¿Dónde pueden los bancos recurrir a las normas de resiliencia cibernética?

Las regulaciones continúan retirándose del campo de la ciberseguridad, utilizando su propia base de conocimiento para permitir que las organizaciones llenen estos vacíos solos. Ahora, esta responsabilidad está bajo la responsabilidad de la industria de los servicios financieros de la autonomía y permite a los líderes de ciberseguridad presentar sus propios estándares para garantizar las mejores prácticas.

En 2024, el Miter sin fines de lucro lanzó el ATT & CK para dispositivos móviles, que se mapea donde las instituciones financieras pueden ser vulnerables. Tracy Goldberg, directora de fraude y seguridad de Javelin Strategy & Research, dijo que este podría ser un paso importante para implementar la resiliencia cibernética durante el período de cumplimiento laxo. Su nuevo informe, Use el marco biselado para una inversión en línea efectivaverifique cómo las instituciones financieras utilizan esta herramienta y otras nuevas herramientas para proteger su resiliencia cibernética.

Encuentra una nueva guía

Cuando vemos la supervisión regulatoria de las instituciones financieras (especialmente en los Estados Unidos), los equipos de ciberseguridad deben buscar sus propios recursos para tomar decisiones presupuestarias. Por lo general, las instituciones financieras establecen presupuestos de ciberseguridad en función de la necesidad de cumplir con las regulaciones o cumplir con ciertos estándares. Sin regulaciones de cumplimiento, se verán obligados a buscar pautas en otros lugares.

Durante muchos años, las organizaciones han solicitado estándares de la Comisión Federal de Instituciones Financieras (FFIEC) a seguir. Sin embargo, la reciente reducción a la Agencia de Protección Financiera del Consumidor destaca el hecho de que FFIEC ha perdido parte de su efectividad para proporcionar orientación a las instituciones financieras.

Esto pone a la agencia en una posición sin mucha supervisión o escrutinio regulatorio, lo cual no es necesariamente algo positivo.

“Hay mucha supervisión regulatoria para asegurarse de que no se arriesgan a exponer el PII [personally identifiable information] “De los consumidores, pueden sufrir algún tipo de violación, lo que expone información patentada”, dijo Goldberg. Tendrán que ser autónomos. Entonces, ¿pueden usarlo como una guía? “

Mitre tiene una respuesta

Miter Att & CK se está convirtiendo en una respuesta importante. Básicamente, es un marco que permite a los bancos estudiar las tecnologías utilizadas por los cibercriminales. FIS puede mapear dónde su sistema es susceptible a violaciones o expuesto a compromisos de red. Al dibujar visualmente la forma en que los bancos deben abordar los riesgos, ATT & CK puede ver a dónde deben moverse.

Tal marco ha existido durante mucho tiempo. Sin embargo, a medida que se debilita la guía regulatoria, los equipos cibernéticos pueden recurrir a algunos de estos marcos para descubrir sus propias brechas de ciberseguridad.

Eso es lo que Miter y su matriz de defensa de red pueden ayudar: desarrollar estrategias, por lo que la agencia es más que el cumplimiento que ejecuta las casillas de verificación. Puede ayudar a FIS a elegir proveedores y soluciones para ayudarlos con las amenazas cibernéticas.

“Es un ambiente muy difícil en este momento”, dijo Goldberg. “La ciberseguridad e incluso la prevención de fraude es un centro de costos. El cumplimiento es costoso, y muchas veces, las instituciones financieras invierten en la tecnología que conocen, y saben que verificarán una casilla para un regulador. No estamos en este entorno en este momento, por lo que creo que creo que más inversiones estratégicas se basan en el cumplimiento de la casilla de verificación y menos necesarias para la realidad”.

Cumplir con los estándares internacionales

Las instituciones financieras de EE. UU. Tendrán que confiar en proveedores y autonomía para determinar sus planes estratégicos para la inversión en línea a corto plazo. Tampoco deberían rehuir el hecho de que los reguladores internacionales cumplirán con altos estándares cibernéticos, especialmente en el caso de la Ley de Resiliencia de Operaciones Digital (DORA) recientemente emitida por la UE.

Dora es muy integral y es considerado por muchos como la regulación cibernética más profunda vista por la industria financiera. Sin regulaciones nacionales que involucren la privacidad del consumidor y la ciberseguridad, las instituciones financieras de los Estados Unidos harán un buen trabajo garantizando el cumplimiento del alcance internacional.

“Esto es especialmente cierto porque sabemos que los servicios financieros no conocen los límites”, dijo Goldberg. “Las instituciones financieras inevitablemente comercian internacionalmente, por lo que cuando quieren liderar en qué dirección pueden recurrir a Dora”.

Ingresando al futuro misteriosamente

En febrero, Miter publicó su último marco, Scutult, también conocido como el Marco de Evaluación Operacional para los Riesgos de Ciberseguridad en AI. El enfoque del nuevo marco está diseñado para estandarizar las pruebas de inteligencia artificial utilizadas para realizar ataques cibernéticos. Un descubrimiento temprano interesante es que la controvertida plataforma de IA misteriosamente determinada Deepseek presenta un riesgo cibernético específico porque puede aprovechar su gran cadena de pensamiento basada en el modelo de lenguaje.

Aunque el marco Mitre ATT & CK se trata más de las técnicas y estrategias utilizadas por los malos actores, los místicos se centran más en las perspectivas de ingeniería social.

“La ingeniería social es un desafío porque en realidad no tiene una solución técnica sólida”, dijo Goldberg. “La ingeniería social es donde estás haciendo algo para manipular a los consumidores para que hagan algo. Obviamente, hay riesgos cibernéticos allí, pero realmente no podemos abordar esos riesgos de la manera tradicional”.

La educación juega un papel importante, pero solo puede ser hasta ahora. Miter funciona a través de Mystery para ayudar a crear algún tipo de tecnología que resuelva la tecnología de ingeniería social.

“La estafa se basa en la misma tecnología que vemos en los ataques de phishing”, dijo Goldberg. “Los correos electrónicos de phishing intentan convencer a los consumidores o empleados para que hagan clic en enlaces maliciosos. La estafa está haciendo lo mismo: convencer a los consumidores o empleados de que hagan cosas que no suelen hacer, o cosas que no deberían hacer. Pero estoy utilizando esos mismos tipos de tecnología emocional, o utilizando esos tipos de tecnología emocional, o para ser un jefe, eso es lo que dijo, necesito programar mi tiempo con ese número.

“Los filtros de spam evitan que esos correos electrónicos de phishing atraigan a los empleados. ¿Podemos hacer algo similar a la tecnología para evitar que estas comunicaciones de estafa lleguen a los consumidores? Ahí es donde tenemos que mudarnos”.