Die grundlegenden Anforderungen des RBI Cyber Security Frameworks

Finanzinstitute gehören zu den am stärksten angegriffenen Organisationen für Cybersicherheitsangriffe. Um dies zu beheben, hat die Reserve Bank of India (RBI) eine Liste von Kontrollen erstellt, die als RBI-Richtlinien für das Cyber Security Framework bekannt sind und für Banken bekannt sind, um eine empfohlene Mindestbasis für die Widerstandsfähigkeit gegen Cyberangriffe zu erreichen.

Jeder Bereich enthält mehrere detaillierte Spezifikationen aus der Liste der Kontrollen, die von der Reserve Bank of India skizziert wurden. Diese Spezifikationen werden Finanzinstituten dabei helfen, Mängel in ihren Cybersicherheitsrichtlinien genau zu identifizieren und zu beheben.

Die Richtlinien der RBI gelten für alle Bank-, Neo-Banking-, Kredit- und Nichtbanken-Finanzinstitute in Indien. Die Einhaltung dieser Sicherheitsstandards wird voraussichtlich ab dem nächsten Geschäftsjahr ab April 2023 verpflichtend sein. Zum Zeitpunkt des Schreibens dieses Artikels ist dieses Datum nur noch sechs Monate entfernt, und die Änderung von Sicherheitskontrollen auf organisatorischer Ebene nimmt Zeit in Anspruch. Finanzinstitute müssen ihre Sicherheitsmaßnahmen jetzt an das Cybersicherheits-Framework der RBI anpassen, um genügend Zeit für die Einhaltung der Vorschriften bis April 2023 zu haben.

Finanzunternehmen, die diese Richtlinien einhalten wollen, müssen bestimmte Aspekte der Geschäftstätigkeit ändern, insbesondere ihre Ansätze für die Verwaltung von IT-Assets des Unternehmens, die Bewertung von Lieferantenrisiken und die Identifizierung und Minderung von Datenlecks.

Im Folgenden werden die kritischen Cybersicherheitskontrollen für Primary (Urban) Cooperative Banks (UCBs) beschrieben.

Inventarisierung von IT-Assets

UCBs müssen ein aktualisiertes Register aller IT-Assets des Unternehmens führen. Dieses Register sollte

• Identifizieren Sie alle Systeme, in denen Kundendaten gespeichert oder verarbeitet werden.
• Identifizieren Sie alle IT-Assets - Hardware, Software, Netzwerkgeräte, Schlüsselpersonal, IT-Services usw.
• Weisen Sie jedem IT-Asset eine Kritikalitätsbewertung (hoch/mittel/niedrig) zu, die auf dem Grad der verarbeiteten/gespeicherten sensiblen Kundendaten basiert.
• Bilden Sie den Fluss von Kundendaten im gesamten Netzwerk ab und identifizieren Sie, wo und wann sie gespeichert, übertragen, verarbeitet und auf welche Zugriffspunkte zugegriffen werden - sowohl intern als auch extern des IT-Netzwerks.
• Implementieren Sie relevante Sicherheitskontrollen, um sicherzustellen, dass Kundendaten während ihres gesamten Lebenszyklus immer geschützt sind.
• Verfolgen Sie die unterschiedlichen Stufen des Kundendatenrisikos über den gesamten Datenlebenszyklus hinweg - in diesem Beitrag finden Sie eine Anleitung zur Quantifizierung von Cyberrisiken.

Warum ist diese RBI-Kontrolle wichtig?
Wenn Sie sich über alle Assets, die Kundendaten verarbeiten, und die damit verbundenen Cybersicherheitsrisiken im Klaren sind, können Abhilfemaßnahmen ergriffen werden, um jedes Risiko zu adressieren und Ihre Cyber-Resilienz zu erhöhen.

Unternehmen haben oft Schwierigkeiten, alle ihre Business-IT-Assets genau zu identifizieren. Um diesem Mangel an Transparenz Rechnung zu tragen, wird jedes digitale Asset in eine breite Kategorie "Angriffsfläche" eingeteilt. Um jedoch dem RBI-Framework zu entsprechen, müssen alle Assets - Software, Hardware, Dienste, internetfähige Komponenten, Cloud-Lösungen usw. - in den Fokus gerückt werden.

Dies lässt sich am besten mit ASM-Tools (Attack Surface Management) erreichen, die sich auf die kontinuierliche Erkennung, Inventarisierung, Klassifizierung, Priorisierung und Sicherheitsüberwachung dieser Ressourcen konzentrieren. Mit einer solchen detaillierten Asset-Transparenz können Unternehmen Cyberbedrohungen identifizieren, die Datenschutzverletzungen und Datenlecks begünstigen. Unternehmen können die Automatisierung auch nutzen, um ihre Angriffsflächen zu visualisieren und zu verwalten.

Erfahren Sie mehr über die besten Lösungen für das Management von Angriffsflächen auf dem Markt >

Leistungsfähige ASM-Lösungen wie UpGuard BreachSight automatisieren die fünf Hauptschritte des Angriffsflächenmanagements:

1. Asset-Erkennung;
2. Inventar und Klassifizierung;
3. Risikobewertung und Sicherheitsbewertungen;
4. Kontinuierliche Sicherheitsüberwachung;
5. Überwachung bösartiger Assets und Vorfälle.

Um Finanzorganisationen in Indien dabei zu helfen, die Richtlinien der RBI zu erfüllen und zu übertreffen, bietet UpGuard 7-tägige kostenlose Testversionen an.

Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen >

Outsourcing des Risikomanagements

Um diese RBI-Kontrolle einzuhalten, müssen Finanzinstitute:

• Stellen Sie sicher, dass alle Service Level Agreements (SLAs) die Verantwortlichkeiten aller Parteien (UCB und Anbieter) im Falle von Serviceausfällen festlegen.
• Alle Lieferantenvereinbarungen beschreiben den Beschwerdemechanismus zur Beilegung von Kundenbeschwerden.
• Stellen Sie sicher, dass alle SLAs anhand der erwarteten Sicherheitskontrollleistung jedes Anbieters überprüft werden

• Sicherstellung eines angemessenen Managements und der Absicherung von Sicherheitsrisiken bei ausgelagerten Vereinbarungen
• Bewerten Sie die Notwendigkeit des Outsourcings kritischer Prozesse auf der Grundlage umfassender Risikobewertungen
• Führen Sie regelmäßig eine angemessene Due Diligence, Aufsicht und Verwaltung von Dritten durch.
• Richten Sie geeignete Frameworks, Richtlinien und Verfahren nach grundlegenden Standards für die Systemsicherheitskonfiguration ein
• Bewerten, bewerten, überprüfen, kontrollieren und überwachen Sie die Risiken für alle Anbieter
• Stellen Sie sicher und weisen Sie nach, dass der Dienstleister alle regulatorischen und gesetzlichen Anforderungen des Landes einhält
• Bereitstellung aller Informationsressourcen, die Banken für die RBI verbrauchen
• Einhaltung der relevanten gesetzlichen und behördlichen Anforderungen in Bezug auf den geografischen Standort der Infrastruktur
• Erfüllen Sie die Referenzen von Mitarbeitern von Drittanbietern, die auf die kritischen Vermögenswerte der Bank zugreifen und diese verwalten.
• Vorschrift von Hintergrundüberprüfungen, Geheimhaltungs- und Compliance-Vereinbarungen für alle Drittanbieter von Diensten

Um den Risiken von Drittanbietern angemessen zu begegnen und die von der RBI festgelegten Kontrollrichtlinien zu erfüllen, müssen indische Unternehmen ein effektives Vendor Risk Management-Programm implementieren, das Sicherheitsteams wichtige Einblicke in die Sicherheitslage der Anbieter geben kann.

Durch die Identifizierung von Sicherheitslücken, die Ihre Anbieter Datenschutzverletzungen aussetzen, könnte ein Vendor Risk Management-Programm das Potenzial verringern, dass Ihr Unternehmen durch einen kompromittierten Anbieter verletzt wird - eine Art von Cyberangriff, der als Supply-Chain-Angriff bekannt ist.

Erfahren Sie, warum Vendor Risk Management für indische Unternehmen von entscheidender Bedeutung ist >

Fortschrittliche VRM-Lösungen wie UpGuard Vendor Risk automatisieren die kritischen Prozesse des Lieferantenrisikomanagements durch:

• Durchführung von Risikobewertungen vor dem Onboarding von Anbietern, um festzustellen, ob es sich lohnt, ihr Risikoniveau auf sich zu nehmen;
• Kontinuierliche Überwachung der Angriffsfläche von Drittanbietern auf Cyberbedrohungen und Schwachstellen, wodurch das Potenzial für Datenschutzverletzungen von Anbietern erhöht wird.
• Einstufung von Anbietern auf der Grundlage ihres Risikos und ihrer geschäftlichen Auswirkungen, um Abhilfemaßnahmen zu priorisieren;

• Regelmäßige Bewertung der Bemühungen jedes Anbieters zur Einhaltung gesetzlicher Vorschriften mit routinemäßigen Sicherheitsfragebögen und Schwachstellenbewertungen.

Um Finanzorganisationen in Indien dabei zu helfen, die Richtlinien der RBI zu erfüllen und zu übertreffen, bietet UpGuard 7-tägige kostenlose Testversionen an.

Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen >

Strategie zur Verhinderung von Datenlecks

Um diese RBI-Kontrolle einzuhalten, müssen Finanzinstitute:

• Entwickeln Sie eine umfassende Strategie zur Verhinderung von Datenverlusten/-lecks
• Schutz von Daten, die auf Endgeräten verarbeitet werden, Daten bei der Übertragung und Daten, die auf Servern und anderen digitalen Speichern gespeichert sind
• Sicherstellung, dass ähnliche Vorkehrungen für vendor managed Einrichtungen getroffen werden

Um das Risiko kostspieliger Datenschutzverletzungen zu mindern, müssen Unternehmen eine effektive Strategie zur Verhinderung von Datenlecks in ihr Sicherheitsprogramm aufnehmen, idealerweise unter Verwendung bewährter Managed Services.

UpGuard bietet umfassende Funktionen zur Verhinderung und Erkennung von Datenlecks durch spezielle Techniken zur Erkennung von Datenlecks und eine kontinuierliche Überwachung der Angriffsfläche.

UpGuard bietet auch mehrere wichtige Funktionen, die bei der Einhaltung der RBI-Standards zur Minderung von Datenlecks helfen, darunter:

• Kontinuierliche Überwachung von Datenlecks für Ihr Unternehmen und Ihre Lieferanten
• Unterstützt von einem engagierten Team von Experten, Analysten und einer KI-gestützten Plattform
• Überwacht das Surface-, Deep- und Dark-Web auf sensible Daten
• Die integrierte Plattform überwacht eine Reihe von offengelegten Anmeldeinformationen und Dateitypen, einschließlich Online-Dateispeichern, Datenbanken, CDNs, Websites für die gemeinsame Nutzung von Dokumenten, Websites zum Einfügen und Online-Code-Repositorys wie GitHub, Bitbucket und GitLab.

Um Finanzorganisationen in Indien dabei zu helfen, die Richtlinien der RBI zu erfüllen und zu übertreffen, bietet UpGuard 7-tägige kostenlose Testversionen an.

Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen >

Verhindern von unbefugtem Zugriff

Um diese RBI-Kontrolle einzuhalten, müssen Finanzinstitute:

• Führen Sie ein aktualisiertes Inventar aller autorisierten Softwarelösungen, einschließlich der Lösungen von Drittanbietern.
• Implementieren Sie Sicherheitsmechanismen und -richtlinien, um sicherzustellen, dass nur genehmigte/sichere Software/Anwendungen auf Endbenutzergeräten installiert werden.
• Stellen Sie sicher, dass alle Webbrowser auf automatische Updates eingestellt sind, um sie mit den neuesten Sicherheitspatches auf dem neuesten Stand zu halten.
• Deaktivieren Sie JavaScript-, Java- und ActiveX-Steuerelemente, wenn sie nicht erforderlich sind/verwendet werden.
• Beschränken Sie den allgemeinen Internetzugang in der Zweigstelle auf eigenständige Computer, die vollständig von den Systemen getrennt sind, die für den täglichen Geschäftsbetrieb verwendet werden.

Warum ist diese RBI-Kontrolle wichtig?
Durch die Verhinderung von unbefugtem Softwarezugriff wird das Potenzial von Sicherheitsverletzungen durch Dritte minimiert.

Umweltkontrollen

Um diese RBI-Kontrolle einzuhalten, müssen Finanzinstitute:

• Setzen Sie Sicherheitskontrollen ein, um physische kritische Anlagen vor menschlichen Bedrohungen und Naturkatastrophen zu schützen.
• Implementieren Sie Überwachungskontrollen zur Erkennung von Kompromittierungen von Umweltanlagen. Das Umweltmanagement sollte Temperatur-, Wasserstands- und Rauchänderungen sowie die Aktivität des Zugriffs auf die Serviceverfügbarkeit/des Audit-Protokolls überwachen und auch Zugangsalarme umfassen.

Warum ist diese RBI-Kontrolle wichtig?
Umgebungskontrollen tragen dazu bei, Schäden an kritischen Infrastrukturen durch Cyberangriffe zu verhindern.

Netzwerkmanagement und -sicherheit

Um diese RBI-Kontrolle einzuhalten, müssen Finanzinstitute:

• Befolgen Sie sichere Konfigurationspraktiken auf allen vernetzten Geräten.
• Stellen Sie sicher, dass Standardpasswörter niemals für vernetzte Geräte verwendet werden.

• Sichern Sie alle Wireless Device Access Points und Wireless Client Access Systems.
• Bereitstellung geeigneter Kontrollen/Strategien zur Netzwerktrennung für alle kritischen Finanzinfrastrukturen (ATMS, CBS, SWIFT, RTGS, NEFT usw.).

Warum ist diese RBI-Kontrolle wichtig?
Die Sicherung Ihres Banknetzwerks reduziert das Potenzial von Eindringlingen aus der Ferne, die zum Diebstahl von Kundendaten und Ransomware-Angriffen führen.

Sichere Konfigurationen

Um diese RBI-Kontrolle einzuhalten, müssen Finanzinstitute:

• Implementieren Sie Firewalls und konfigurieren Sie sie mit den höchsten Sicherheitseinstellungen.
• Routinemäßige Bewertung von Firewall-Konfigurationen und anderen IT-Grenzkontrollen, wie z. B. Netzwerk-Switches.
• Setzen Sie ein Höchstmaß an Anwendungssicherheit für alle Banking-Apps durch.
• Testen Sie routinemäßig die Ausfallsicherheit von Netzwerksicherheitskonfigurationen mit Penetrationstests.

Warum ist diese RBI-Kontrolle wichtig?
Bei richtiger Konfiguration kann eine Firewall Cyberkriminelle daran hindern, auf Ihr Netzwerk zuzugreifen, und Cyberangriffsversuche blockieren

Erfahren Sie, wie UpGuard Tech Mahindra in die Lage versetzt hat, sein Risikomanagementprogramm für Drittanbieter zu automatisieren.

Lesen Sie die Tech Mahindra Case Study >

Patch-Verwaltung

Um diese RBI-Kontrolle einzuhalten, müssen Finanzinstitute:

• Stellen Sie sicher, dass die Antivirensoftware immer auf dem neuesten Stand ist.
• Implementierung von Systemen zur Verfolgung und schnellen Identifizierung von Sicherheitspatch-Anforderungen für alle Systeme und Assets, einschließlich Server, Betriebssysteme, Anwendungen, Software und Endbenutzergeräte (insbesondere mobile Geräte, die für die Multi-Faktor-Authentifizierung verwendet werden).

Warum ist diese RBI-Kontrolle wichtig?
Wann immer eine Antivirensoftware aktualisiert wird, lernt sie, wie sie die neuesten Entwicklungen in der Bedrohungslandschaft erkennen kann.

Benutzerzugriffskontrolle

Um diese RBI-Kontrolle einzuhalten, müssen Finanzinstitute:

• Beschränken Sie den Zugriff auf sensible Kundendaten auf diejenigen, die ihn unbedingt benötigen (auch bekannt als das Prinzip der geringsten Rechte).
• Passwörter sind komplex und werden nie wiederverwendet.
• Implementieren Sie Multi-Factor Authentication für alle Benutzerkonten (insbesondere Benutzerkonten).
• Stellen Sie sicher, dass Remote Desktop Protocols (RDP) standardmäßig deaktiviert sind, es sei denn, sie wurden von einer autorisierten Partei genehmigt.
• Stellen Sie sicher, dass alle autorisierten RDPs mit einer SIEM-Protokollierungslösung kontinuierlich auf verdächtige Verbindungsanfragen überwacht werden.
• Verwenden Sie eine SIEM-Lösung oder eine ähnliche Lösung zur Verfolgung von Ereignisprotokollen, um Verbindungen über alle privilegierten Konten hinweg zu überwachen/zu verwalten.

Eine sichere Richtlinie zur Benutzerzugriffskontrolle kann mit einer Zero-Trust-Architektur und Privileged Access Management erreicht werden.

Warum ist diese RBI-Kontrolle wichtig?
Die kontinuierliche Überwachung privilegierter Kontoverbindungen kann Ihnen dabei helfen, Versuche von Datenschutzverletzungen frühzeitig genug zu erkennen, um sie zu verhindern.

Sichere Messaging-Systeme

Um diese RBI-Kontrolle einzuhalten, müssen Finanzinstitute:

• Implementieren Sie Sicherheitsmaßnahmen zur Verhinderung/Abwehr von E-Mail-basierten Cyberangriffen wie E-Mail-Spoofing, Kompromittierung von Geschäfts-E-Mails, Phishing-Angriffen, Social Engineering usw.

Sichern Sie Ihre E-Mails mit dieser kostenlosen Checkliste >

• Implementieren Sie Sicherheitsmaßnahmen, um betrügerische Online-Imitationen Ihres Unternehmens zu verhindern, die E-Mail-basierte Cyberangriffe unterstützen könnten - Beispiele für solche Cyberbedrohungen sind Domain-Hijacking und Typosquatting.

Warum ist diese RBI-Kontrolle wichtig?
Die Sicherung der gesamten E-Mail-Kommunikation könnte das Potenzial von Datenschutzverletzungen aufgrund betrügerischer E-Mails verringern.

Wechselmedien

Um diese RBI-Kontrolle einzuhalten, müssen Finanzinstitute:

• Alle Wechseldatenträger - USBs, externe Festplatten usw. - aus Bankumgebungen verbannen, es sei denn, sie wurden ausdrücklich für einen bestimmten Zeitraum von einem maßgeblichen Mitarbeiter genehmigt.
• Befolgen Sie die Best Practices für die Cybersicherheit für alle Wechselmedien.
• Stellen Sie sicher, dass alle Wechseldatenträger auf Malware/Viren oder schädliche Dateien gescannt werden, bevor Sie eine Verbindung zu einem Computer herstellen.

Warum ist diese RBI-Kontrolle wichtig?
Malware, die speziell für den Diebstahl von Kundendaten oder Ransomware-Angriffe entwickelt wurde, könnte von einem Wechseldatenträger installiert werden.

Sensibilisierung der Benutzer

Um diese RBI-Kontrolle einzuhalten, müssen Finanzinstitute:

• Implementieren Sie Schulungen zum Thema Cybersicherheit, um den Mitarbeitern beizubringen, wie sie E-Mail-basierte Angriffe, wie z. B. Phishing-Angriffe, richtig erkennen und darauf reagieren können.
• Stellen Sie sicher, dass auch Vorstandsmitglieder, Stakeholder und Top-Management-Mitarbeiter an Sensibilisierungsschulungen teilnehmen.
• Stellen Sie sicher, dass die Mitarbeiter verstehen, wie sie während eines Cyberangriffs einen Incident-Response-Plan oder einen Cyber-Krisenmanagementplan befolgen können.

Warum ist diese RBI-Kontrolle wichtig?
Cyberkriminelle versuchen immer, Unternehmensdaten zu stehlen, um Zugang zu einem Bankennetzwerk zu erhalten. Awareness-Schulungen verhindern, dass das Personal diesen Angriffen zum Opfer fällt.

Kundenbewusstsein

Um diese RBI-Kontrolle einzuhalten, müssen Finanzinstitute:

• Stellen Sie sicher, dass Kunden verstehen, wie sie Phishing-Angriffe erkennen können.
• Stellen Sie sicher, dass Ihre Kunden wissen, wie gefährlich Phishing-Angriffe sind und dass sie zu finanziellem Diebstahl führen können.
• Bringen Sie Ihren Kunden bei, wie sie ihre Bankvermögen (PINs, Passwörter usw.) sichern können.
• Stellen Sie sicher, dass Kunden verstehen, wie sie verdächtige Anfragen zu sensiblen Daten erkennen können.
• Stellen Sie sicher, dass die Kunden verstehen, dass sie ihre personenbezogenen Daten nicht an Dritte weitergeben dürfen.

Warum ist diese RBI-Kontrolle wichtig?
Cyberkriminelle zielen häufig auf Personen ab, die in der Vergangenheit von Sicherheitsverletzungen betroffen waren, mit Phishing-Kampagnen, die zu einer Kompromittierung von Bankkonten führen.

Backup und Wiederherstellung

Um diese RBI-Kontrolle einzuhalten, müssen Finanzinstitute:

• Führen Sie regelmäßige Backups aller Banksysteme und kritischen Systeme durch - diese Backups sollten auf einem abnehmbaren Speichermedium durchgeführt werden, das ausschließlich für Backups verwendet wird.

Warum ist diese RBI-Kontrolle wichtig?
Eine Datensicherungsstrategie stellt sicher, dass Sie immer saubere Systemversionen zur Verfügung haben, um verschlüsselte Systeme im Falle eines Ransomware-Angriffs zu ersetzen.

UpGuard bietet eine Reihe von Lösungen, die mit den Informationssicherheitsstandards der RBI in den Bereichen Lieferantenrisikomanagement, Erkennung von Datenlecks und kontinuierliche Überwachung der Angriffsfläche übereinstimmen. UpGuard hilft indischen Unternehmen auch dabei, die kritischen grundlegenden Cybersicherheitsanforderungen des RBI-Cybersicherheitsrahmens zu erfüllen.