Как финансовые организации измеряют киберриски и управляют ими?

Кратко: финансовым организациям необходимо доказать, что средства безопасности эффективны в production-среде, а инвестиции в безопасность снижают бизнес-риски. В рамках различных нормативно-правовых баз, включая NYDFS, OSFI, DORA, MAS и APRA, подтвержденные свидетельства работы средств контроля помогают организациям демонстрировать устойчивость и принимать обоснованные решения в отношении рисков. Aquasec связывает принудительное применение мер в среде выполнения с финансовым моделированием рисков на основе метода FAIR, помогая руководителям по безопасности оценивать защиту, количественно определять потенциальное снижение рисков и расставлять приоритеты для дополнительных инвестиций.

В ходе тестирования на проникновение, проводимого клиентом, тестеры продвигались по пути атаки, используя права доступа exec к работающим контейнерам. Средство контроля, способное ограничить это действие, было доступно, но не задействовано. Команда включила его и повторила тест, не меняя другие переменные. Тестеры больше не смогли продвинуться по тому же шагу для достижения своей первоначальной цели.

Для финансовой организации это полезное доказательство. Оно показывает, как операционное изменение повлияло на проверенный путь атаки. Следующие вопросы касаются покрытия и влияния на бизнес: какие сервисы зависят от этих рабочих нагрузок, где еще применяется средство контроля и каков оставшийся уровень подверженности рискам? Ответ на эти вопросы требует связи технических доказательств средств контроля с требованиями регуляторов и финансовыми последствиями киберрисков.

Что финансовые регуляторы требуют от организаций в отношении средств кибербезопасности?

В рамках пяти основных регуляторных режимов от финансовых организаций ожидается эффективное управление технологическими рисками и операционной устойчичностью. Требования различаются в зависимости от юрисдикции, но все они делают акцент на подотчетном управлении, надлежащих средствах контроля и доказательствах их работоспособности.

США: NYDFS Part 500. NYDFS Part 500 связывает меры кибербезопасности с подотчетностью руководства. Для регулируемых организаций, подпадающих под соответствующие положения, ежегодные отчеты должны подкрепляться доказательствами существенного соответствия или подтверждением, выявляющим несоответствие и меры по его устранению. Регламент также затрагивает управление уязвимостями, контроль доступа, а также проверенные процессы реагирования на инциденты и восстановления.

Свидетельства, полученные в среде выполнения, могут внести свой вклад в эту отчетность, если они показывают, как функционировало применимое средство контроля.

Канада: OSFI. OSFI B-13 устанавливает требования к управлению технологическими киберрисками и рисками кибербезопасности, включая тестирование средств контроля, инвентаризацию активов, превентивную защиту и восстановление.

E-21 связывает эту работу с критически важными операциями, зависимостями, допусками к сбоям и сценарным тестированием. Полное соблюдение требований ожидалось к 1 сентября 2026 года, а сценарное тестирование для всех критических операций должно быть завершено к 1 сентября 2027 года. B-10 сохраняет ответственность организации за работу с третьими сторонами.

Заблокированное действие контейнера становится более полезным, когда организация может связать его с критически важной операцией, которую оно защищает.

Европейский союз: DORA. DORA возлагает конечную ответственность за риски ИКТ на руководящий орган. Ее требования охватывают управление рисками ИКТ, отчетность об инцидентах, тестирование на устойчивость и риски третьих сторон.

Для финансовых организаций, подпадающих под действие Статьи 24, надлежащие тесты должны охватывать ИКТ-системы и приложения, поддерживающие критически важные или важные функции, по крайней мере раз в год. Таким образом, результаты тестирования средств контроля должны учитываться при устранении уязвимостей и более широкой оценке операционной устойчичности.

Сингапур: MAS. MAS объединяет обязательные предписания в отношении технологических рисков и кибергигиены с руководствами надзорных органов по технологическим рискам, аутсорсингу и беспрерывности бизнеса. Для банков соответствующими предписаниями являются FSM-N05 и FSM-N06.

MAS уделяет особое внимание восстанавливаемым критически важным ИТ-системам, защите клиентской информации и критически важным бизнес-услугам с внешними зависимостями.

Консультации по дальнейшим поправкам к предписаниям по управлению технологическими рисками проводились с 10 июня по 31 июля 2026 года. Эти предложения следует отличать от требований, которые уже вступили в силу.

Австралия: APRA. Австралийское управление пруденциального регулирования возлагает ответственность за эффективность средств контроля и операционную устойчивость на совет директоров.

CPS 234 требует наличия средств информационной безопасности, соразмерных защищаемым информационным активам, с систематическим тестированием их эффективности. CPS 230 связывает операционный риск с критическими операциями, допусками к сбоям, проверенными планами обеспечения непрерывности и надзором за ключевыми поставщиками услуг.

Для платежного сервиса результаты тестов в среде выполнения могут помочь продемонстрировать, какие поддерживающие рабочие нагрузки защищены, наряду с доказательствами того, что сервис может продолжать работу или восстанавливаться в пределах допустимых норм.

Как международные банки могут сформировать единую базовую линию средств контроля?

Международные банки могут сократить дублирование работ по обеспечению соответствия, выявив общие требования в этих пяти регуляторных режимах и создав общую базовую линию средств контроля.

Цель состоит в том, чтобы непрерывно применять лучшие практики безопасности во всех регионах, а не рассматривать отдельные минимальные требования регуляторов как предел защиты.

Общие средства контроля, последовательное тестирование и повторно используемые свидетельства могут удовлетворить múltiples региональные обязательства. Организациям по-прежнему необходимо сопоставлять эти средства контроля с местными требованиями и поддерживать отчетность, требуемую в каждой юрисдикции.

Как NIST, MITRE и другие фреймворки безопасности поддерживают обеспечение соответствия требованиям регуляторов?

Требования регуляторов устанавливают ожидания, в то время как технические фреймворки помогают организациям преобразовывать эти ожидания в практики безопасности, которые можно внедрить и протестировать.

NIST CSF 2.0 предлагает структуру, организованную вокруг следующих направлений: управление, идентификация, защита, обнаружение, реагирование и восстановление (Govern, Identify, Protect, Detect, Respond and Recover). NIST SP 800-190 добавляет руководство по безопасности контейнеров, в то время как стандарты CIS Benchmarks и руководство по укреплению безопасности Kubernetes от NSA/CISA помогают командам оценивать конфигурацию, принцип наименьших привилегий и сетевую изоляцию.

MITRE ATT&CK для контейнеров помогает командам безопасности выявлять актуальные техники злоумышленников и разрабатывать тесты, определяющие, прерывают ли средства контроля определенные пути атак.

Спецификации состава программного обеспечения (SBOM) определяют компоненты, в то время как SLSA (Supply chain Levels for Software Artifacts) предоставляет фреймворк для оценки целостности сборки и происхождения.

Для приложений ИИ OWASP Top 10 for LLM and Agentic Applications определяет такие риски, как инъекция промтов (Prompt Injection), чрезмерная автономность (Excessive Agency), а также злоупотребление идентификацией и привилегиями (Identity and Privilege Abuse).

Эти фреймворки применимы не только в сфере финансовых услуг, но банки могут использовать их для создания проверяемых средств контроля, которые также поддерживают соответствие нормативным требованиям.

Например, банк может сопоставить принудительно применяемую политику в среде выполнения с техникой MITRE, задокументировать наблюдаемый результат теста и связать это свидетельство со своей внутренней системой средств контроля. Такое сопоставление все равно потребует валидации в отношении фактической рабочей нагрузки и применимых обязательств.

Почему изменения в production-среде меняют подход финансовых организаций к оценке эффективности средств контроля?

Облачно-нативные приложения постоянно меняются. Контейнеры заменяются, развертываются новые образы, и уязвимость, обнаруженная сегодня, может затронуть образ, который прошел проверки безопасности вчера.

Сканирование и установка патчей остаются необходимыми, но они не могут доказать, продолжают ли средства защиты действовать против угроз, затрагивающих рабочие нагрузки в production-среде.

Во время триада и устранения уязвимостей средства принудительного применения политик в рантайме могут ограничивать определенные несанкционированные действия или прерывать проверенные пути атак. Организациям следует проверять эти элементы управления на соответствие актуальным угрозам и документировать остаточные риски на период разработки постоянного исправления.

Приложения с использованием ИИ создают дополнительные аспекты, связанные с рабочими нагрузками, идентификационными данными, доступом к данным и разрешениями агентов. Элементы управления в рантайме могут решать задачи контроля поведения рабочих нагрузок, в то время как управление моделями и оценка предполагаемого использования остаются отдельными зонами ответственности.

Следовательно, для финансовых организаций демонстрация эффективности средств контроля требует предоставления доказательств, отражающих текущую работающую среду, а не опоры исключительно на оценки, выполненные до развертывания.

Какие доказательства подтверждают эффективность средств контроля безопасности в рантайме?

Эффективность средств контроля должна оцениваться в контексте защищаемой бизнес-услуги.

Рассмотрим платежный сервис. Организация должна определить поддерживающие его рабочие нагрузки и зависимости, а затем установить, какие средства контроля применяются при оценке образов, допуске (admission) и в рантайме.

Каждую политику следует оценивать в соответствии с ее областью применения и режимом работы. Событие аудита помогает в расследовании инцидентов и реагировании на них, в то время как политика, настроенная на принудительное применение, может предотвратить выполнение поддерживаемого несанкционированного действия.

Тестирование одной и той же атаки с включенным и выключенным принудительным применением помогает продемонстрировать, меняет ли средство контроля результат. В представленной ниже демонстрации запущенная рабочая нагрузка Kubernetes подвергается несанкционированному запуск программного обеспечения, обратному шеллу (reverse shell) и интерактивному доступу к контейнеру. Включение соответствующих средств контроля Aquasec Runtime блокирует протестированные действия, показывая разницу, которую обеспечивает политика с принудительным применением в тех же условиях.

При тестировании необходимо документировать версию политики, затронутые рабочие нагрузки, временные метки и наблюдаемые результаты. Покрытие должно оцениваться наряду с эффективностью, поскольку успешный тест на одной рабочей нагрузке не гарантирует защиту всей платежной службы.

Операционная устойчивость также требует доказательств того, что процедура восстановления работает и что критически важные зависимости от поставщиков понятны. Организациям необходимо оценивать поведение средств контроля безопасности в условиях сбоев и возможность восстановления в рамках установленных допусков.

Как Aquasec связывает принудительное применение политик в рантайме с оценкой финансовых рисков?

Aquasec объединяет аналитику рантайма и принудительное применение политик с моделированием финансовых рисков на основе FAIR, чтобы помочь финансовым организациям понять, как средства контроля безопасности влияют на бизнес-экспозицию.

Компоненты Aquasec Enforcers функционируют внутри работающих рабочих нагрузок на уровне ядра, где они могут блокировать поддерживаемые несанкционированные действия в момент их выполнения при условии активации соответствующих политик.

Это обеспечивает получение оперативных данных о том, где политики активны и как они работают в отношении конкретных сценариев поведения.

FAIR (Factor Analysis of Information Risk) предоставляет структурированный метод выражения киберрисков в финансовых терминах. Ожидаемая годовая сумма убытков (Annual Loss Expectancy) объединяет расчетную частоту реализации рисков с оценкой масштаба ущерба.

Панель управления рисками Aquasec FAIR расширяет данные контейнерной безопасности до такого финансового представления. Она группирует контейнеры по направлениям бизнеса (Line of Business) с использованием областей применения Aquasec Application Scopes и меток company.lob.*, рассчитывает ожидаемые годовые убытки для рабочих нагрузок и отображает предполагаемое снижение рисков, связанное с доступными, но не применяемыми политиками.

Панель управления организует средства контроля на уровне образов, сети, рантайма и доступа. Она учитывает пересечения внутри каждого слоя и объединяет оценки в общую картину потенциального снижения риска.

Для CISO это создает практическую основу для сравнения принимаемых решений. Уязвимая рабочая нагрузка, поддерживающая платежи, может нести существенно иной финансовый риск по сравнению с рабочей нагрузкой разработки с аналогичным уровнем критичности уязвимости.

Организация может оценить предполагаемую экспозицию, связанную с платежными сервисами, и определить, как принудительное применение существующего средства контроля может изменить ее финансовый риск.

Gartner отмечает в Forecasting the $41 Billion CNAPP Opportunity, что количественные фреймворки, такие как FAIR, могут помочь командам отчитываться о «снижении финансового риска, достигаемом на каждый потраченный доллар».

Эти оценки должны сохранять прозрачность в отношении бизнес-допущений, покрытия и неопределенности. Смоделированное снижение ожидаемых годовых убытков поддерживает инвестиционное решение, в то время как фактическая экономия требует дополнительных доказательств.

Каковы распространенные ошибки при демонстрации эффективности средств контроля?

Предположение, что развернутая политика обеспечивает эффективную защиту. Организациям необходимо различать доступные средства контроля, средства, работающие в режиме аудита, и средства, активно блокирующие нарушения.

Рассмотрение успешного теста на проникновение как доказательства полного покрытия. Результаты тестирования подтверждают эффективность в проверенных условиях. Они автоматически не гарантируют защиту в других рабочих нагрузках или при исключениях из политик.

Представление смоделированного снижения финансового риска как реальной экономии. Оценки FAIR помогают сравнивать сценарии и направлять инвестиции, но организации должны учитывать допущения и неопределенности, лежащие в основе этих расчетов.

Что финансовым организациям следует делать дальше?

Выберите критически важную бизнес-услугу и проанализируйте поддерживающие ее рабочие нагрузки. Определите доступные, но не применяемые политики, протестируйте соответствующие пути атак и задокументируйте покрытие и исключения.

Подтвердите требования службы к восстановлению и критические зависимости от поставщиков, затем используйте панель управления рисками FAIR, чтобы оценить финансовый эффект от предлагаемых изменений в политиках принудительного применения.

Результат должен подтверждаться проверенными данными и финансовым анализом, лечь в основу четкого управленческого решения о принудительном применении существующего средства контроля, финансировании дополнительной защиты, устранении пробела или явном принятии оставшегося риска.

Часто задаваемые вопросы

Заменяет ли принудительное применение в рантайме управление уязвимостями?

Нет. Средства принудительного применения Aqua обеспечивают компенсирующую защиту для поддерживаемых сценариев поведения, пока организации продолжают оценивать уязвимости и внедрять постоянные исправления.

Могут ли данные рантайма помочь продемонстрировать соответствие нормативным требованиям?

Aqua может предоставлять свидетельства того, как соответствующие политики работали в продакшене. Организации могут использовать эти данные в рамках своих более широких процессов обеспечения гарантий, но это само по себе не подтверждает соответствие конкретной нормативной базе.

Как FAIR помогает финансовым организациям расставлять приоритеты в инвестициях в безопасность?

FAIR предоставляет структурированную финансовую модель для оценки потенциальных убытков и сравнения сценариев снижения рисков. Панель управления рисками FAIR от Aqua связывает информацию о рабочих нагрузках и средствах контроля с этим анализом, помогая руководству оценивать потенциальное финансовое влияние решений по принудительному применению.

Филип Пирсон (Philip Pearson) — полевой директор по информационной безопасности (CISO) с более чем десятилетним опытом руководства в сфере кибербезопасности, включая работу в качестве CISO в четырех различных организациях. Он специализируется на внедрении лучших практик безопасности и стратегических инициатив для укрепления киберустойчивости в облачных средах. Имея опыт работы в качестве старшего облачного инженера и руководителя по кибербезопасности, Филип обладает глубокими знаниями в области безопасности Kubernetes, облачных архитектур и моделирования угроз. В ходе своей карьеры он занимал должности, на которых способствовал развитию концепции Zero Trust, обеспечению комплаенса и управлению операционными рисками с помощью передовых методологий, защищающих современные и будущие цифровые ландшафты. Филип также является членом Cloud Security Alliance и активно участвует в ее работе.