La Banque nationale souhaite que la direction des banques ukrainiennes contrôle plus minutieusement le personnel de leurs structures à la recherche d'éventuels « initiés et collaborateurs » et renforce la protection dans le domaine de la cybersécurité.
C'est ce qu'indiquent les recommandations de la NBU « concernant le renforcement de la cybersécurité du système bancaire », envoyées par le régulateur.
Les responsables y font référence au nombre croissant d'attaques de pirates informatiques contre les structures bancaires.
"Attaques complexes et systématiques contre les systèmes d'information des objets d'infrastructures critiques et des organisations qui assurent leur fonctionnement, dans le but de cyberespionnage (vol de données) et de cyberterrorisme (DDoS et destruction d'infrastructures)", lit-on littéralement dans le document.
Il décrit sept domaines que les financiers devraient renforcer pour lutter contre les violations et le vol de données. Et le premier point de ces recommandations est l’inspection de ses propres salariés.
«Faites attention aux internes et collaborateurs potentiels au sein de l'organisation», note la Banque Nationale.
Le régulateur n'a pas précisé qui devait figurer parmi eux, mais on peut supposer qu'il s'agit de tout employé de la banque qui divulgue des informations internes à des tiers.
Le reste des prescriptions du régulateur sont de nature plus technique. Si nous résumons les principales recommandations, alors la liste suivante sera obtenue :
1. Concernant l'accès à distance aux réseaux : supprimez les services internes inutiles du périmètre du réseau, utilisez VPN ou d'autres solutions spécialisées avec MFA (authentification multifacteur), minimisez les accès et augmentez le contrôle d'accès au réseau.
2 Élaborer des scénarios de déni de service de la part du fournisseur de communication ou en cas de compromission de ses services.
3. Augmenter le contrôle sur les actions des utilisateurs privilégiés, isoler et organiser un contrôle d'accès strict aux systèmes de gestion de l'infrastructure. Et également appliquer des règles de filtrage strictes (règles de sortie) pour donner accès aux systèmes d'information sur Internet (utilisation de listes blanches).
