Fælles forsvar mod it-kriminelle
Et problem i et it-system kan nemt sprede sig til andre i sektoren. Derfor har Nationalbanken grundlagt et samarbejdsforum (FSOR), som skal øge robustheden og modvirke, at store hackerangreb vil kunne lamme hele sektoren.
Den finansielle sektor bruger komplekse it-systemer, hvor aktørerne er forbundet via datacentraler, betalings- og afviklingssystemer. Den forbundethed i sektorens infrastruktur gør sektoren til et nemmere offer for cyberangreb. Af den grund grundlagde Nationalbanken i 2016 et finansielt sektorforum for operationel robusthed (FSOR), der skal hjælpe Danmark med at modstå truslen fra cyberkriminelle.
"Den danske finansielle infrastruktur er en af verdens mest veludviklede, blandt andet fordi aktørerne er koblet til de samme systemer. Det giver en række store fordele, men sammenkoblingen giver også mange indgange for cyberangreb. Derfor er det helt essentielt at højne den samlede robusthed i den kritiske finansielle infrastruktur. Det er netop de problemstillinger, som vi har fokus på i FSOR", siger René Thomsen, koordinator for FSOR's sekretariat i Nationalbanken.
FSOR er sat i drift for at forebygge og håndtere de store cyberangreb, som potentielt kan gå ind og forstyrre den finansielle stabilitet – de såkaldte systemiske risici – og dermed samfundets evne til at fungere.
"Det handler i sidste ende om fortsat at højne cyberrobustheden i den kritiske infrastruktur og derved fastholde danskernes tillid til de digitale løsninger", siger Nathalie Pauline Tuxen, chef for betalingsformidling i Nationalbanken og sekretariatschef for FSOR.
Dæmme op for systemiske risici
Hver dag sker der mindre hackerangreb mod finansielle institutioner, som de individuelle institutioner selv forebygger og håndterer. Det er en vigtig indsats, som de finansielle institutioner gør i deres daglige arbejde med it-sikkerhed, påpeger Nathalie Pauline Tuxen. Men den skal suppleres af tværgående initiativer.
"Vi har haft et fantastisk samarbejde med den finansielle sektor i FSOR og har opnået markante resultater igennem de sidste par år. Men vi kan ikke hvile på laurbærrene. De kriminelle bliver hele tiden dygtigere, og dem skal vi være på vagt over for og forberedt på", siger Nathalie Pauline Tuxen.
I FSOR er det nu – via etableringen af et kriseberedskab – muligt at sikre en koordineret indsats på tværs af sektoren, så en krises omfang og konsekvenser minimeres mest muligt.
Erfaringer og viden gennem test
I samarbejdsforummet er der bred enighed om, at uanset hvor gode kriseberedskaber man har, er det først, når de testes og udsættes for stress, at man finder ud af, om de også holder i praksis. Det sker blandt andet gennem livetesten "red team-testprogram", som foretages ude hos FSOR's deltagervirksomheder.
"At gennemspille scenarier for, hvad der sker, når en virksomhed er under angreb, har været utroligt lærerigt. Man ved først, hvor det er kritisk, når man har testet det. Derfor har det været vigtigt med den kortlægning af infrastrukturen, som er foretaget i FSOR", siger Michael Busk-Jepsen, digitaliseringsdirektør i Finans Danmark.
Et red team-testprogram skal forstås som et rammeværk med fastsatte fælles krav til det testforløb, hver programdeltager skal igennem. I testprogrammerne "angribes" virksomhederne af hackere, som tester virksomhedens kriseberedskab i en såkaldt livetest.
Den danske finansielle sektor skal i 2020 være "best in class i Europa til at imødegå truslen fra cyberkriminalitet". Det er visionen for FSOR's arbejde.
"Det har vist sig gavnligt at opstille en ambitiøs vision for FSOR og få forankret visionen og arbejdet i FSOR på højt ledelsesniveau hos FSOR-medlemmerne. Det har medvirket til at skabe fremdrift og ejerskab i FSOR. Med vores kortlægning af de mest kritiske forretningsaktiviteter, processer, systemer og aktører i den finansielle sektor og vores etablering af red team-testprogrammet er vi godt på vej til at indfri vores vision, da vi er blandt de første i Europa til at gennemføre de initiativer", siger Nathalie Pauline Tuxen.
Øge operationel robusthed
Siden grundlæggelsen af FSOR har samarbejdsforummet blandt andet haft fokus på at kortlægge infrastrukturen i den finansielle sektor. Det vil sige en forståelse af, hvilke systemer, leverandører med videre der er essentielle for finansiel stabilitet.
"Det har været nødvendigt for at kunne identificere de operationelle risici, der kan ramme på tværs af sektoren og derved potentielt også kan true den finansielle stabilitet i Danmark", siger Nathalie Pauline Tuxen.
Formålet med FSOR er at øge den operationelle robusthed i den finansielle sektor, herunder robustheden over for cyberangreb. Der er således også tale om at forbedre sikkerheden på det mere praktiske niveau med hensyn til knækkede kabler og andre operationelle hændelser, som kan forstyrre driften.
"Kompleksiteten i systemerne er vokset og er forbundne. Derfor kan et problem i et system ramme andre i sektoren. Det er som ringe i vandet", siger Michael Busk-Jepsen.
Deltagere i FSOR
Penge- og realkreditinstitutter: Danske Bank, DLR Kredit, Jyske Bank, Nordea, Nykredit, Sydbank
Betalings- og afviklingssystemer: Nets, VP Securities
Datacentraler: Bankdata, BEC, JN Data, SDC
Brancheorganisationer: Finans Danmark, Forsikring & Pension
Myndigheder: Center for Cybersikkerhed, Erhvervsministeriet, Finanstilsynet, Nationalbanken
Andre: e-nettet, Finansiel Stabilitet A/S, Nasdaq
Flere forsøg på netbankindbrud
I 2017 var der 249 forsøg på netbankindbrud. Året før var der "blot" 19 forsøg, og i 2015 var der syv forsøg. Det oplyser Finans Danmark, som endnu ikke har offentliggjort tal for 2018.