רק תרגיל: מתקפת סייבר על כלל המערכת הבנקאית בישראל

הפיקוח על הבנקים ערך תרגיל סייבר לכלל המערכת הבנקאית, כחלק מתהליך חיזוק ניהול הסיכונים והיערכות לאירוע שעלול להתרחש במערכת. הרקע לפעילות הפיקוח הנו התגברות סיכוני הסייבר בכלל ואירועי סייבר גדולים המתרחשים בארגונים פיננסיים בעולם, שעלולים להתרחש גם בתאגידים בנקאיים בישראל.

במטרה לחזק את היערכות הבנקים וחברות כרטיסי האשראי להתמודדות מול אירוע סייבר הפיקוח עושה שימוש במספר כלים פיקוחיים ועיקרם מתן הוראות פיקוחיות למערכת הבנקאית, ובראשן הוראת ניהול הגנת הסייבר והוראת ניהול סיכוני סייבר בשרשרת אספקה; ביצוע תהליכים לאכיפת יישום ההוראות בשטח; חיזוק הממשק של הבנקים והפיקוח על הבנקים עם מערך הסייבר הלאומי – כקו הגנה נוסף; וכמו כן עריכת תרגיל סייבר מגזרי, לפחות אחת לשנה, לכל המערכת הבנקאית.

ביום חמישי, ה- 24.01.2019, ערכה יחידת הסייבר בפיקוח על הבנקים (יס"פ) תרגיל סייבר מסוג "שולחן עגול" לכלל התאגידים הבנקאיים בנושא תהליך עסקי מהותי.

המפקחת על הבנקים, ד"ר חדוה בר, פתחה את התרגיל והדגישה כי: "ישנה חשיבות רבה לקיום תרגילי סייבר על-ידי התאגידים הבנקאיים, לרבות תרגילים הכוללים דרגי הנהלה בכירים, כחלק מההיערכות לניהול אירוע גדול שעלול להתרחש במשק בכלל ובמערכת הבנקאית בפרט; ערנות וניהול סיכוני סייבר אינם רק האחריות של גורמי הסייבר והטכנולוגיה בבנק, אלא גם של הגורמים העסקיים בבנק, שכן תחילתו של אירוע יכולה להתבטא דווקא באנומליות עסקיות; שיתוף המידע בתחום ניהול סיכוני הסייבר בין התאגידים, הפיקוח על הבנקים ומערך הסייבר הלאומי הוא קריטי- שכן שיתוף כזה יכול להגדיל ולחזק את שכבות ההגנה נגד תוקפים ובכך לצמצם את גודלו של אירוע והנזק שייתכן ממנו, לכשיתרחש".

התרגיל כלל נציגים רבים מקרב התאגידים הבנקאיים ובכללם מנהלי הגנת הסייבר בכל הבנקים וחברות כרטיסי האשראי, מנהלי הסיכונים התפעוליים וסיכוני סייבר ונציגים מהמערך העסקי שתורגל בתרגיל זה וכן נציג ממערך הסייבר הלאומי.

התרגיל נועד לתרגל בין היתר תהליכי קבלת החלטות עסקיות וטכנולוגיות בעת אירוע סייבר משמעותי ומתפתח, חיזוק ממשקי עבודה פנימיים וחיצוניים בעת אירוע סייבר, ותרגול התמודדות עם אירוע סייבר גם מול לקוחות התאגיד הבנקאי. התרגיל התייחס למרכיבים שונים בפעילות הבנקאית העסקית והסביבה הטכנולוגית המשתנה, ובכלל זה עבודה עם ספקים חיצוניים בחלק מהמערכות העסקיות המהותיות של הבנק, שעלולה לחשוף את התאגיד לסיכונים- סיכוני צד שלישי או שרשרת האספקה; עבודה בדיגיטל על-ידי לקוחות; אירועי פישינג של מידע מלקוחות ועוד.

הבנקים וחברות כרטיסי האשראי נדרשו לסכם את התובנות מהתרגיל, להטמיען בארגון באמצעים שונים, כולל ביצוע תרגילים עצמאיים של הבנק, והעברתן לפיקוח על הבנקים.