Более 25 лет я работаю с финансовыми организациями, помогая им преодолевать архитектурные переходы, изменения в нормативном регулировании и справляться с постоянным давлением, направленным на обеспечение устойчивости, безопасности и соответствия требованиям критически важных платежных сетей.

Если в сфере мировых банковских и рынков капитала есть одна неизменная вещь, то она звучит так: соответствие требованиям — это не статичная процедура, проводимая раз в год. Это операционная дисциплина, охватывающая людей, процессы и технологии.

Сегодня руководители ИТ-подразделений финансовых организаций сталкиваются с уникальным сочетанием проблем:

Ускорение появления уязвимостей: Количество публичных раскрытий уязвимостей продолжает стремительно расти. Попытки устранить каждое уведомление с одинаковой срочностью неэффективны. Если бы существовали бесконечный бюджет, штат сотрудников и окна изменений, это не было бы проблемой. В реалиях ограниченных ресурсов расстановка приоритетов имеет решающее значение.
Нормативные требования с реальными последствиями: С вступлением в силу стандарта PCI DSS 4.0.1 и вводом в действие многих требований, ранее отложенных на будущее, регуляторы предъявляют новые требования к непрерывному соблюдению стандартов. Обновленное за последние несколько лет руководство по операционной деятельности FFIEC влечет за собой реальные последствия на уровне OCC в случае несоответствия.
Операционный хаос и множество порталов: Инфраструктурные команды тратят сотни часов на сверку инвентаризационных данных об активах, сопоставление жизненных циклов оборудования и программного обеспечения с бюллетенями безопасности, а также на сбор аудиторских артефактов из множества инструментов и порталов. То, что традиционно было ручным процессом ETL для получения согласованной инвентаризации.
Новая квантовая угроза: Модель «Перехвати сейчас, расшифруй позже» означает, что перехваченный сегодня зашифрованный финансовый трафик может стать уязвимым после появления криптографически релевантных квантовых компьютеров. Поскольку стандарты постквантовой криптографии NIST теперь утверждены, финансовым организациям необходимо уже сегодня начать планирование криптографической гибкости.

Чтобы справляться с этим давлением без простого увеличения объема ручной работы, финансовым организациям необходима более единая и интеллектуальная операционная модель.

Представляем Cisco IQ.

Что такое Cisco IQ? Единая точка входа для аналитики жизненного цикла инфраструктуры

Cisco IQ — это цифровой интерфейс Cisco на базе искусственного интеллекта для поддержки и профессиональных услуг. Он разработан как единая точка входа для аналитики жизненного цикла инфраструктуры, объединяющая рабочие процессы поддержки, телеметрию, оценки и рекомендации в единый проактивный опыт работы.

Для финансовых организаций Cisco IQ особенно актуальна, поскольку она решает три постоянные операционные проблемы.

1. Суверенитет данных и изолированные среды

Финансовые организации работают в условиях строгих требований к суверенитету данных, нормативному регулированию и концепции нулевого доверия (zero-trust). Одной из давних проблем моделей управления на базе облака является передача телеметрии за пределы контролируемых сред.

Cisco IQ разработана с поддержкой гибких моделей развертывания и потребления, помогая организациям согласовывать аналитику инфраструктуры с их операционными требованиями, нормативными требованиями и требованиями к обработке данных.

Для банков уровня Tier-1, расчетных палат, платежных систем и других строго регулируемых организаций эта гибкость имеет решающее значение. Она позволяет командам использовать инфраструктурные оценки на базе ИИ и аналитику жизненного цикла, сохраняя при этом надлежащий контроль над тем, где хранятся конфиденциальные операционные данные.

2. Объективный бенчмаркинг по сравнению с аналогами

Руководителям инфраструктурных и ИБ-подразделений часто задают простой вопрос: «Как мы выглядим на фоне остальных?»

Насколько актуальны обновления по сравнению с аналогичными организациями? Каково среднее время устранения уязвимостей по сравнению с похожими средами? Существенно ли выше или ниже подверженность уязвимостям по сравнению с сопоставимыми организациями?

Возможности бенчмаркинга Cisco IQ могут помочь директорам по информационной безопасности (CISO) и руководителям инфраструктуры оценить свой операционный статус на фоне релевантных групп аналогов. Это переводит обсуждение бюджетов из плоскости субъективных споров в более обоснованные бизнес-кейсы, подкрепленные данными.

3. Переход от реактивной поддержки к предиктивному успеху

Традиционные операции с инфраструктурой зачастую носят реактивный характер. Команды реагируют на сбои, результаты аудита, сервисные уведомления, события жизненного цикла и критические уязвимости уже после того, как риск проявился.

Cisco IQ помогает сместить эту модель в сторону предиктивного успеха, выявляя такие проблемы, как отклонение конфигураций от лучших практик, приближение сроков окончания поддержки, релевантные сервисные уведомления и критические уязвимости до того, как они превратятся в сбои в обслуживании или замечания аудиторов.

Поддержка PCI DSS 4.0.1 с помощью Cisco IQ

Стандарты PCI DSS 4.0 и 4.0.1 представляют собой важный этап в развитии платежной безопасности. Стандарт делает упор на непрерывную безопасность, документированную эффективность средств контроля, целевой анализ рисков и гибкую реализацию посредством индивидуального подхода.

Для финансовых организаций практическая задача очевидна: команды должны доказать, что средства контроля безопасности не только спроектированы правильно, но и эффективно работают с течением времени.

Для этого требуются точная инвентаризация, видимость конфигураций, приоритизация уязвимостей, управление жизненным циклом, контроль административного доступа и воспроизводимые свидетельства.

Cisco IQ может помочь в достижении этих результатов, предоставляя командам инфраструктуры, безопасности и комплаенса более единое представление об их среде.

Сопоставление возможностей Cisco IQ с требованиями PCI DSS 4.0.1

Требование 1: Установка и поддержание средств сетевой безопасности

Это требование направлено на то, чтобы соединения между доверенными и недоверенными сетями, включая среду держателей платежных карт (CDE), контролировались, документировались и проверялись. Cisco IQ выполняет это посредством адаптивных оценок инфраструктуры, анализируя конфигурации на соответствие лучшим практикам и требованиям безопасности.

Требование 2: Применение безопасных конфигураций ко всем компонентам систем

Это требование заключается в защите систем, удалении небезопасных настроек по умолчанию и поддержании безопасных базовых параметров. Cisco IQ делает это посредством проверок гигиены конфигураций и усиления безопасности, выявляя рискованные службы, слабые протоколы управления и устаревшие настройки криптографии.

Требование 6: Разработка и поддержка безопасных систем и ПО

Это требование заключается в своевременном выявлении, приоритизации и устранении уязвимостей. Cisco IQ делает это через сопоставление PSIRT и CVE, связывая уязвимости с реальным контекстом оборудования, программного обеспечения и конфигураций, что позволяет осуществлять приоритизацию испправлений на основе рисков.

Две операционные победы: Требования 2 и 6

Хотя Cisco IQ может поддерживать многие аспекты PCI DSS 4.0.1, именно два требования неизменно создают наибольшие операционные трудности для финансовых организаций: безопасная конфигурация и управление уязвимостями.

Требование 2: Сокращение дрейфа конфигураций

В крупных банковских средах дрейф конфигураций неизбежен. Экстренное изменение посреди ночи, временное исключение для устранения неполадок или точечная корректировка правил могут оставаться в силе еще долго после того, как исходная проблема была решена.

Со временем эти небольшие отклонения превращаются в операционные риски и риски соответствия требованиям.

Cisco IQ помогает инфраструктурным командам сравнивать активные конфигурации с утвержденными стандартами и проектным замыслом. Система позволяет выявлять рискованные отклонения, такие как незащищенные службы управления, несогласованное ведение журналов, устаревшие протоколы или несоответствующие настройки усиления защиты, до того как эти проблемы станут результатами аудита.

Ценность заключается не только в обнаружении. Она заключается в возможности повторения. Команды получают более согласованный способ выявления, документирования и устранения отклонений в сложных средах.

Требование 6: Приоритизация наиболее важных уязвимостей

Финансовые институты не могут просто перезагружать базовую платежную инфраструктуру каждый раз, когда публикуется новое уведомление. Окна обслуживания требуют утверждения изменений, планирования аварийного переключения, координации приложений и анализа бизнес-рисков.

Задача заключается не в том, чтобы узнать о существовании уязвимостей. Задача состоит в том, чтобы понять, какие уязвимости действительно важны в конкретной производственной среде.

Cisco IQ помогает в этом, сопоставляя уведомления и уязвимости с инвентарными данными об активах, версиями программного обеспечения, моделями оборудования и контекстом конфигураций. Вместо того чтобы относиться ко всем CVE как к равным, команды могут сосредоточиться на уязвимостях, которые являются релевантными, доступными извне и имеющими операционное значение.

Это дает инженерным группам и командам по управлению рисками более обоснованный способ расстановки приоритетов при устранении уязвимостей, обоснования окон обслуживания и донесения информации о рисках до советов по управлению изменениями и высшего руководства.

За пределами PCI DSS: подготовка к постквантовой криптографии

Хотя PCI DSS 4.0.1 является первоочередной задачей, финансовым институтам также необходимо готовиться к гораздо более масштабному криптографическому переходу: постквантовой криптографии.

Риск «собирай сейчас, расшифровывай потом»

Злоумышленники уже могут перехватывать зашифрованный финансовый трафик, потоки платежных данных, межбанковские коммуникации и долгосрочно хранимые клиентские записи в расчете на то, что они смогут расшифровать их позже.

В этом суть концепции «собирай сейчас, расшифровывай потом».

Достаточно мощный криптографически релевантный квантовый компьютер может поставить под угрозу широко используемые алгоритмы с открытым ключом, такие как RSA, криптография на эллиптических кривых и Диффи-Хеллман. Для финансовых институтов это важно, поскольку некоторые данные должны оставаться конфиденциальными и надежными в течение многих лет.

Финансовые записи длительного хранения, расчетные данные, цифровые подписи, аудиторские следы и информация о клиентах могут потребовать защиты далеко за пределами срока службы сегодняшних криптографических допущений.

Квантовый риск — это не только проблема будущих технологий. Сегодня это проблема защиты данных и планирования.

Оценки готовности к квантовым угрозам доступны уже сегодня в Cisco IQ.

Новые постквантовые стандарты NIST

В августе 2024 года Национальный институт стандартов и технологий финализировал три стандарта постквантовой криптографии:

FIPS 203: Механизм инкапсуляции ключей на основе решеток модулей, или ML-KEM, на базе CRYSTALS-Kyber для установления ключей.
FIPS 204: Алгоритм цифровой подписи на основе решеток модулей, или ML-DSA, на базе CRYSTALS-Dilithium для цифровых подписей.
FIPS 205: Статистически независимый алгоритм цифровой подписи на основе хеш-функций, или SLH-DSA, на базе SPHINCS+, в качестве варианта подписи на основе хеш-функций без сохранения состояния.

Национальный центр передового опыта в области кибернетики NIST также опубликовал руководство, посвященное готовности к квантовым угрозам, включая обнаружение криптографических средств и тестирование на совместимость и производительность.

Сигнал для финансовых институтов ясен: прежде чем организации смогут мигрировать на квантово-устойчивую криптографию, они должны сначала понять, где существует криптография, какие алгоритмы используются, какие системы зависят от них и какие потоки данных несут в себе риски нарушения конфиденциальности в долгосрочной перспективе.

Как Cisco IQ может поддержать готовность к квантовым угрозам

Невозможно улучшить то, что невозможно увидеть.

Самое большое практическое препятствие при постквантовой миграции — это обнаружение криптографии. финансовым институтам необходимо выявлять уязвимую криптографию в сетевых устройствах, инфраструктуре VPN, сертификатах, плоскостях управления, зашифрованных туннелях и ценных путях передачи данных.

Возможности Cisco IQ, ориентированные на квантовую готовность, могут помочь организациям обеспечить такую видимость и начать планирование стратегии миграции на основе рисков.

Путь вперед: баланс между сегодняшними аудитами и завтрашней устойчивостью

Лидеры финансовых технологий не имеют роскоши выбирать между немедленным соблюдением требований и долгосрочной криптографической стратегией.

PCI DSS 4.0.1 требует жесткого операционного контроля уже сегодня. Постквантовая миграция требует инвентаризации, планирования и криптографической гибкости на будущее.

Путь вперед опирается на три кита:

Люди: Перераспределение старших инженеров и архитекторов от работы с ручными данными и аудитом к задачам высокой важности в области безопасности и устойчивости.
Процесс: Превращение проверки состояния, инвентаризации активов, приоритизации уязвимостей и обнаружения криптографии в непрерывные операционные компетенции.
Технологии: Использование интеллектуальной унифицированной платформы, такой как Cisco IQ, для объединения аналитики жизненного цикла, рекомендаций по безопасности, оценок инфраструктуры, доказательств соответствия требованиям и планирования готовности к квантовым угрозам.

Резюме

Темпы регуляторных изменений ускоряются. Растет и сложность инфраструктуры, от которой зависят финансовые институты.

Независимо от того, является ли приоритетом соблюдение нормативных требований, уязвимости, связанные с ИИ, и усиление защиты, сбор доказательств для аудита или подготовка к квантово-безопасному будущему, одно ясно: финансовым институтам нужен единый, интеллектуальный обзор своей инфраструктуры.

Cisco IQ помогает объединить этот обзор в единое целое.

Сочетая аналитику жизненного цикла, оценку инфраструктуры, сопоставление уязвимостей, отчетность о соответствии требованиям и возможности оценки готовности к квантовым угрозам, Cisco IQ может помочь финансовым институтам перейти от реактивной подготовки к аудиту к непрерывной операционной устойчивости.

Чтобы узнать больше о том, как Cisco IQ может поддержать вашу стратегию соответствия требованиям, устойчивости и готовности к квантовым угрозам, обратитесь к вашей команде по работе с клиентами Cisco или специалисту Cisco CX.