Banken meer direct doelwit van cybercrime

De risicovolle combinatie van ‘Toenemende digitalisering en cyberaanvallen’ wordt door DNB als derde risico genoemd in zijn beleidsstuk Toezicht Vooruitblik 2018. “Technologische vernieuwing heeft impact op de hele financiële sector”, schrijft de toezichthouder. Daarbij benadrukt DNB de benodigde ruimte voor technologische vernieuwing zodat de financiële sector divers en competitief kan blijven.

Grotere kwetsbaarheid

Tegelijkertijd heeft technologische vernieuwing ook een keerzijde, erkent DNB. Enerzijds kan het leiden tot “een ingrijpende verschuiving in de bedrijfsmodellen van instellingen”. Anderzijds houdt het directe gevaren in. “Toegenomen digitalisering veroorzaakt ook nieuwe risico’s: de kwetsbaarheid voor cybercriminaliteit neemt toe, nieuwe spelers schudden het financiële landschap op en de keten van dienstverlening raakt in toenemende mate versnipperd”, vat DNB samen.

Deze geconstateerde versnippering is op zichzelf ook weer een risico vanwege cyberaanvallen. “De toegenomen digitalisering en de onderlinge afhankelijkheden in de financiële keten, maken dat cyberrisico's de financiële stabiliteit kunnen raken”, aldus DNB. Een aanval hoeft in theorie dus niet rechtstreeks op het doelwit gericht te zijn. Daarnaast kan een gerichte aanval ook onbedoelde, maar toch flinke, neveneffecten hebben.

Complexer en gericht

“De impact van een mogelijke aanval op de vertrouwelijkheid, integriteit of beschikbaarheid van data is daarom groot. Data kan openbaar worden of vertrouwelijke gegevens kunnen in verkeerde handen vallen.” Dit risico geldt natuurlijk niet exclusief voor de financiële sector, maar de impact kan bij banken wel groter zijn.

Naast ICT-afhankelijkheid en ketenrisico’s speelt er nog een derde, complicerende factor. De aanhoudende ontwikkeling aan de kant van cybercriminelen, die geavanceerdere aanvallen inzetten en die andere doelwitten op de korrel nemen. DNB: “Tegelijkertijd ontwikkelen cyberaanvallers zich, waardoor aanvallen steeds complexer worden.”

Cyberrisico

“In het verleden richtten aanvallers zich vooral direct tot fraude via klanten. Steeds vaker richten geavanceerde aanvallers zich op financiële instellingen zelf en op de keten van financiële instellingen in plaats van op specifieke producten of kanalen.” Een cyberaanval kan de bedrijfsvoering of dienstverlening onderbreken, wat weer impact kan hebben op andere financiële instellingen in de keten.

“De totale impact kan groot zijn en binnen de brede categorie van IT-gerelateerde risico’s wordt cyberrisico gezien als snelgroeiende bedreiging. Zorgen over adequaatheid van de interne technologische systemen en onzekerheid over de gevolgen van cyberaanvallen spelen hierbij een rol.” DNB spoort financiële instellingen aan om hun meer grip te krijgen op cyberrisico’s.