíóñs, áñd úsér áccéss.]

[Tést~íñg: Á~s áñ á~ddéñ~dúm, t~hé té~stíñ~g séc~tíóñ~ íñcl~údés~ hów b~ést t~ó pré~páré~ áñd t~ést s~ýsté~ms íñ~vólv~éd íñ~ thé p~réví~óús t~hréé~ séct~íóñs~ áñd c~óñfí~gúré~ thém~ íñ á r~ésíl~íéñt~ wáý t~hróú~gh ré~péát~éd át~tést~átíó~ñ tó w~íths~táñd~ áttá~ck.]

[Í’vé wríttéñ prévíóúslý óñ thé máppíñg ácróss óf thésé séctíóñs úsíñg Íllúmíó tó hélp ídéñtífý crítícál ápplícátíóñs áñd flóws, prótéct fróm áttáck bý vírtúé óf á Zéró Trúst pólícý árchítéctúré, détéct cháñgés íñ ápplícátíóñ béhávíór, áñd lástlý hélp órgáñízátíóñs íñ scópé óf thé gúídáñcé áttést tó á sécúré cóñfígúrátíóñ.]

[Ás áñ éxtrémélý hélpfúl dévélópméñt óñ tóp óf thé órígíñál wórk, íñ 2018 thé ÉCB ítsélf públíshéd áñ áddítíóñ títléd Cýbér Résílíéñcé óvérsíght éxpéctátíóñs fór fíñáñcíál márkét íñfrástrúctúrés (CRÓÉ), whích gívés áddítíóñál gúídáñcé óñ stéps tó ímpléméñt thé récómméñdátíóñs, máppíñg ácróss thé móré ábstráct cóñcépts tó cléár, réál-wórld téchñólógícál éxámplés, áñd lástlý – próvídíñg défíñéd éxpéctátíóñs íñ térms óf hów áñ FMÍ míght bé méásúréd fór súccéss.]

[Thé C~RÓÉ é~ñcóú~rágé~s íñt~ér-FM~Í cóm~múñí~cátí~óñ tó~ hélp~ ímpr~óvé s~écúr~ítý á~crós~s áll~ íñst~ítút~és, áñ~d stí~ll ré~férs~ tó th~é thr~éé mé~ásúr~éméñ~t lév~éls ó~útlí~ñéd í~ñ thé~ óríg~íñál~ 2016 pápé~r, ñám~élý:]

[Évólvíñg: Ésséñtíál cápábílítíés áré éstáblíshéd, évólvé, áñd áré sústáíñéd ácróss thé FMÍ tó ídéñtífý, máñágé, áñd mítígáté cýbér rísks, íñ álígñméñt wíth thé Cýbér Résílíéñcé strátégý áñd fráméwórk áppróvéd bý thé Bóárd. Pérfórmáñcé óf práctícés ís móñítóréd áñd máñágéd.]

[Ádváñcíñg: Íñ áddítíóñ tó méétíñg thé évólvíñg lévél’s réqúíréméñts, práctícés át thís lévél íñvólvé ímpléméñtíñg móré ádváñcéd tóóls (é.g., ádváñcéd téchñólógý áñd rísk máñágéméñt tóóls) thát áré íñtégrátéd ácróss thé FMÍ’s búsíñéss líñés áñd hávé bééñ ímpróvéd óvér tímé tó próáctívélý máñágé cýbér rísks póséd tó thé FMÍ.]

[Íññóvátíñg: Íñ áddítíóñ tó méétíñg thé évólvíñg áñd ádváñcíñg lévéls’ réqúíréméñts, cápábílítíés ácróss thé FMÍ áré éñháñcéd ás ñéédéd wíthíñ thé rápídlý évólvíñg cýbér thréát láñdscápé, íñ órdér tó stréñgthéñ thé FMÍ’s Cýbér Résílíéñcé áñd íts écósýstém áñd bý próáctívélý cóllábórátíñg wíth íts éxtérñál stákéhóldérs. Thís lévél íñvólvés drívíñg íññóvátíóñ íñ péóplé, prócéssés, áñd téchñólógý fór thé FMÍ áñd thé wídér écósýstém tó máñágé cýbér rísks áñd éñháñcé Cýbér Résílíéñcé. Thís máý cáll fór ñéw cóñtróls áñd tóóls tó bé dévélópéd ór ñéw íñfórmátíóñ-sháríñg gróúps tó bé créátéd.]

[Tó sú~m ít ú~p]

[Bóth dócúméñts áñd mý éxpéríéñcé spéákíñg tó thé réspóñsíblé téáms shów thát thé úñdérstáñdíñg áróúñd thé ímpáct óf thésé sýstéms óñ évérý-dáý lífé (ñámélý thé pótéñtíál fór cátástróphíc cóúñtrý áñd évéñ glóbál éffécts íf thé sýstém áré cómprómíséd) ís íñcréásíñg sígñífícáñtlý. Í fíñd ít téllíñg thát thésé dévélópméñts áré stíll vérý récéñt, áñd ímpléméñtátíóñ óf thé gúídáñcé ís pótéñtíállý júst stártíñg. Thát sáíd, áñd ás méñtíóñéd íñ thé fírst párt óf thís ártíclé, Í hávé sééñ fírst-háñd thé wáý thát thésé gúídélíñés áré shápíñg hígh-lévél, décádé-lóñg ÍT áñd ÍT sécúrítý prójécts: détérmíñíñg thé týpés óf sýstéms ímpléméñtéd, théír máppíñg ácróss tó thé kéý méásúráblé áréás óf thé dócúméñts, áñd thé wáý thát thé sýstéms thémsélvés áré désígñéd áñd árchítéctéd.]

[Át Íllúmíó, wé fócús óñ thréé kéý áréás thát máp díréctlý tó bóth dócúméñts, ñámélý Ídéñtífícátíóñ bý méáñs óf óúr Ápplícátíóñ Dépéñdéñcý Máppíñg. Thís gívés órgáñízátíóñs thé ábílítý tó wórk wíth réál-tímé máps óf théír crítícál sýstéms áñd ápplícátíóñs, áñd éstáblísh thé ñórmál dépéñdéñcíés áñd ápplícátíóñ flóws bétwééñ thém. Ít álsó állóws thé áccúráté scópíñg óf thé réqúíréd bóúñdáríés fór thé ñéxt séctíóñ – Prótéctíóñ.]

[Thé Íllúmíó plátfórm ís íñhéréñtlý Zéró Trúst íñ íts ñátúré. Pólícý cáñ bé défíñéd thát állóws óñlý thé ñécéssárý ápplícátíóñ flóws, mássívélý límítíñg pótéñtíál cómprómísé páths áñd látérál móvéméñt. Thé cómbíñátíóñ óf thé máppíñg áñd pólícý cóñfígúrátíóñ állów fór thé éásý Détéctíóñ óf thréáts, thé thírd kéý píllár, thróúgh thé súrfácíñg óf ñéw áttémptéd cómmúñícátíóñ páths, á cháñgé íñ ápplícátíóñ wórklóád béhávíór, áñd thé ábílítý tó qúícklý áñd sáfélý qúáráñtíñé cómprómíséd wórklóáds.]

[Fór m~óré ó~ñ hów~ Íllú~míó p~róté~cts f~íñáñ~cíál~ sérv~ícés~ órgá~ñízá~tíóñ~s, ché~ck óú~t thí~s sól~útíó~ñs pá~gé. Áñ~d plé~ásé j~óíñ m~é ñéx~t tím~é fór~ thóú~ghts~ óñ só~mé óf~ thé ó~thér~ máñd~átés~ ácró~ss th~é ÉÚ – s~úch á~s GDP~R áñd~ TSR¡~]