Фото magnific.com
Кипрский финансовый сектор получил очередной сигнал от регулятора: кибербезопасность больше нельзя рассматривать как техническую функцию, вынесенную на уровень IT-отдела. Комиссия по ценным бумагам и биржам Кипра CySEC предупредила поднадзорные компании о растущих рисках, связанных с развитием передовых моделей искусственного интеллекта. Речь идет не о теоретической угрозе, а о вполне практическом изменении среды, в которой работают инвестиционные компании, управляющие фондами, криптопровайдеры, торговые площадки и другие участники рынка.
Поводом стало стремительное развитие так называемых frontier AI models – наиболее продвинутых моделей искусственного интеллекта. По оценке CySEC, такие системы могут выявлять и использовать уязвимости программного обеспечения с беспрецедентной скоростью и в большом масштабе. Это означает, что время между обнаружением слабого места в системе и его эксплуатацией злоумышленниками может резко сократиться. Для финансовых компаний, где задержка в реагировании на инцидент может обернуться не только прямыми потерями, но и нарушением обязательств перед клиентами и регуляторами, это меняет саму логику управления рисками.
CySEC обращает внимание не только на угрозы, но и на двойственную природу искусственного интеллекта. Те же технологии могут использоваться для защиты: анализа угроз, мониторинга аномалий, автоматизации реагирования, проверки кода и выявления уязвимостей. Однако в руках злоумышленников они способны повысить сложность, частоту и масштаб атак. Особенно уязвимыми становятся не только сами финансовые организации, но и их внешние поставщики ICT-услуг – облачные провайдеры, разработчики, подрядчики по инфраструктуре и компании, обслуживающие критически важные системы.
Предупреждение CySEC напрямую связано с европейским регламентом DORA – Digital Operational Resilience Act, который применяется с 17 января 2025 года. Этот регламент установил единые правила цифровой операционной устойчивости для финансового сектора ЕС. Его задача – не просто заставить компании «иметь киберзащиту», а обеспечить их способность выдерживать серьезные технологические сбои, кибератаки и нарушения в работе внешних поставщиков, продолжая выполнять ключевые функции.
Кипрский финансовый сектор включает большое число инвестиционных фирм, управляющих компаний, фондовых структур и криптоактивных провайдеров, многие из которых работают с международными клиентами и зависят от трансграничной цифровой инфраструктуры. Чем выше уровень цифровизации, тем больше значение приобретает не только защита собственной сети, но и понимание всей цепочки зависимостей: где хранятся данные, кто обслуживает платформы, какие подрядчики имеют доступ к системам и насколько быстро компания сможет восстановить работу после атаки.
CySEC фактически предлагает поднадзорным организациям провести проверку зрелости своих ICT-процессов. Компании должны оценить, достаточно ли их текущих процедур с учетом новых AI-рисков. Регулятор отдельно выделяет управление уязвимостями, мониторинг угроз, своевременное обновление систем, защиту критической и устаревшей инфраструктуры, контроль доступа, готовность резервных копий и устойчивость поставщиков.
Особое внимание уделяется резервному копированию и восстановлению после инцидента. Бэкапы должны быть изолированы и регулярно тестироваться в реалистичных условиях. Это важная деталь: наличие резервной копии само по себе уже не считается достаточной мерой. Если она подключена к той же инфраструктуре, может быть заражена вместе с основной системой или не проверялась годами, ее ценность в кризисной ситуации сомнительна.
Еще один ключевой акцент – управление третьими сторонами. DORA требует, чтобы финансовые организации понимали и контролировали риски, связанные с поставщиками ICT-услуг. В условиях AI-ускоренных атак слабым звеном может стать не сама финансовая компания, а подрядчик, через которого злоумышленники получают доступ к данным или системам. Это делает пересмотр договоров, прав аудита, планов выхода от поставщика и процедур реагирования не формальностью, а частью деловой устойчивости.
Текст подготовлен по материалам Cyprus Mail и CBN.
